Pendant des années, la cybersécurité s'est construite autour d'une hypothèse implicite : celle d'un périmètre que l'on pourrait rendre étanche. Pare-feux, passerelles, outils de détection — l'essentiel des investissements a visé un seul instant, celui de l'accès initial. Cette logique reste dominante dans de nombreuses organisations. Elle repose pourtant sur un postulat de plus en plus fragile.

Ce postulat ne tient plus, non par manque d'efforts des équipes de défense, mais parce que le modèle lui-même atteint ses limites structurelles. Dans les environnements actuels, la compromission n'est plus une hypothèse marginale : elle devient l'issue la plus probable. La question qui compte réellement se déplace alors ailleurs — que se passe-t-il une fois l'attaquant à l'intérieur du système ?

L'accès initial n'est plus le cœur du problème

Dans la majorité des cas observés, obtenir un premier accès est rapide, parfois trivial pour l'attaquant. C'est la phase suivante — observation, exploration, déplacement latéral, extension de l'emprise — qui s'avère la plus déterminante pour l'issue de l'attaque.

C'est à ce stade que les attaquants cartographient les systèmes, repèrent les actifs à forte valeur et étendent silencieusement leur présence. Cette phase reste pourtant la moins maîtrisée par les organisations.

Le Panorama de la cybermenace 2025, publié par l'ANSSI le 11 mars 2026, illustre cette réalité. Le rapport documente des attaques qui s'inscrivent dans la durée, portées par des adversaires capables de progresser au sein des systèmes d'information sans être détectés pendant plusieurs jours, voire plusieurs semaines. Ces mouvements latéraux sont aujourd'hui au centre des stratégies d'attaque les plus efficaces.

Source : ANSSI, Panorama de la cybermenace 2025, 11 mars 2026.

Un attaquant qui circule librement dans un système n'a plus besoin d'un haut niveau de sophistication pour provoquer des dommages majeurs. Avec suffisamment de temps, un accès initialement limité peut se transformer en impact opérationnel, financier ou stratégique conséquent. Ce constat ne traduit pas un manque d'outils, mais la conséquence prévisible d'architectures conçues pour empêcher l'entrée — non pour contenir ce qui se passe une fois l'attaquant entré.

La propagation, nouveau terrain de jeu des attaquants

Cette dynamique se retrouve dans l'évolution des attaques par rançongiciel. Leur diminution relative pourrait laisser croire à un apaisement de la menace. En réalité, elle traduit une transformation des méthodes plus qu'un recul des risques.

Le chiffrement de données, visible et immédiat, cède progressivement la place à des stratégies d'exfiltration plus discrètes. L'objectif n'est plus seulement de bloquer l'activité d'une organisation, mais d'exploiter l'information dérobée pour exercer une pression dans la durée — parfois sans perturber immédiatement les opérations de la victime.

Ce basculement est révélateur : l'objectif final de l'attaque évolue, mais le levier utilisé pour y parvenir reste identique — la capacité à se déplacer à l'intérieur du système compromis. C'est précisément sur ce point que se situe l'angle mort de nombreuses stratégies de sécurité actuelles.

De nombreuses organisations continuent d'investir massivement dans la détection précoce et la prévention, tout en laissant leurs environnements internes fonctionner avec un niveau de confiance implicite élevé. Une fois l'attaquant entré, les communications internes restent largement ouvertes, les interactions entre systèmes peu contrôlées, et les possibilités de propagation quasi intactes. Traiter la résilience sans s'attaquer à cette réalité architecturale revient à répondre aux symptômes plutôt qu'à la cause.

Construire la résilience dans l'architecture

La résilience ne se décrète pas au niveau des discours ou des politiques internes : elle se construit au cœur même de l'architecture des systèmes d'information. Elle repose sur une capacité concrète — celle de contenir une attaque une fois qu'elle a débuté.

Isoler rapidement un périmètre compromis, empêcher un attaquant de basculer d'un environnement à un autre, maintenir les systèmes critiques opérationnels même en situation dégradée : ces mécanismes, invisibles lorsqu'ils fonctionnent correctement, deviennent déterminants le jour où un incident survient.

Cette exigence architecturale prend une dimension nouvelle avec la diffusion de l'intelligence artificielle. L'IA ne crée pas de catégories d'attaques inédites. Son effet est différent, et plus déstabilisant : elle comprime le temps disponible pour réagir. Elle accélère la reconnaissance des cibles, abaisse les barrières techniques à l'entrée, automatise certaines décisions offensives et permet aux attaquants d'agir plus rapidement que ne le permettent les modèles de sécurité traditionnels.

Dans un environnement où les mouvements internes sont déjà insuffisamment contrôlés, cette accélération devient un facteur déterminant. Le délai entre la compromission initiale et l'impact concret se réduit fortement : ce qui s'étalait auparavant sur plusieurs jours peut désormais se produire en quelques heures, voire quelques minutes.

Dans ce contexte, une stratégie reposant principalement sur la détection précoce et une réponse humaine n'est plus seulement incomplète — elle devient structurellement inadaptée face à la vitesse de la menace actuelle.

De la prévention au contrôle de l'impact

Ce constat appelle un changement de modèle : passer d'une cybersécurité centrée sur la prévention à une cybersécurité centrée sur le contrôle de l'impact. Il ne s'agit pas d'abandonner la prévention, mais de reconnaître ses limites, en particulier dans un contexte où l'intelligence artificielle tend à favoriser l'attaquant plutôt que le défenseur.

La question décisive n'est plus de savoir si une intrusion peut être évitée, mais si ses conséquences peuvent être maîtrisées une fois qu'elle s'est produite.

Le Panorama 2025 de l'ANSSI reflète cette évolution : le rapport met en évidence des attaques qui s'inscrivent dans la durée, des adversaires capables de se déplacer discrètement au sein des systèmes d'information, et une difficulté croissante à conserver le contrôle une fois qu'un attaquant a pénétré l'environnement.

Pris dans leur ensemble, ces éléments traduisent une forme de maturité collective : la prise de conscience que la compromission n'est pas une exception à éviter à tout prix, mais une situation qui doit être anticipée et gérée de manière proactive.

Dans ce cadre renouvelé, la question centrale posée aux responsables de la sécurité change de nature. Elle n'est plus : « Comment empêcher les attaquants de s'introduire ? » Elle devient : « Quels dommages pourront-ils causer une fois qu'ils seront à l'intérieur ? »

Dans un contexte accéléré par l'intelligence artificielle, cette question n'a plus rien de théorique. Elle est devenue urgente — et c'est elle que les architectures de sécurité modernes doivent désormais être conçues pour traiter en priorité.