La sortie du modèle Mythos par Anthropic et la formation de l’alliance Glasswing — Anthropic plus onze géants américains, dont AWS, Google, Microsoft, Nvidia, Cisco, CrowdStrike et Palo Alto Networks — ont transformé l’IA offensive de menace prospective en sujet opérationnel. Le Campus Cyber a publié début mai 2026 une note d’alerte demandant aux dirigeants et aux RSSI français de préparer leur organisation à une vague de failles zero-day découvertes par IA, attendue dans les trois à six mois. Pour les grands comptes, la feuille de route existe déjà. Pour les PME et ETI, qui n’ont ni équipe dédiée ni budget illimité, la question est différente : par quoi commencer dans les trente prochains jours sans tout casser ?
Cet article décline les quatre axes de la note du Campus Cyber en chantiers adaptés à la réalité d’une PME-ETI : objectifs concrets, outils accessibles, livrables mesurables. Aucun de ces chantiers n’attend Mythos pour devenir utile — ils consolident la posture de l’entreprise face à la vague IA et face au quotidien des ransomwares et autres campagnes opportunistes.
Pourquoi l’IA offensive change la donne pour les structures de taille intermédiaire
Le saut de performance constaté avec Mythos ne tient pas à une rupture technologique mais à la combinaison de trois capacités déjà existantes, désormais industrialisées : découverte automatisée de vulnérabilités sur du code source ou des binaires, chaînage de raisonnement pour reconstruire un chemin d’attaque cohérent, et exploitation à grande échelle. Les équipes américaines partenaires de Glasswing affirment compresser l’équivalent d’un an de pentest humain en trois semaines de calcul. Le modèle reste pour l’instant réservé à l’alliance pendant au moins trois mois, mais OpenAI a déjà répondu avec GPT-5.4 Cyber puis GPT-5.5, et des équivalents open source — probablement d’origine chinoise — sont attendus d’ici fin 2026.
Conséquence concrète : la fenêtre d’exploitation entre divulgation d’une CVE et exploit fonctionnel va se compresser, et le volume global de vulnérabilités révélées risque de dépasser la capacité humaine de traitement. Les éditeurs auront du mal à patcher au rythme, les SI internes auront du mal à appliquer les patchs au rythme. Pour une PME-ETI sans astreinte 24/7 ni équipe sécurité dédiée, l’écart se creuse vite. L’enjeu n’est pas de prédire la date du « big bang », mais d’absorber la première vague sans interruption métier majeure.
Chantier 1 : cartographier vos actifs critiques en 10 jours, pas en 10 mois
La première recommandation du Campus Cyber est d’actualiser l’inventaire des actifs et des dépendances. Pour une PME-ETI, l’objectif n’est pas une CMDB parfaite mais une liste utilisable en cas de panique. À produire sous dix jours ouvrés :
- Liste des cinq applications métier sans lesquelles l’entreprise ne fonctionne pas 48h : ERP, CRM, messagerie, outil de facturation, plateforme client. Pour chacune, noter l’éditeur, la version exacte et l’exposition Internet.
- Inventaire serveur en une commande : sur chaque hôte Linux,
dpkg -l > /var/lib/inv-$(hostname).txtourpm -qa; sous Windows,winget listou un exportGet-WmiObject Win32_Product. Centraliser les fichiers dans un dossier partagé chiffré. - Carte des accès externes : VPN, RDP exposé, portails fournisseurs, accès partenaires. Un simple tableur listant adresse IP, service, propriétaire métier, date du dernier audit suffit.
- SBOM minimale pour vos applis internes : si vous développez ou opérez du code custom, générer une Software Bill of Materials avec Syft ou
npm sbom/pip-audit. C’est l’unique moyen de répondre vite à un « est-ce qu’on utilise cette lib vulnérable ? ».
Cette base servira de socle à tous les chantiers suivants. Sans elle, aucune priorisation n’est crédible le jour où dix CVE critiques tomberont en même temps.
Chantier 2 : organiser un exercice « vague zero-day » de deux heures
Le Campus Cyber recommande des exercices de simulation pour préconfigurer les arbitrages. Pour une PME-ETI, inutile de viser un format red team coûteux : un tabletop de deux heures avec direction générale, responsable IT, prestataire infogérance et représentant métier suffit à révéler les nœuds de décision. Scénario type à dérouler :
- T+0 — annonce publique de quatre CVE critiques touchant un composant largement déployé (Microsoft Exchange, VMware, Citrix, Fortinet). Pas de patch dans les 72h.
- T+2h — question : qui décide d’arrêter le service exposé ? Qui prévient les clients ? Qui rédige la communication ?
- T+24h — un correctif partiel sort. Question : qui valide le déploiement en production sans tests complets ? Quelle est la perte métier acceptable ?
- T+72h — un PoC public circule. Question : que coupe-t-on en priorité si la charge des équipes ne permet pas tout traiter ?
Le livrable attendu n’est pas un rapport mais un document d’une page intitulé « arbitrages préapprouvés pour incident massif », signé par le dirigeant. Il lève l’inertie décisionnelle le jour J. Trois questions à trancher au minimum : seuil d’autorisation de coupure de service, autorité de communication externe, budget exceptionnel mobilisable sans validation supplémentaire.
