Pourtant, avec 30 techniques réparties sur 13 tactiques MITRE ATT&CK, celle-ci ressemblait aux opérations de nombreux acteurs classés à risque moyen. Ce décalage met en évidence une limite des approches de détection : le nombre de techniques utilisées constitue, à lui seul, un indicateur limité du niveau de risque.
L’enjeu est surtout de comprendre comment ces techniques sont combinées, enchaînées et exécutées dans le temps.
Les indicateurs ont toujours été le maillon fragile
Depuis vingt ans, les équipes de sécurité s’appuient sur les traces laissées par les attaquants, malwares, adresses IP malveillantes ou domaines suspects, pour identifier les menaces connues et bloquer des attaques déjà observées. La Pyramid of Pain de David Bianco mettait déjà en évidence cette faiblesse en 2013. Les indicateurs les plus faciles à exploiter pour les défenseurs sont également les plus simples à modifier pour les attaquants. Une empreinte peut changer avec le fichier, tandis qu’une adresse IP peut simplement être remplacée. Les techniques et procédures nécessaires pour atteindre un objectif sont, elles, beaucoup plus difficiles à modifier.
L’IA générative accentue cette faiblesse en réduisant le coût de la variation. De nouvelles variantes de malwares peuvent être produites rapidement, les campagnes de phishing industrialisées et les outils offensifs assemblés avec moins d’expertise spécialisée. La durée de vie de certains indicateurs peut ainsi devenir plus courte que le temps nécessaire pour les identifier, les partager et les exploiter. Ces flux restent utiles pour bloquer les menaces connues à grande échelle, enrichir les enquêtes et analyser rétrospectivement une campagne. Ils ne peuvent toutefois plus constituer, à eux seuls, le socle d’une stratégie de détection.
Le sous-titrage n'est plus une option mais un levier de croissance : 80 % des vidéos sur les réseaux sociaux sont consommées sans le son. Pourtant, choisir entre le format…
Une technique isolée reste un signal faible
L’étude d’Anthropic a analysé 832 comptes bannis pour activité cybermalveillante entre mars 2025 et mars 2026, soit 13 873 actions, 482 techniques et les 14 tactiques ATT&CK. Le nombre de techniques variait pourtant peu selon le niveau des attaquants. Les acteurs les moins expérimentés en utilisaient en moyenne environ 16, contre 20 pour les plus avancés. La plateforme utilisée ne modifiait pas ce constat.
Ce résultat reflète aussi la réalité des environnements d’entreprise. Une identification de comptes peut signaler une attaque comme une opération d’administration légitime. Une technique prise isolément nécessite donc presque toujours d’être replacée dans son contexte.
C’est la corrélation entre plusieurs activités qui leur donne tout leur sens. Une identification de comptes suivie d’un accès aux identifiants, d’un déplacement vers un autre système puis d’une préparation à l’exfiltration de données dans un intervalle réduit dessine une séquence beaucoup plus significative. L’ordre des actions, l’identité concernée, les systèmes traversés et ce qui se produit ensuite deviennent alors des éléments à part entière de la détection.
L’IA intervient plus profondément dans la chaîne d’attaque
Même automatisée, une attaque exigeait jusqu’ici qu’un opérateur interprète les résultats et choisisse l’étape suivante. Lorsque l’IA prend en charge une partie de cette décision, le temps entre les différentes étapes peut fortement diminuer.
Les données d’Anthropic montrent que l’usage de l’IA se déplace vers les phases post-compromission. Son utilisation pour identifier des comptes dans des environnements compromis a progressé de 8,9 %, tandis que le phishing assisté par IA a reculé de 8,6 %. La part des acteurs classés à risque moyen ou supérieur est passée de 33 % à 56 %.
La vitesse ne prouve rien à elle seule. Mais une séquence plausible sur plusieurs heures pour un administrateur prend un autre sens lorsqu’elle traverse plusieurs systèmes en quelques minutes. Le temps doit donc entrer dans la détection.
C’est le principe d’APEX, pour Adversarial Pattern Extraction and Correlation, un cadre de détection comportementale développé autour des constats d’Anthropic. Il analyse les combinaisons de techniques, leur ordre, leur rythme et les entités impliquées afin d’identifier des chaînes plus durables que les signaux isolés.
Passez à la cybersécurité proactive, transformez la collecte et l’analyse des logs en un bouclier dynamique contre les cybermenaces. Découvrez comment mettre en place une approche SIEM modulaire, évolutive et…
Les cadres de référence doivent évoluer
MITRE ATT&CK décrit les techniques utilisées pendant une intrusion, mais ne permet pas encore de représenter l’orchestration agentique qui les relie. Un système capable d’interpréter un résultat, de choisir l’action suivante et de progresser avec peu d’intervention humaine reste donc difficile à représenter. Anthropic travaille avec MITRE pour intégrer ce comportement.
Pour les responsables de la sécurité, l’enjeu est immédiat. Reconnaître une chaîne comportementale suppose de corréler les signaux issus des terminaux, des identités, des réseaux et du cloud. Accumuler davantage de télémétrie ne suffit pas si les données restent fragmentées ou arrivent trop tard.
Ce que les attaquants ne peuvent pas changer
Plus de dix ans après la Pyramid of Pain, le principe reste valable : les comportements changent moins facilement que les indicateurs. APEX cherche à le traduire en logique de détection en observant leur séquence, leur rythme et leur contexte.
Car si l’IA facilite la modification des éléments visibles d’une attaque, elle ne change pas ses exigences opérationnelles. Pour voler des données, un attaquant doit toujours accéder à l’environnement, le comprendre, obtenir des privilèges suffisants puis extraire l’information. Les outils peuvent varier, pas cette trajectoire. C’est précisément ce qui rend l’évolution des approches de détection plus urgente à l’heure de l’IA.
