Cartographie des menaces d’Anthropic AI, vulnérabilités Comodo non corrigées et gouvernance des infrastructures critiques : ce que les entreprises doivent surveiller

Cartographie des menaces de l’IA Anthropic, vulnérabilité Comodo non corrigée et gouvernance des infrastructures critiques : ce que les entreprises doivent surveiller

Le dernier bulletin hebdomadaire de SecurityWeek rassemble plusieurs évolutions de sécurité qui semblent disparates, mais qui sont fortement liées à la défense des entreprises : Anthropic a publié une analyse cartographiant les attaques dopées à l’IA, soulignant que les acteurs malveillants utilisent les grands modèles pour des étapes d’attaque à plus haut risque ; des chercheurs ont révélé une vulnérabilité critique non corrigée dans Comodo Internet Security, capable de provoquer le plantage d’un endpoint Windows via un seul paquet TCP/IP malformé ; parallèlement, plusieurs agences américaines ont de nouveau averti les exploitants d’infrastructures critiques que les systèmes automatiques de jaugeage de réservoirs (ATG) exposés à Internet constituent désormais une surface d’attaque bien réelle. Pour les responsables de la sécurité en entreprise, le message commun est clair : les attaquants intègrent des capacités « automatisées, industrialisables et capables d’exploiter des outils légitimes » dans une chaîne complète allant de l’accès initial au mouvement latéral, puis à la persistance.

Aperçu des événements : non pas des informations isolées, mais différentes facettes d’une même tendance

Dans ce bulletin, la recherche d’Anthropic ne porte pas sur un échantillon unique de logiciel malveillant, mais sur la manière dont l’IA est détournée, vue sous l’angle de la cartographie des comportements d’attaque. Le bulletin de sécurité indique que les attaquants utilisent désormais les LLM pour mener des activités plus risquées, telles que le mouvement latéral et le vol d’identifiants, ce qui montre que l’IA ne sert plus seulement à rédiger des e-mails de phishing, mais qu’elle intervient progressivement à plusieurs points du flux de travail d’attaque.

Une autre information importante concerne la divulgation d’une vulnérabilité dans Comodo Internet Security. Des chercheurs ont publié un défaut permettant de provoquer à distance le plantage d’un endpoint Windows, et celui-ci n’est toujours pas corrigé. Même si cette vulnérabilité « ne fait que » provoquer un déni de service, son impact réel reste loin d’être négligeable : dans un environnement d’entreprise, dès lors qu’un logiciel de sécurité devient lui-même un vecteur d’attaque, la défense et la disponibilité sont simultanément dégradées.

Le troisième événement provient d’un avertissement du gouvernement américain concernant des systèmes ATG exposés au public sur Internet. Ces équipements servent à surveiller à distance les stocks de liquides et de carburant ; lorsqu’ils sont exposés au réseau, les attaquants peuvent contourner l’authentification et modifier la configuration en exploitant des commandes du système d’exploitation. Ce risque ne se limite pas au secteur pétrolier et gazier : il illustre un problème commun aux équipements industriels et d’infrastructure, celui d’une connectivité « par défaut » tournée vers Internet.

Analyse technique et des risques : l’attaque évolue vers une « chaîne automatisée »

#### 1）Attaques dopées à l’IA : de la génération de contenu à l’orchestration des attaques

L’analyse cartographique d’Anthropic met en évidence un changement clé : les acteurs de la menace utilisent l’IA comme une « couche d’orchestration » dans la chaîne d’attaque. Cela signifie que la valeur de l’IA ne réside pas seulement dans la génération de texte, mais aussi dans sa capacité à aider les attaquants à choisir plus rapidement leurs cibles, découper les tâches, automatiser les scripts et éviter les détections anormales.

