Étude KnowBe4 : les agents IA non contrôlés et les deepfakes menacent les entreprises

KnowBe4, leader dans le domaine de la sécurité numérique des effectifs, a publié son nouveau rapport de recherche intitulé « From Agentic Risk to Human Wins : Building a Culture of Security in the Era of Agentic AI ». Les résultats révèlent une réalité inquiétante : les outils d’IA autonomes élargissent la surface d’attaque des entreprises plus rapidement que les équipes de sécurité ne peuvent mettre en place des mesures de protection. Cette étude s’appuie sur une enquête mondiale menée par Vanson Bourne auprès de 4 000 professionnels, dont 800 responsables de la cybersécurité et 3 200 collaborateurs issus des régions Amériques, EMEA et APJ.

L'IA fantôme, une menace incontrôlée

Les chiffres sont sans appel : tous les responsables allemands de la cybersécurité déclarent utiliser l'IA. 78 % d'entre eux ont déjà déployé des agents IA qui prennent des mesures de manière autonome au sein des flux de travail de l'entreprise – parmi lesquels 62 % agissent de manière totalement autonome. Dans le même temps, de nombreuses organisations ne disposent pas de structures de gouvernance contraignantes : 48 % des entreprises indiquent que leur utilisation de l’IA n’est ni autorisée ni réglementée. Cette « IA fantôme » incontrôlée agit pratiquement comme une couche invisible d’employés fantômes qui traitent des données sensibles de l’entreprise sans aucune supervision.

Plus d’un tiers des collaborateurs admettent par ailleurs que, si les outils d’IA officiels de l’entreprise s’avéraient trop limités ou trop lents, ils rechercheraient activement leurs propres alternatives non autorisées. 42 % des responsables de la cybersécurité en Allemagne confirment que l'utilisation non autorisée de logiciels externes et d'applications d'IA non approuvées a directement affecté ou compromis leur sécurité au cours des douze derniers mois.

Les deepfakes dépassent les capacités de défense humaines

Parallèlement à la propagation de l'IA « fantôme », le vecteur d'attaque a lui aussi radicalement changé. Le phishing traditionnel a depuis longtemps cédé la place à une manipulation hyperréaliste, assistée par l’IA. 87 % des salariés en Allemagne déclarent que les voix et les vidéos deepfake sont désormais si réalistes qu’il est devenu plus difficile de savoir à qui faire confiance. Plus alarmant encore : 55 % des salariés admettent ouvertement qu’ils pourraient se faire piéger par une escroquerie sophistiquée par deepfake, dans laquelle l’escroc se fait passer pour un collègue ou un cadre de l’entreprise.

« La cybersécurité est entrée dans une phase instable, où les entreprises tentent de sécuriser un effectif hybride, composé à la fois d’humains et d’IA, qui évolue plus vite que les responsables de la sécurité ne peuvent suivre », explique le Dr Martin Krämer, conseiller en sécurité informatique chez Knowbe4. « Les attaquants agissent à la vitesse de la machine et utilisent des techniques telles que les deepfakes pour cibler les collaborateurs, ainsi que les injections de prompts pour détourner les agents d’IA. Laisser près de la moitié de l’utilisation de l’IA au sein d’une entreprise sans contrôle revient à lancer une invitation en or aux attaquants. »

L'erreur humaine sous pression

64 % des salariés en Allemagne admettent que la forte pression temporelle, la surcharge cognitive et les distractions quotidiennes sur leur lieu de travail les poussent directement à faire des compromis et à commettre des erreurs de sécurité critiques – même s’ils connaissent les protocoles de sécurité en vigueur. Les responsables allemands de la cybersécurité confirment l’ampleur de ce fossé comportemental et soulignent que jusqu’à 52 % de tous les incidents de sécurité survenus l’année dernière ont été provoqués par des erreurs opérationnelles quotidiennes – et non par des kits d’exploitation ciblés.

62 % des responsables allemands de la cybersécurité citent le manque de sensibilisation ou le manque de clarté des directives de sécurité comme le principal facteur ayant influencé la cybersécurité de leur entreprise au cours des douze derniers mois. 46 % d'entre eux identifient les attaques basées sur l'IA comme l'un des principaux facteurs de risques futurs en matière de cybersécurité d'origine humaine.

Un écart important par rapport à la référence absolue

Malgré une prise de conscience croissante, seules 20 % des organisations ont atteint le niveau de maturité correspondant à ce que l'on appelle la « norme d'excellence » – définie comme une culture d'entreprise parfaitement harmonisée, capable de gérer conjointement les risques liés aux personnes et aux agents. Cette norme d’excellence suppose que la sensibilisation à la sécurité, les comportements et la conformité soient combinés à un leadership fort, à des responsabilités clairement définies et à des mesures d’évaluation efficaces.

À l'échelle mondiale, l'étude montre que seules 19 % des entreprises adoptent une approche intégrée et ancrée dans la culture d'entreprise. Les organisations qui s'engagent dans cette voie affichent des performances nettement supérieures : 83 % d’entre elles indiquent que les formations à la sécurité renforcent la confiance entre l’équipe informatique et les collaborateurs, 67 % proposent des directives claires pour le signalement des incidents, et 51 % adoptent une approche axée sur l’accompagnement lors des simulations de hameçonnage.

De la gestion des risques à la résilience

Le rapport conclut que les entreprises qui intègrent la cybersécurité dans leur culture d'entreprise sont plus résilientes. Il faut des systèmes qui orientent activement les comportements plutôt que de se contenter d’informer, des cultures d’entreprise favorables au signalement des erreurs, et un recentrage de l’attention, non plus sur la recherche des erreurs, mais sur la valorisation des actions positives. De plus, une approche « Security-First » doit être étendue tant aux agents d’IA qu’aux personnes.

Les collaborateurs et les agents d’IA forment ensemble une ligne de défense unique et interconnectée. Les entreprises qui alignent la prise de conscience, les comportements et la culture d’entreprise sur une vision claire des risques ne se contentent pas de mettre en place une gestion des risques : elles créent des « cibles résilientes ». Les menaces ne disparaîtront pas, mais elles se heurteront à des organisations mieux préparées.

Source : www.knowbe4.com/de/

Cet article est paru initialement sur m-q.ch - https://www.m-q.ch/de/knowbe4-studie-unkontrollierte-ki-agenten-und-deepfakes-bedrohen-unternehmen/