La sécurité de l'IA à la vitesse des machines : une feuille de route pour l'AppSec d'aujourd'hui

• Le nombre d'appels liés à l'intelligence artificielle (IA) dans les entreprises devrait être multiplié par 1 000 d'ici 2027, générant un volume d'interactions automatisées que les approches de sécurité traditionnelles ne sont plus en mesure de gérer.
• Bien que 87 % des entreprises aient été confrontées à un incident de sécurité lié aux API l'an dernier, seules 18 % d'entre elles s'estiment réellement prêtes à résister face aux attaques ciblant des API associées à l'IA.
• L'essor du vibe coding et des agents d'IA aux comportements non linéaires favorise les déploiements rapides au détriment d'une architecture de sécurité rigoureuse.
• Avec l'émergence des interactions entre agents (A2A), votre sécurité dépend désormais également de l'intégrité d'écosystèmes d'IA tiers.
• Pour continuer à innover, les entreprises doivent adopter un modèle d'exécution multicouche qui privilégie la découverte continue et des garde-fous en temps réel.

Pour les équipes de sécurité, les dernières actualités du secteur technologique ont de quoi faire froid dans le dos. Par exemple, un article récent explique comment une injection indirecte de prompts pouvait exploiter le comportement d'applications de confiance pour exfiltrer discrètement les données financières sensibles, les journaux et les données de télémétrie d'une entreprise. Un autre raconte comment un assistant de codage basé sur l'IA a supprimé une base de données de production au moyen d'un simple appel d'API.

Et ce ne sont là que deux exemples des défis auxquels font face les équipes de sécurité des applications de nos jours. Des tensions sont apparues à mesure que les entreprises sont passées de l'expérimentation de l'IA générative à des investissements se chiffrant en milliards pour l'intégrer au cœur de leurs flux de travail essentiels. Les unités commerciales exigent des déploiements à très grande vitesse, tandis que les équipes de sécurité doivent composer avec un écosystème d'API en constante expansion et peu documenté.

Pour autant, faire obstacle à cette vague d'innovation n'est pas une option. Les interdictions totales et généralisées sont inefficaces. Les équipes de sécurité doivent au contraire devenir un moteur de l'adoption de l'IA. 

Bien entendu, c'est plus facile à dire qu'à faire, car la donne a changé. Alors que les interactions applicatives traditionnelles suivent une logique prévisible, les agents d'IA agissent de manière non linéaire et sollicitent souvent massivement les points de terminaison pour atteindre un seul objectif utilisateur. 

Ce phénomène ne se traduit pas seulement par une hausse des volumes, mais également par une transformation de la surface d'attaque. D'ailleurs, selon IDC, l'utilisation des agents par les entreprises du classement Global 2000 sera multipliée par dix d'ici 2027, tandis que les volumes de jetons et d'appels d'API seront multipliés par mille. 

Et les entreprises elles-mêmes ne pensent pas être prêtes.

Notre Étude 2026 des impacts sur la sécurité des API montre que les capacités de défense ne progressent pas au même rythme que le développement.

Au cours des douze derniers mois, 87 % des 1 840 professionnels de la sécurité interrogés ont été confrontés à un incident de sécurité lié aux API. Autre fait révélateur, 42 % de ces incidents impliquaient des API directement associées à leurs technologies d'IA, qu'il s'agisse d'applications d'IA destinées aux clients ou d'agents opérant en coulisses. 

Malgré ces résultats, seules 18 % des personnes interrogées estiment être pleinement préparées à faire face à ce type d'attaque. Ils se retrouvent dans une situation où leur principale surface d'attaque est aussi celle qu'ils maîtrisent le moins.

Les équipes de sécurité semblent toutefois bien mesurer les enjeux. Interrogés sur les risques associés aux API connectées aux grands modèles de langage (LLM), les répondants ont cité comme trois principales préoccupations les API susceptibles de divulguer des informations sensibles ou d'être utilisées pour exfiltrer des données, l'exploitation par des attaquants de points de terminaison d'API liés aux LLM insuffisamment sécurisés, et les injections de prompts conduisant les API à exécuter des actions à partir de résultats malveillants. 

