L’IA ne se contente plus d’accélérer la cybersécurité : elle redéfinit ses règles. En 2026, KELA et Check Point décrivent un paysage où l’IA devient à la fois une arme d’attaque et une surface à protéger, tandis que les organisations doivent défendre des agents, des mémoires, des workflows autonomes et des identités machine autant que leurs serveurs et bases de données.
Le changement est concret, mesurable et déjà visible dans les priorités des RSSI. D’un côté, les attaquants exploitent l’IA pour industrialiser le phishing, la recherche de vulnérabilités et le ransomware ; de l’autre, les défenseurs s’en servent pour automatiser la détection, la réponse à incident et la production de rapports.
Ce basculement intervient dans un marché en forte expansion : Fortune Business Insights évalue le marché mondial de la cybersécurité à 218,98 milliards de dollars en 2025, puis 248,28 milliards en 2026, avec une projection à 699,39 milliards de dollars en 2034.
L’IA transforme la cybersécurité en terrain d’attaque et de défense simultané
La bascule la plus importante de 2026 est simple : l’IA n’est plus seulement un outil, elle devient un acteur du conflit cyber.
KELA décrit un environnement où l’IA accélère les découvertes de vulnérabilités, les opérations de ransomware, les campagnes de phishing et l’espionnage d’entreprise, tout en créant de nouvelles surfaces de risque pour les équipes de sécurité. Check Point va dans le même sens : son rapport 2026 indique que l’IA intervient désormais dans l’ingénierie sociale, le développement de logiciels malveillants, la recherche de vulnérabilités, la reconnaissance, la récolte d’identifiants, le mouvement latéral et l’analyse de données.
Cette évolution compte parce qu’elle modifie la vitesse des attaques. Le rapport de KELA souligne que les entreprises doivent désormais protéger non seulement l’infrastructure classique, mais aussi les actifs nés de l’IA : agents, bibliothèques d’invites, magasins de mémoire, workflows autonomes et identités de machine.
"L’IA façonne la cybersécurité des deux côtés" résume le message central de KELA.
Trois conséquences en découlent immédiatement :
- Les attaques peuvent être menées à plus grande échelle avec moins d’effort humain.
- Les signaux de confiance classiques, comme certains flux d’authentification ou de vérification d’identité, deviennent plus fragiles.
- Les équipes de sécurité doivent surveiller des objets nouveaux, souvent non couverts par les modèles de gouvernance hérités du SI traditionnel.
Pourquoi les attaques deviennent plus rapides, plus crédibles et plus difficiles à filtrer
Le vrai choc de l’IA n’est pas seulement le volume des attaques, mais leur qualité opérationnelle.
Check Point indique que l’IA joue un rôle direct dans plusieurs étapes d’une chaîne d’attaque, depuis la reconnaissance jusqu’à l’analyse de données volées. Cela signifie que les assaillants peuvent industrialiser des campagnes de phishing plus crédibles, produire plus vite du code malveillant et coordonner des actions multi-systèmes avec une orchestration plus fluide.
KELA ajoute que les modèles de langage open source et l’IA agentique changent la façon même dont la cybercriminalité est organisée. L’expression est importante : l’IA ne sert plus seulement à générer du texte ou à gagner du temps, elle participe à l’exécution de tâches qui, auparavant, nécessitaient plusieurs compétences humaines.
Un autre signal ressort des données de Check Point : entre 87 % et 93 % des organisations ont connu au moins une interaction d’IA générative à haut risque chaque mois. Cette fourchette ne décrit pas une attaque réussie dans chaque cas, mais elle indique une exposition massive des entreprises à des usages sensibles de l’IA.
Ce que cela change pour les équipes sécurité
La défense ne peut plus se limiter à surveiller les points d’entrée traditionnels.
- Le phishing peut être plus personnalisé et plus convaincant.
- La génération de code malveillant peut être accélérée.
- La reconnaissance peut être automatisée à plus grande échelle.
- Les chaînes d’attaque peuvent intégrer des agents capables d’exécuter des commandes et d’analyser des données volées.
💡 À retenir : la principale nouveauté n’est pas seulement que l’IA aide les attaquants, mais qu’elle réduit la friction entre l’intention malveillante et l’exécution technique.
