Generative AI Is Erasing Behavioral Tells, Weakening Behavior-Only Detection, Proofpoint Reports

L’IA générative rend obsolète la détection comportementale traditionnelle

L’IA générative a radicalement transformé le paysage des cybermenaces en éliminant les indices comportementaux (fautes de syntaxe, modèles répétitifs, infra suspecte) sur lesquels reposaient traditionnellement les filtres de sécurité. Les attaquants utilisent désormais l’IA pour créer des messages fluides, personnalisés et uniques, rendant la détection basée sur le comportement peu efficace.

Points clés

• Perte de fiabilité des signaux : Les messages de phishing sont désormais indiscernables de communications légitimes en termes de style et de contexte.
• Campagnes ciblées : L’IA permet de générer en quelques secondes des centaines de variantes personnalisées (ex: demandes de renseignements immobiliers ou factures falsifiées), rendant les analyses par signatures inutiles.
• Techniques évolutives : Utilisation croissante du “phishing par code d’appareil” (device-code phishing) où l’attaquant détourne des flux de connexion légitimes.
• Disruption automatisée : L’IA facilite des campagnes de harcèlement de masse ou de déstabilisation sans charge utile (malware), rendant l’analyse isolée d’un message inefficace.

Vulnérabilités exploitées

• Failles humaines et processus métiers : L’IA excelle à imiter les flux de travail réels (facturation, relations fournisseurs) pour tromper la vigilance des employés.
• Absence de contexte global : Les systèmes de défense qui analysent les e-mails un par un échouent à détecter la cohérence malveillante d’une campagne distribuée.

Recommandations stratégiques

• Passage à l’analyse d’intention : Ne plus se demander “si le message semble étrange” mais “ce que le message essaie d’accomplir” (ex: demande de changement de coordonnées bancaires incohérente avec le contexte).
• Approche de détection multi-niveaux :
  • Tier 1 (Flash) : Analyse rapide (ML/vision) pour le volume courant.
  • Tier 2 (Extended) : Sandboxing et analyse de ton/sujet pour les cas suspects.
  • Tier 3 (Deep) : Analyse approfondie par IA pour les communications les plus complexes et hautement ciblées.
• Investigation autonome : Déployer des agents de sécurité capables d’enquêter à “vitesse machine” sur l’ensemble de l’écosystème (e-mail, identité, navigation) pour stopper les attaques avant qu’elles ne se propagent, tout en conservant une validation humaine pour les actions critiques.

Source