Dans le paysage actuel de la cybersécurité, nous croulons sous les données mais manquons cruellement d’informations exploitables. L’IA traditionnelle excelle dans la reconnaissance de modèles (corrélation), mais dans les environnements de sécurité à haut risque, la corrélation constitue un handicap.
L’IA causale apporte le « raisonnement » (le pourquoi), tandis que l’IA agentique assure l’« exécution » (le comment). Pour construire des systèmes véritablement résilients, nous devons aller au-delà de la simple prédiction des menaces et chercher à comprendre les mécanismes causaux qui leur permettent de se développer.
1. Énoncé du problème : la crise de confiance
Les centres d’opérations de sécurité (SOC) modernes sont confrontés à un déficit de confiance fondamental. Les modèles prédictifs traditionnels signalent souvent des « anomalies » qui ne sont que du bruit, ce qui entraîne une fatigue des alertes.
- Le problème : les données sont bruitées, corrélées et manquent d’étiquettes.
- Conséquence : les analystes ont du mal à faire la distinction entre un « événement corrélé » (un utilisateur se connectant depuis une nouvelle adresse IP) et un « événement causal » (cette connexion déclenchant directement une fuite de données non autorisée).
- La solution : intégrer une IA causale afin de fournir une chaîne logique vérifiable et lisible par l’homme pour chaque action automatisée.
2. L’IA causale en action : cas d’utilisation en cybersécurité
En appliquant des modèles causaux structurels, les organisations peuvent passer d’une approche réactive de correction des failles à une résilience proactive.
- Chaîne causale menant à l’apparition d’une faille : au lieu de considérer une faille comme un événement isolé, l’IA causale cartographie « l’effet papillon » de modifications mineures de configuration et la manière dont celles-ci s’enchaînent pour créer une vulnérabilité critique.
- Sélection optimale des mesures de contrôle : si le budget ne permet qu’une seule mise à niveau, l’IA causale peut simuler le « calcul du choix » : si nous mettons en œuvre la microsegmentation plutôt que la détection et la réponse au niveau des terminaux, comment la probabilité causale d’un mouvement latéral évolue-t-elle ?
- Hiérarchisation des vulnérabilités via le risque causal : allez au-delà du système statique de notation commune des vulnérabilités (CVSS). Utilisez l’IA causale pour hiérarchiser les vulnérabilités en fonction de leur « accessibilité causale » réelle au sein de votre topologie de réseau spécifique.
- Jumeaux numériques pour la simulation de la posture de sécurité : créez un « jumeau numérique de sécurité » pour tester des scénarios d’intervention hypothétiques. Cela permet aux RSSI de soumettre les stratégies de résilience à des tests de résistance dans un environnement virtuel avant de les déployer en production.
3. Le cadre de résilience : raisonnement + exécution
La véritable résilience est la capacité d’un système à maintenir son état et son objectif lors d’une attaque. Nous proposons une architecture à deux niveaux :
| Composant | Rôle | Analogique |
| IA causale | Raisonnement et prise de décision | Le cerveau |
| IA agentique | Exécution et Recovery | Les mains |
La boucle de rétroaction :
Lorsqu’une IA agentique effectue une tâche (par exemple, isoler un serveur compromis), l’IA causale surveille les journaux (Étape 4 : Recovery de l’état). Si l’agent échoue, l’IA causale analyse les données télémétriques pour déterminer s’il s’agit d’une défaillance systémique ou d’une cause externe (par exemple, « L’agent n’a pas échoué ; l’API d’inventaire a renvoyé une valeur nulle »).
4. Dégradation en douceur et niveaux de repli
La résilience nécessite de savoir quand s’arrêter. Nous mettons en œuvre des « solutions de repli causales » afin que, si le raisonnement de l’IA devient incertain, le système se dégrade en toute sécurité plutôt que de subir une défaillance catastrophique.
Niveau 1 : Autonomie totale : l’IA causale confirme un haut niveau de confiance dans la cause première ; l’IA agentique corrige le problème.
Niveau 2 : Intervention humaine augmentée : l’IA causale fournit le « cheminement de raisonnement » à un analyste humain pour une validation rapide.
Niveau 3 : Mode basé sur des règles : le système revient à la logique « Six Sigma causale » – un protocole de sécurité strict et prédéfini qui privilégie la disponibilité plutôt que l’optimisation.
Niveau 4 : Mode « fail-closed » : si l’intégrité causale est perdue, le système isole les segments critiques pour empêcher l’effet papillon d’une faille qui se propage.
5. Impact sur le secteur : au-delà du SOC
- Santé et Internet des objets médicaux : l’IA causale permet de distinguer un moniteur cardiaque défectueux (bruit systémique) d’une attaque ciblant la télémétrie médicale.
- Télécommunications et 5G : gestion des dépendances causales complexes liées au découpage du réseau (network slicing) afin de vérifier qu’une faille dans une tranche à faible niveau de sécurité ne puisse pas avoir d’impact causal sur les services d’urgence.
6. Mesurer le succès : les nouveaux indicateurs clés de performance
Dans un environnement s’appuyant sur l’IA causale, le succès se mesure à la qualité des décisions, et non pas uniquement au nombre de menaces bloquées :
- Temps moyen de découverte causale : la rapidité avec laquelle la véritable cause première est identifiée par rapport au symptôme initial.
- Efficacité de l’intervention : pourcentage des modifications de sécurité ayant entraîné la réduction prévue du risque.
- Précision contrefactuelle : degré de correspondance entre les simulations du jumeau numérique et les résultats réels des incidents.
Et maintenant ?
L’avenir de la cyber-résilience ne réside pas seulement dans une IA plus intelligente, mais aussi dans une IA plus logique. En combinant la puissance d’exécution des systèmes agentiels avec la profondeur de raisonnement de l’IA causale, nous pouvons construire des architectures de sécurité qui ne se contentent pas de survivre aux attaques, mais qui les comprennent. Vidya Shankaran est directrice technique sur le terrain chez Commvault. 2025 Commvault. Consultez www.commvault.com/IP pour les marques déposées et les brevets.