Chantier 3 : segmenter le réseau pour réduire le rayon d’impact
Face à une exploitation IA-accélérée, la mesure technique au meilleur ratio coût-efficacité reste la segmentation réseau. L’objectif est de garantir qu’une compromission d’un poste ou d’un serveur ne se traduit pas en compromission complète du SI. Trois actions concrètes :
- Isoler les serveurs métier critiques : un VLAN dédié pour l’ERP / la base de données / le serveur de fichiers, avec règles pare-feu explicites. Tout flux non listé est refusé. Sur un firewall existant (pfSense, OPNsense, Fortigate, Unifi) la création d’un VLAN et de deux règles prend une demi-journée.
- Couper les flux Est-Ouest entre postes utilisateurs : activer l’isolation client sur le Wi-Fi entreprise (option client isolation chez tous les vendors), et sur le LAN câblé interdire les flux SMB/RDP/WinRM entre postes via une GPO ou un firewall L2. Ralentit drastiquement la propagation d’un rançongiciel.
- Mettre les sauvegardes hors d’atteinte : sauvegardes immuables (mode WORM) ou stockage déconnecté quotidien, avec compte d’accès distinct de l’AD principal. C’est la seule garantie de remédiation dans un scénario zero-day non patché.
Ces trois mesures, prises ensemble, divisent typiquement par cinq le temps moyen de remédiation après incident dans nos audits PME-ETI. Elles préparent aussi le terrain à la conformité NIS 2 qui devient obligatoire pour de nombreuses entités intermédiaires.
Chantier 4 : construire un socle de défense augmentée par l’IA
La note du Campus Cyber recommande de bâtir un plan de défense augmentée par l’IA en respectant deux conditions : recours à une IA européenne ou open source partout où c’est possible pour préserver l’autonomie, et supervision humaine permanente. Pour une PME-ETI, ce socle peut être assemblé en combinant trois briques complémentaires plutôt qu’en cherchant une plateforme unique :
- Une brique EDR de premier plan en sonde de terrain, type CrowdStrike Falcon sur les postes et serveurs. C’est la couche qui détecte et bloque en quelques secondes les comportements offensifs accélérés par IA : ransomware, mouvements latéraux, scripts living-off-the-land, exfiltration. CrowdStrike est le standard du marché sur cette télémétrie : on l’utilise pour la profondeur du capteur et la rapidité de blocage, sans dépendre de son assistant IA propriétaire pour l’analyse — c’est précisément le rôle de la brique suivante.
- L’Agentic SOC ucyber.ai en cerveau de décision : notre Agentic SOC ingère la télémétrie EDR (CrowdStrike ou autre) et les logs Wazuh, applique nos propres modèles IA souverains pour qualifier, contextualiser et prioriser les alertes 24/7, puis n’escalade aux analystes humains que les incidents qui le méritent. Le pilotage se fait sur un tableau de bord lisible par un dirigeant. C’est la couche qui transforme le flux brut de capteur en décisions, qui absorbe la montée en volume liée à la vague zero-day sans recrutement supplémentaire, et qui garde l’IA décisionnelle sous contrôle européen.
- Une brique IA locale pour les cas sensibles : triage automatique des CVE croisé avec votre inventaire (chantier 1), scanner statique sur la chaîne CI/CD si vous éditez du code, enrichissement de règles Wazuh ou Velociraptor par un LLM local. Pour cette couche, un agent sur Mistral, Qwen ou Llama via Ollama reste la voie la plus simple — à condition d’avoir cloisonné le runtime, voir notre tutoriel sur la faille Ollama Bleeding Llama pour ne pas créer une nouvelle surface d’attaque en intégrant ces runtimes.
L’articulation entre ces trois briques se résume à un schéma simple : CrowdStrike voit et bloque sur le poste, l’Agentic SOC ucyber.ai pense et oriente la réponse 24/7 avec son IA souveraine, l’IA locale traite les tâches où vous voulez garder la donnée à l’intérieur du SI. Aucune brique unique ne doit devenir un point de dépendance bloquant : multiplier les fournisseurs et conserver une option self-hosted de secours est la règle, dans la lignée de notre approche gouvernance des agents IA. Pour une PME-ETI qui démarre sans équipe sécurité interne, le couple EDR de premier plan en capteur + Agentic SOC ucyber.ai en cerveau est aujourd’hui la meilleure manière d’atteindre rapidement le niveau de protection des grands groupes, sans renoncer à la souveraineté de l’IA décisionnelle et sans en supporter la complexité.
Conclusion : la fenêtre utile se compte en semaines, pas en années
L’IA offensive ne va pas remplacer demain les attaques humaines ; elle va les démultiplier et compresser leurs cycles. Pour une PME-ETI, la bonne stratégie n’est pas d’attendre une norme européenne ou un produit miracle, mais d’utiliser les trente prochains jours pour produire quatre livrables concrets : un inventaire utilisable, un document d’arbitrages préapprouvés, un plan de segmentation réseau réalisable et une feuille de route IA défensive avec souveraineté préservée. Ces quatre chantiers ne coûtent pas un budget infrastructure significatif, mais ils créent l’écart qui sépare une organisation prête d’une organisation submergée le jour où la première vague atteindra son secteur. Le moment d’arbitrer est celui où l’on a encore le choix.