Les défenseurs gagnent aussi en vitesse grâce à l’IA
L’autre face de cette révolution est tout aussi nette : l’IA augmente la productivité des équipes de cybersécurité.
Advens cite plusieurs usages défensifs concrets : génération automatique de rapports d’incident, documentation technique, modélisation et simulation de scénarios de risque, contenus de formation personnalisés, automatisation de la veille et synthèse de rapports techniques. Dans une discipline où les équipes sont souvent sous tension, ces gains de productivité comptent autant que les avancées purement techniques.
L’intérêt de l’IA côté défense est double. Elle peut d’abord traiter plus vite de grands volumes d’alertes, ce qui aide à repérer les signaux faibles dans des environnements saturés. Elle peut aussi réduire le temps passé sur des tâches répétitives, ce qui libère du temps pour l’investigation et la réponse à incident.
Les usages défensifs les plus matures
- Détection comportementale : repérer des anomalies d’usage plutôt que seulement des signatures connues.
- Automatisation de la veille : agréger et résumer des sources multiples plus vite qu’une lecture manuelle.
- Rapport d’incident assisté : produire plus rapidement des comptes rendus exploitables pour le management et les équipes techniques.
- Formation personnalisée : adapter les contenus de sensibilisation aux scénarios de risque observés.
Advens insiste aussi sur un point clé : l’IA doit être utilisée au-delà de la simple détection, pour améliorer la productivité globale des équipes cyber. C’est un changement important, car la promesse ne se limite pas à “voir plus vite”, mais à “agir mieux” sur l’ensemble de la chaîne opérationnelle.
Les chiffres qui montrent que le marché a déjà basculé
La croissance du marché confirme que la cybersécurité entre dans une phase d’industrialisation accélérée.
Fortune Business Insights estime le marché mondial de la cybersécurité à 218,98 milliards de dollars en 2025, puis à 248,28 milliards de dollars en 2026. Le même cabinet prévoit 699,39 milliards de dollars d’ici 2034, avec un TCAC de 13,8 % sur la période de prévision.
La géographie du marché reste aussi très concentrée : l’Amérique du Nord détenait 43,0 % du marché mondial en 2025 selon la même source. Cela suggère que les grands budgets, les grands fournisseurs et une part importante de l’innovation structurante restent encore fortement pilotés depuis cette région.
Ce que ces chiffres racontent vraiment
Le marché ne croît pas seulement parce que les organisations achètent plus d’outils. Il croît aussi parce que la surface de risque s’élargit avec le cloud, les identités machine, les agents d’IA et les chaînes d’approvisionnement logicielles plus complexes.
Le contexte réglementaire et opérationnel pousse également à cette hausse. Le Cigref, relayé par Leto, signale que le temps d’exploitation des vulnérabilités est devenu négatif dès 2024, l’exploitation précédant la publication du correctif d’un jour en moyenne, puis de sept jours en 2025. Dans ce contexte, les cycles de sécurité classiques deviennent trop lents.
"Un délai de 60 à 150 jours n’a plus de sens" dans un environnement où l’exploitation précède le correctif, selon l’analyse relayée par Leto à partir du Cigref.
Comparatif des approches et des priorités de sécurité en 2026
L’IA ne remplace pas les fondamentaux ; elle les oblige à être exécutés en continu.
| Axe | Ce que l’IA change | Indicateur clé | Source |
|---|---|---|---|
| Menace offensive | Phishing, reconnaissance, malware, analyse de données accélérés | Entre 87 % et 93 % des organisations ont eu au moins une interaction d’IA générative à haut risque chaque mois | Check Point 2026 |
| Surfaces à protéger | Agents, mémoires, workflows autonomes, identités machine | Ces actifs doivent être protégés comme des serveurs ou des bases de données | KELA 2026 |
| Défense opérationnelle | Automatisation de la veille, des rapports, de la formation et de la réponse | Productivité accrue des équipes cyber | Advens 2026 |
| Gestion du risque | Passage à une posture continue plutôt qu’à des revues ponctuelles | Le TTE est devenu négatif dès 2024, puis de sept jours en 2025 | Cigref relayé par Leto |
| Marché | Accélération des investissements et industrialisation du secteur | 248,28 Md$ en 2026, 699,39 Md$ attendus en 2034 | Fortune Business Insights |
Les prix des solutions : ce que l’on peut et ne peut pas dire avec ces sources
Les sources fournies décrivent des tendances de marché et des usages de sécurité, mais elles ne donnent pas de grille tarifaire officielle pour les grandes suites cyber citées dans les rapports.
