Sommaire
Les grands modèles de langage (LLMs) s’imposent peu à peu dans tous les secteurs, y compris celui, hautement stratégique, de la cybersécurité. Mais que changent-ils réellement ? Une étude interdisciplinaire menée par des chercheurs de l’université de New York dresse un état des lieux précis et ambitieux de cette convergence, et propose une feuille de route concrète. Décryptage.
Des modèles capables d’anticiper, d’analyser et d’agir
Le premier apport des LLMs en cybersécurité est clair : ils permettent d’exploiter à grande échelle des masses de textes jusque-là sous-utilisées, comme les rapports d’incidents, les flux de renseignement sur les menaces (CTI) ou les logs système . Résultat: une détection plus rapide des vulnérabilités, attaques et comportements suspects, avec une capacité à générer des résumés, classer des incidents ou suggérer des actions.
Les LLMs peuvent aussi être spécialisés: des modèles comme SecureBERT, entraînés sur des corpus de cybersécurité, offrent de bien meilleurs résultats que les modèles généralistes. Encore faut-il les affiner correctement, avec des prompts bien conçus et des données pertinentes – un savoir-faire encore rare dans les entreprises.
Cybersécurité des réseaux 5G : l’IA à la rescousse
Le rapport souligne également l’intérêt des LLMs pour tester la sécurité des réseaux 5G, souvent mal protégés en phase pré-chiffrement. Deux approches coexistent :
-
Top-down : extraction des règles à partir de milliers de pages de spécifications techniques.
-
Bottom-up : analyse directe du trafic pour repérer des anomalies.
Dans les deux cas, les LLMs permettent d’automatiser la génération de cas de test, de simuler des attaques par fuzzing, et de repérer des failles difficiles à détecter manuellement.
Vers une nouvelle génération d’agents autonomes de cybersécurité
L’étude insiste sur l’émergence d’agents "LLM-based" capables non seulement d’analyser les menaces, mais aussi de raisonner, planifier et interagir avec leur environnement. Grâce à des techniques comme le Retrieval-Augmented Generation (RAG) ou Graph-RAG, ces agents peuvent croiser plusieurs sources pour produire des réponses complexes et contextuelles.
Mieux encore : en organisant ces agents en systèmes multi-agents (ou via des meta-agents), il devient possible de couvrir l’ensemble du cycle de réponse à une attaque : détection, analyse, réaction, remédiation.
Former, simuler, sécuriser : les usages pédagogiques se précisent
Une autre innovation notable concerne l’usage des LLMs dans la formation à la cybersécurité. Des cours expérimentaux ont déjà été menés : ils intègrent code summarization, détection de vulnérabilités, intelligence sur les menaces ou encore ingénierie sociale assistée par IA. Six leçons clés en ressortent : créativité, portabilité, scepticisme, agilité, sécurité et coût.
Entre automatisation et vigilance humaine
Mais attention : les LLMs ne sont pas des panacées. Leur manque de cohérence, leur tendance aux hallucinations, les biais statistiques, ou encore leur vulnérabilité aux attaques par "jailbreak" (contournement des garde-fous) imposent des garde-fous solides.
Le rapport préconise donc une approche hybride : associer les LLMs à des humains dans la boucle, multiplier les vérifications, spécialiser les modèles plutôt que viser un modèle unique, et introduire des mécanismes de contrôle et d’audit robustes (blockchain, métriques de confiance, etc.).
Pour une IA de confiance en cybersécurité
Les chercheurs insistent sur trois piliers pour bâtir une IA de confiance :
-
Interprétabilité : les décisions des modèles doivent être compréhensibles.
-
Robustesse : ils doivent résister aux variations et attaques adverses.
-
Équité : éviter les biais, notamment dans des domaines sensibles comme la justice ou les finances.
Leur objectif : faire en sorte que l’IA ne soit pas un nouveau risque, mais bien un atout durable pour renforcer la résilience des organisations face à des menaces toujours plus complexes.
Référence de l'étude : arXiv:2505.00841v1
Pour mieux comprendre (assisté par l'IA)
Qu'est-ce que le <span dir="ltr">Retrieval-Augmented Generation (RAG)<\/span> et comment est-il utilisé dans les agents autonomes de cybersécurité ?
Le <span dir="ltr">Retrieval-Augmented Generation (RAG)<\/span> est une technique qui combine la génération de texte avec un système de récupération d'informations pertinentes pour produire des réponses contextualisées. En cybersécurité, il permet aux agents autonomes d'accéder et d'intégrer des informations de plusieurs sources pour élaborer des réponses adaptées aux menaces identifiées.
Pourquoi est-il important de former des modèles LLM spécialisés pour la cybersécurité, par rapport à l'utilisation de modèles généralistes ?
Les modèles LLM spécialisés, comme SecureBERT, sont entraînés sur des corpus de données spécifiques à la cybersécurité, ce qui leur permet de mieux comprendre et identifier les menaces spécifiques à ce domaine. Les modèles généralistes manquent souvent de la profondeur nécessaire pour traiter des questions de sécurité complexes et pourraient ignorer des subtilités essentielles à la détection des cyberattaques.