Pour les entreprises, cela entraîne trois changements concrets :

• Le phishing et l’ingénierie sociale deviennent plus adaptés : les e-mails d’attaque, les leurres dans les conversations et les faux tickets internes peuvent mieux correspondre aux processus et au vocabulaire de l’entreprise.- Le phishing et l’ingénierie sociale gagnent en adaptabilité : les e-mails d’attaque, les messages incitatifs sur les chats et les faux tickets internes peuvent mieux coller aux processus et au vocabulaire de l’entreprise.
• L’efficacité des mouvements latéraux augmente : lorsque les attaquants utilisent l’IA pour organiser des commandes, vérifier des informations sur l’environnement ou ajuster leur trajectoire d’exécution, la fenêtre de réponse se rétrécit.
• Le seuil d’attaque baisse, mais l’échelle augmente : sans disposer du plus haut niveau de compétence technique, des acteurs malveillants peuvent plus rapidement construire des chaînes d’attaque reproductibles.

L’impact direct de ce type de risque sur le SOC est le suivant : les stratégies qui reposaient auparavant sur la détection du phishing grâce aux « erreurs de syntaxe, au langage maladroit et à la tactique unique » verront leur efficacité diminuer ; les entreprises devront s’appuyer davantage sur la détection comportementale, les anomalies d’identité et l’analyse de corrélation contextuelle.

#### 2) Vulnérabilité Comodo non corrigée : la fragilité des logiciels de sécurité amplifie les risques sur les terminaux

La vulnérabilité Comodo mérite l’attention des entreprises non seulement parce qu’elle est grave en soi, mais aussi parce qu’elle révèle un vieux problème : les produits de sécurité ne sont pas, par nature, sûrs. Lorsque des solutions de protection des terminaux, des pare-feu réseau ou des agents de sécurité hôte présentent des risques de crash à distance, de déni de service, voire d’exécution de code, les attaquants peuvent alors affaiblir l’observabilité et le contrôle de l’ensemble de la plateforme en « faisant tomber la ligne de défense ».

Même si les informations publiques actuelles indiquent que cette vulnérabilité peut provoquer un crash via un seul paquet TCP/IP malformé, les entreprises doivent néanmoins la traiter comme un événement hautement prioritaire, pour les raisons suivantes :

• Impact direct sur la disponibilité des terminaux : le crash d’un agent de sécurité peut entraîner l’interruption des alertes, l’échec de l’isolement ou une inadéquation des politiques.
• Peut servir de mécanisme d’attaque préalable : l’attaquant peut d’abord neutraliser le composant de protection, puis déployer une charge utile de deuxième phase.
• L’impact peut s’étendre à l’ensemble d’un parc de terminaux : si ce logiciel de sécurité est largement déployé dans l’organisation, le risque explosif augmente rapidement.

Pour les grandes entreprises, les institutions financières et les prestataires gouvernementaux, toute vulnérabilité impliquant un agent de sécurité des terminaux doit être intégrée sans délai à l’inventaire des actifs, à l’identification des versions et au processus de traitement par lots.

#### 3) Surface d’exposition ATG : les infrastructures critiques supportent encore le coût du « simple accès distant par défaut »

L’avertissement des agences gouvernementales américaines concernant ATG démontre une fois de plus que la surface d’attaque des systèmes industriels et d’infrastructure ne provient pas seulement des PLC, des IHM ou des réseaux OT traditionnels, mais aussi de ces petits équipements spécialisés exposés à Internet pour permettre la maintenance à distance. Les systèmes ATG ne sont généralement pas considérés comme des « actifs informatiques essentiels », mais dès lors qu’ils sont accessibles depuis l’extérieur, ils peuvent devenir une porte d’entrée pour la modification de configurations, la tromperie de la supervision ou des mouvements latéraux ultérieurs.