Comme aucun prix exact par mois n’est fourni pour les produits de cybersécurité dans ces résultats, il n’est pas possible de publier ici des tarifs vérifiés sans ajouter de sources supplémentaires non présentes dans les résultats fournis.
Les nouvelles règles de gouvernance imposées par l’IA
La grande erreur serait de penser que la cybersécurité IA se résume à acheter un outil de plus.
Le rapport KELA insiste sur la nécessité de protéger les bibliothèques d’invites, les magasins de mémoire, les workflows autonomes et les identités de machine. En pratique, cela revient à étendre la gouvernance de sécurité à des objets qui n’existaient pas, ou n’avaient pas la même importance, dans les architectures traditionnelles.
Le Cigref va dans le même sens en recommandant de réévaluer l’analyse de risque en intégrant l’hypothèse d’un attaquant assisté par IA, d’accélérer le patching et d’auditer la chaîne de sous-traitance IA et cloud comme n’importe quel sous-traitant sensible au sens de l’article 28 du RGPD. Le document relayé par Leto évoque aussi un jalon réglementaire précis : le 31 octobre 2026, date à laquelle la Banque centrale européenne attend des 110 plus grandes banques de la zone euro un plan d’action face aux cyberattaques propulsées par l’IA.
Ce que les RSSI doivent désormais surveiller
- Les agents IA et leurs permissions.
- Les mémoires et le contexte stocké.
- Les workflows autonomes exécutés sans supervision humaine continue.
- Les fournisseurs tiers et la chaîne cloud/IA.
- Les identités machine et les accès non humains.
Cette évolution marque un passage d’une cybersécurité centrée sur le périmètre à une cybersécurité centrée sur l’autonomie, le contexte et l’identité des systèmes.
Pourquoi 2026 marque un tournant de méthode, pas seulement de technologie
La vraie rupture de 2026 est méthodologique.
Les organisations ne peuvent plus traiter l’IA comme une expérimentation périphérique, parce qu’elle intervient déjà dans les attaques, dans les outils de défense et dans les processus internes critiques. Cela explique pourquoi les recommandations convergent vers une surveillance continue, une gouvernance plus stricte et une réévaluation plus rapide du risque.
Le CTEM, ou Continuous Threat Exposure Management, revient d’ailleurs dans les contenus de référence de 2026 comme une logique plus adaptée qu’une revue semestrielle de l’exposition au risque. Cette approche correspond bien à un monde où les vulnérabilités sont exploitées plus vite que les correctifs ne peuvent être déployés.
💡 À retenir : la cybersécurité de 2026 n’est plus un cycle “détecter, patcher, oublier”, mais une discipline de surveillance continue, d’automatisation et de gouvernance étendue.
Notre avis : qui devrait passer en Pro maintenant ?
Le verdict de Brief IA est clair : les organisations qui manipulent déjà des données sensibles, des identités multiples ou des workflows d’IA doivent basculer vers une sécurité plus continue dès maintenant.
Les entreprises les plus exposées ne sont pas seulement celles qui utilisent beaucoup d’IA, mais celles qui ont des chaînes de sous-traitance longues, des environnements cloud complexes et des délais de patching encore trop lents pour le rythme actuel des attaques. À l’inverse, les équipes qui savent déjà automatiser la veille, documenter les incidents et instrumenter leurs contrôles autour des agents et des identités machine prendront une avance nette sur les douze prochains mois.
Dans six mois, la question ne sera probablement plus de savoir si l’IA change la cybersécurité, mais quels acteurs auront réellement adapté leur gouvernance, leurs contrôles et leur tempo opérationnel au nouveau rythme des attaques.
Tags: cybersécurité, intelligence artificielle, IA agentique, SOC, ransomware