Comment les rançongiciels agentiques transforment la cybersécurité des entreprises 

L’émergence des rançongiciels agentiques suscite des inquiétudes quant à la manière dont l’intelligence artificielle (IA) pourrait transformer les cyberattaques. 

Contrairement aux rançongiciels traditionnels qui reposent sur des scripts prédéfinis ou des opérateurs humains, le rançongiciel agentique peut prendre des décisions, s’adapter aux obstacles et mener des attaques avec une intervention humaine minimale. 

Pour mieux comprendre ce que cela signifie pour les responsables de la sécurité, je me suis récemment entretenu par e-mail avec Ariel Parnes, directeur des opérations et cofondateur de Mitiga, au sujet des implications des recherches récentes de Sysdig’s sur JadePuffer.

Principaux enseignements sur les rançongiciels agentiques 

• JadePuffer montre comment un rançongiciel agentique peut effectuer de manière autonome la reconnaissance, le vol d’identifiants, les déplacements latéraux et le chiffrement, tout en s’adaptant à l’évolution des conditions.
• Contrairement aux rançongiciels automatisés traditionnels, les rançongiciels agentiques peuvent improviser, recalculer les itinéraires d’attaque et fonctionner à la vitesse d’une machine avec une intervention humaine minimale.
• Les rançongiciels agentiques exploitent principalement des faiblesses connues, notamment les systèmes exposés sur Internet, les vulnérabilités connues, une gouvernance insuffisante des identifiants et des privilèges excessifs.
• Les organisations peuvent réduire les risques en renforçant la gouvernance des identifiants, en limitant l’exposition sur Internet, en adoptant la détection comportementale et en préautorisant les mesures de confinement des incidents.
• Les défenseurs doivent associer la détection et la réponse assistées par l’IA à une supervision humaine afin de mieux faire face à des cybermenaces de plus en plus autonomes.

Comment JadePuffer transforme les attaques par rançongiciel automatisées 

Selon Parnes, l’importance de JadePuffer tient moins au concept d’automatisation lui-même qu’à la capacité des agents d’IA à s’adapter dynamiquement au cours d’une attaque. 

Si les campagnes de rançongiciels entièrement automatisées existent depuis des années, JadePuffer a démontré qu’un agent d’IA pouvait gérer la reconnaissance, le vol d’identifiants, les déplacements latéraux, la persistance, le chiffrement et d’autres étapes d’une attaque. 

Selon Parnes, l’avancée la plus significative réside dans la capacité de l’agent à improviser. 

Plutôt que de suivre un arbre de décision fixe comme les attaques automatisées précédentes, l’agent d’IA pouvait repérer les actions qui échouaient, déterminer une autre voie et continuer à progresser vers son objectif sans intervention humaine. 

Bien que la campagne ait continué à cibler des infrastructures exposées et des vulnérabilités connues, sa capacité à recalculer son approche en temps réel représente une évolution importante des capacités des attaquants.

Pourquoi les rançongiciels agentiques mettent à l’épreuve la détection traditionnelle 

Cette capacité d’adaptation a des implications majeures pour les défenseurs. 

Parnes a souligné que de nombreuses équipes de sécurité partent du principe que les attaquants ont besoin de temps entre les différentes étapes d’une attaque, ce qui donne aux analystes l’occasion d’examiner les alertes et d’intervenir. 

Les agents d’IA autonomes compriment considérablement ce délai en opérant à la vitesse d’une machine, réduisant ainsi la fenêtre disponible pour la détection et le confinement. 

Il a également averti que les attaques pilotées par l’IA risquaient de devenir plus difficiles à identifier au moyen des indicateurs traditionnels de compromission, car les agents peuvent modifier continuellement leurs techniques au cours d’une opération.

Malgré ces nouvelles capacités, Parnes a mis en garde contre l’idée que les rançongiciels agentiques constitueraient un problème de sécurité totalement inédit. 

Selon lui, ces attaques continuent d’exploiter des faiblesses connues, notamment les services exposés sur Internet, les vulnérabilités connues, les identifiants mal gérés et les privilèges excessifs. 

Plutôt que d’introduire des vecteurs d’attaque entièrement nouveaux, les agents d’IA permettent simplement aux adversaires d’identifier et d’exploiter plus efficacement les faiblesses existantes.

Comment les RSSI peuvent se préparer aux attaques de rançongiciels autonomes 

Pour les RSSI qui se préparent pour les 30 à 90 prochains jours, Parnes recommande de se concentrer sur trois priorités. 

Premièrement, les organisations doivent renforcer la gouvernance des identifiants en supprimant les secrets inutiles, en renouvelant les identifiants exposés, en limitant les accès privilégiés et en supprimant les mots de passe par défaut. 

Deuxièmement, les équipes de sécurité doivent réduire leur surface d’attaque exposée sur Internet en répertoriant les systèmes exposés et en donnant la priorité à la correction des vulnérabilités connues et exploitables, en particulier dans les infrastructures d’IA et de développement. 

Enfin, les organisations doivent investir dans la détection comportementale et des mesures de confinement préautorisées capables de réagir à la vitesse d’une machine, plutôt que de s’appuyer principalement sur une détection basée sur les signatures.

Parnes estime également que les stratégies de réponse aux incidents doivent évoluer au même rythme que les menaces autonomes. 

Au lieu de s’appuyer sur des procédures statiques qui supposent que les attaquants marqueront une pause entre leurs actions, les organisations devraient prédéfinir des mesures de confinement, comme l’isolement des hôtes compromis, la révocation des identifiants et la fermeture des sessions, avant que les incidents ne surviennent. 

Il recommande également de mener des exercices sur table qui supposent que les attaques progressent en quelques minutes plutôt qu’en quelques heures, afin de permettre aux équipes de sécurité d’identifier les goulets d’étranglement procéduraux avant qu’un incident réel ne se produise.

Comment l’IA peut aider les organisations à se défendre contre les rançongiciels agentiques 

À l’avenir, Parnes s’attend à ce que les organisations doivent également intégrer l’IA à leurs opérations de défense. 

La détection automatisée, la corrélation des données de télémétrie, le triage de premier niveau et le confinement préapprouvé peuvent aider les défenseurs à suivre le rythme des attaquants autonomes. 

Il a toutefois insisté sur le fait que la prise de décision stratégique, l’évaluation des risques, les considérations juridiques et la responsabilité doivent rester sous supervision humaine. 

À mesure que les agents d’IA deviennent de plus en plus courants des deux côtés de la cybersécurité, les organisations doivent associer l’automatisation à la vitesse des machines à une sécurité solide des identités, à une gouvernance rigoureuse des identifiants et à une détection comportementale pour faire face à l’évolution des menaces.