Ce qui rend ce type d’attaque particulièrement préoccupant :

• Les actifs sont souvent sous-estimés : ces équipements relèvent de « systèmes périphériques » et échappent facilement à une gouvernance de sécurité unifiée.
• Le risque de mots de passe faibles ou de contournement de l’authentification est élevé : une fois exposés, les attaquants essaient en priorité les méthodes génériques.
• L’impact peut déborder sur la continuité opérationnelle : les stocks, l’approvisionnement, la mesure et les registres de conformité peuvent tous être affectés.Pour les entreprises de distribution en chaîne, de transport d’énergie, d’entreposage et de fabrication, la sécurité de ce type d’équipement n’est plus un « petit problème du département OT », mais une question de continuité des activités et de risque réglementaire.

Actifs impactés : terminaux, identité, infrastructure et plan de contrôle de sécurité

Du point de vue des actifs d’entreprise, cet ensemble d’évolutions affecte non pas un système unique, mais quatre niveaux :

• Endpoint : la vulnérabilité de Comodo montre que l’agent de sécurité des terminaux lui-même peut devenir une source de panne.
• Identity System : les attaques dopées à l’IA visent le plus souvent les identifiants, les sessions et le contournement de l’identité.
• Cloud/IT Security Operations : lorsque les attaques reposent davantage sur l’automatisation et les scripts, la capacité de corrélation de SIEM, EDR et XDR déterminera la vitesse de détection.
• OT/Infrastructure Devices : l’exposition de dispositifs comme les ATG signifie que la couche de gestion de l’infrastructure doit elle aussi entrer dans une gouvernance unifiée des risques.

Analyse de l’impact pour l’entreprise : risques opérationnels, financiers, réglementaires et d’image en même temps

#### Risque opérationnel Si un composant de sécurité des terminaux tombe en panne, ou si un équipement d’infrastructure est altéré, l’entreprise ressent généralement d’abord non pas une « alerte d’intrusion », mais une interruption de l’exploitation, une absence d’alertes, des anomalies d’actifs ou des retards dans les processus métier. Pour les organisations dépendant d’un vaste réseau d’agences, du télétravail et de sites distribués, cet impact sera rapidement amplifié.

#### Risque financier La gestion de crise, la restauration après arrêt, le remplacement d’équipements, les expertises externes et les conseils juridiques entraînent tous des coûts directs. Si les équipements exposés affectent les stocks, la facturation ou la production, les pertes s’aggraveront encore.

#### Risque de conformité Les événements impliquant l’identité, la surveillance et l’infrastructure peuvent déclencher des exigences en matière de protection de la vie privée, de réglementation sectorielle et d’audit de la chaîne d’approvisionnement. Pour les organisations soumises à la SEC, à NIS2, aux réglementations relatives aux infrastructures critiques ou à des cadres de conformité sectoriels, la notification en temps utile et la conservation des enregistrements sont particulièrement importantes.

#### Risque d’image La défaillance d’un produit de sécurité, l’exposition d’un équipement critique ou l’augmentation du taux de réussite du phishing piloté par l’IA érodent tous la confiance des clients et des partenaires dans la capacité de l’entreprise à assurer sa sécurité. Pour les institutions orientées vers le public, cette perte de confiance est souvent plus difficile à réparer qu’une panne technique ponctuelle.

Observation des tendances sectorielles : il s’agit d’une tendance, pas d’un événement isolé

La tendance de fond derrière cette série d’actualités comporte au moins trois aspects.

Premièrement, l’IA passe d’un outil d’assistance à une partie intégrante de la chaîne d’attaque. Autrefois, on parlait de la manière dont l’IA réduisait le coût rédactionnel du phishing ; aujourd’hui, l’accent est mis sur la façon dont l’IA aide à exécuter, organiser et optimiser les campagnes d’attaque.

Deuxièmement, les produits de sécurité et les outils d’exploitation deviennent eux-mêmes des cibles. Qu’il s’agisse d’un agent de sécurité des terminaux ou d’un dispositif de supervision à distance, les attaquants sont de plus en plus enclins à frapper le « plan de contrôle », car sa défaillance réduit considérablement les capacités défensives de l’entreprise.