L'essor du développement assisté par l'IA, souvent appelé « vibe coding », n'a pas arrangé les choses. Cette approche privilégie la rapidité de production et les démonstrations fonctionnelles, plutôt que des tests de sécurité rigoureux.

Si elle accroît la productivité, elle aboutit fréquemment à des API dont les mécanismes d'autorisation sont insuffisamment sécurisés ou qui exposent des informations sensibles dans leurs messages d'erreur. Les attaquants utilisent désormais l'IA générative pour exploiter ces failles aussi vite qu'elles sont créées.

Dans ce contexte, les passerelles jouent un rôle crucial. Les passerelles dédiées à l'IA doivent évoluer pour intégrer des registres d'agents et des mécanismes de vérification des clients afin de limiter les risques.

À mesure que les entreprises évoluent vers une communication de type agent à agent (A2A), l'écosystème des menaces s'étend de manière exponentielle. Votre sécurité ne se limite plus à votre seule infrastructure interne.

Si un agent interne fait appel à un outil d'IA externe pour effectuer une analyse et que cet outil est compromis, il peut réinjecter des données altérées dans votre environnement. Cela crée une « chaîne d'empoisonnement », dans laquelle des données sont exfiltrées sans autorisation et sans qu'aucune intervention humaine directe ne soit nécessaire.

Ces échanges automatisés se déroulent en quelques millisecondes. En l'absence d'une visibilité en temps réel, ils passent inaperçus jusqu'à ce qu'une violation de sécurité soit détectée, souvent longtemps après qu'elle se soit produite.

Pour cesser de faire obstacle à l'IA et devenir un véritable moteur de son adoption, les équipes de sécurité doivent pouvoir soutenir l'innovation sans compromettre la sécurité. La solution réside dans un modèle d'exécution multicouche qui protège les applications à chaque niveau, de la connexion initiale à une API jusqu'au résultat final généré par le modèle.

Cette stratégie s'articule autour de trois phases essentielles :

1. Découverte continue
2. Contrôle au niveau de la passerelle
3. Renforcement de la sécurité à l'exécution

Allez au-delà de la documentation statique en recourant à une découverte comportementale en temps réel, afin de cartographier les API fantômes et les serveurs de contexte non supervisés à partir du trafic réellement observé. En reliant directement les vulnérabilités détectées dans l'environnement d'exécution au dépôt de code du développeur concerné, les équipes peuvent passer beaucoup plus rapidement de l'identification du problème à sa remédiation.

Faites transiter l'ensemble du trafic lié à l'IA, interne comme externe, par une passerelle gérée et conçue pour l'IA. Cette méthode crée un point de contrôle centralisé qui permet d'appliquer des limitations de débit, de gérer les identifiants et de remplacer les clés API génériques par des identités d'agents associées à des autorisations précisément définies.

Déployez des pare-feux dédiés à l'analyse du contenu et de la logique pour contrôler en temps réel les données entrantes et sortantes. Ces outils jouent le rôle de garde-fous actifs en neutralisant les injections de prompts malveillantes et en masquant automatiquement les données sensibles, telles que les informations personnelles identifiables, avant qu'elles n'atteignent un LLM tiers ou une base de données vectorielle interne. 

En considérant la visibilité comme le prérequis à toute stratégie de protection, les responsables de la sécurité peuvent abandonner les approches fragmentées reposant sur plusieurs outils spécialisés et mettre en place une défense unifiée qui réduit les risques sans ralentir l'activité de l'entreprise.

Cet article de blog aborde certains des principaux risques, mais ce n'est qu'une partie du tableau. Notre guide stratégique aide les professionnels de la sécurité à réussir leur transition vers une stratégie de sécurité de l'IA plus résiliente. Téléchargez-le pour découvrir comment Akamai peut contribuer à combler le manque de visibilité dès aujourd'hui.