Cartographie des menaces liées à l'IA agentique : MITRE ATT&CK exige des workflows riches en preuves

Les menaces cyber assistées par IA deviennent suffisamment précises pour être cartographiées. En juin 2026, Anthropic a publié une analyse de comptes cyber malveillants cartographiés sur MITRE ATT&CK. Le constat important pour les défenseurs n'est pas que les attaquants utilisent l'IA pour le phishing. C'est que l'IA s'installe plus profondément dans le cycle de vie de l'attaque, y compris dans la découverte, l'élévation de privilèges et le support au mouvement latéral.

Cela compte parce que l'IA agentique change le rythme. Un attaquant humain peut marquer des pauses entre les étapes. Un workflow piloté par un modèle peut enchaîner des tâches, exécuter des outils, résumer les résultats et choisir l'action suivante. ATT&CK reste utile, mais la seule cartographie des techniques peut sous-estimer le risque lorsque la véritable capacité réside dans l'orchestration.

La cartographie ATT&CK est nécessaire mais incomplète

MITRE ATT&CK donne aux défenseurs un langage commun. Il aide à relier un comportement observé à des tactiques et des techniques, à comparer des cas et à construire des détections. Mais il ne répond pas automatiquement aux questions suivantes :

• quel degré d'autonomie était en jeu ;
• si l'IA a enchaîné plusieurs phases ;
• quels observables subsistent après chaque étape ;
• où le défenseur peut introduire de la friction ;
• quels signaux d'enrichissement étayent la cartographie des techniques.

C'est pourquoi une évaluation générée par IA a besoin de workflows riches en preuves. Une synthèse qui affirme « mouvement latéral possible » est faible tant qu'elle ne renvoie pas à des comptes, des hôtes, des commandes, des domaines, des IP, des hashs et des horodatages.

L'infrastructure produit toujours des preuves

L'IA peut générer du code, des leurres et des décisions, mais les attaques laissent toujours des traces d'infrastructure. Les équipes SOC doivent enrichir :

• les domaines de phishing et les fausses URL de connexion ;
• les IP utilisées pour le scan ou les rappels (callbacks) ;
• les hashs de payloads et de loaders ;
• l'historique DNS pour le regroupement de campagnes ;
• la réutilisation de certificats entre domaines ;
• les endpoints de connexion SaaS et SSO suspects.

Utilisez la threat intelligence sur les domaines, le scan d'URL, la réputation d'IP, la recherche de hash de fichier et l'historique DNS pour ancrer dans des preuves l'analyse assistée par IA.

Conséquences pour le detection engineering

Les équipes de détection doivent éviter les règles qui se contentent d'annoncer « attaque IA ». Cette étiquette n'est pas observable. Construisez les détections autour des comportements que l'IA peut accélérer :

• une reconnaissance anormalement rapide sur de nombreux services ;
• une découverte de comptes scriptée après un point d'entrée de faible valeur ;
• des variations répétées de payloads partageant la même infrastructure ;
• des séquences de commandes qui semblent assistées par outil ;
• une infrastructure de phishing qui génère de nombreuses variantes de domaines ;
• un pivot rapide d'un annuaire d'identités vers plusieurs applications SaaS.

Reliez ensuite le comportement à ATT&CK lorsque c'est possible et attachez-y les observables enrichis. Le SOC dispose alors d'un récit exploitable : ce qui s'est passé, à quelle technique cela ressemble, quels indicateurs étayent le dossier et quelle mesure de confinement s'impose ensuite.

L'IA agentique risque de brouiller la frontière entre acteurs peu qualifiés et acteurs très qualifiés. La réponse défensive n'est pas de surinvestir dans les étiquettes d'acteurs. Concentrez-vous sur le comportement, l'infrastructure et le rayon d'impact.

Tenez l'IA à l'écart des verdicts sans fondement

L'IA doit aider les analystes à lire le dossier. Elle ne doit pas décider qu'un indicateur est malveillant sans preuve. Un workflow fiable ressemble à ceci :

1. collecter les observables issus des alertes et des logs ;
2. enrichir les observables avec des sources de confiance ;
3. consigner le niveau de confiance et la fraîcheur des sources ;
4. cartographier le comportement sur ATT&CK lorsque les preuves le justifient ;
5. demander à l'IA de synthétiser et de proposer les prochaines étapes ;
6. conserver les preuves brutes dans le dossier.

Le précédent guide isMalicious sur les cyberattaques assistées par IA et MITRE ATT&CK couvre le cadre général. Cet article se concentre sur l'angle opérationnel de juillet 2026 : l'orchestration agentique rend la discipline de la preuve plus importante, pas moins.

Ce qu'il faut consigner dans le dossier d'incident

Toute investigation impliquant une menace assistée par IA doit conserver la matière première : l'alerte d'origine, l'utilisateur affecté, les commandes, les URL, les domaines, les IP, les hashs de fichiers, la réponse d'enrichissement, la cartographie ATT&CK et la décision de l'analyste. Ce dossier compte pour l'amélioration de la détection comme pour le reporting exécutif. Il évite aussi que les synthèses IA ne deviennent la seule mémoire de l'incident.

Passage à l'action

Consultez la documentation API, branchez l'enrichissement sur vos workflows SOC et appuyez-vous sur un contexte d'IOC adossé à des sources avant de demander à l'IA de synthétiser une investigation. L'IA agentique rend les attaquants plus rapides. La qualité des preuves évite aux défenseurs de se tromper plus vite.