Troisièmement, la surface d’exposition des infrastructures critiques continue de s’étendre.Troisièmement, l’exposition des infrastructures critiques continue de s’étendre. De nombreux dispositifs n’ont pas été conçus pour fonctionner sur Internet, mais sous l’effet de l’administration à distance, de la supervision cloud et des intégrations tierces, un nombre croissant d’actifs est placé en périphérie d’Internet. Les entreprises doivent considérer cette exposition comme un risque structurel, et non comme une erreur de configuration ponctuelle.

Recommandations de défense et de réponse : passer de la correction ponctuelle à une gouvernance systémique

• #### Au niveau de l’entreprise
• Mettre en place un inventaire unifié des actifs, couvrant l’IT, les terminaux, les agents de sécurité et les équipements OT/edge.
• Soumettre à un audit obligatoire les dispositifs exposés sur le réseau public, en priorisant la suppression des accès Internet non nécessaires.
• Intégrer le phishing assisté par IA et les attaques contre les identités dans les exercices red team et les formations de sensibilisation à la sécurité.

• #### Sécurité des identités et des accès
• Imposer l’utilisation du MFA et appliquer un accès conditionnel aux comptes à privilèges élevés.
• Adopter les principes du Zero Trust, afin de réduire la confiance par défaut et les accès réseau plats.
• Surveiller en continu les connexions anormales, le détournement de session et l’abus d’identifiants.

• #### Protection technique
• Mettre en place dans le SIEM des alertes prioritaires pour les anomalies des outils de protection des terminaux, les redémarrages d’équipements et les plantages de services.
• Utiliser l’EDR/XDR pour surveiller l’état de santé des outils de sécurité eux-mêmes, afin d’empêcher qu’on « neutralise d’abord la défense avant de charger la charge utile ».
• Appliquer la segmentation réseau et le principe de moindre exposition aux équipements OT/edge.
• Renforcer les processus de gestion des vulnérabilités, en particulier la vérification des versions des logiciels de sécurité, des composants d’accès à distance et des équipements edge.

• #### Gestion et gouvernance
• Intégrer la gestion des risques liés aux tiers dans les processus d’achat et de renouvellement, en exigeant des fournisseurs des engagements sur les délais de réponse aux vulnérabilités et de déploiement des correctifs.
• Établir des plans de réponse aux incidents pour les pannes de produits de sécurité, en précisant qui est responsable de l’isolement, du retour arrière et du remplacement.
• Définir pour les équipements d’infrastructures critiques une base de gouvernance avec « interdiction par défaut de l’exposition au public ».

Analyse SecurityPost

Cette série d’évolutions de sécurité concerne en apparence l’IA, les vulnérabilités des terminaux et les équipements d’infrastructure, mais elle pointe en réalité dans une même direction : les attaquants exploitent de plus en plus l’automatisation, les outils légitimes et les vulnérabilités du plan de contrôle pour réduire le temps de détection et la capacité de réaction des défenseurs. Pour les équipes de sécurité des entreprises, le véritable défi n’est pas de savoir si une vulnérabilité particulière peut être corrigée immédiatement, mais de déterminer comment instaurer une visibilité cohérente et une capacité de réponse rapide entre l’identité, les terminaux, le réseau et l’infrastructure. À l’avenir, l’attention ne devra plus porter uniquement sur le fait de savoir « si une attaque se produit », mais sur le point de savoir « si l’attaquant peut, avant la défaillance du dispositif de défense, utiliser l’IA et l’automatisation pour mener une intrusion en chaîne plus profonde ». Si les entreprises continuent à considérer la sécurité comme un simple problème d’achat d’outils ponctuels, elles auront du mal à faire face à cette tendance ; ce n’est qu’en intégrant la santé des produits de sécurité, le contrôle des identités, la gouvernance de la surface d’exposition et les risques de la chaîne d’approvisionnement dans la gestion des risques au niveau de l’entreprise qu’elles pourront réellement renforcer leur résilience.