Les cyberexercices Standoff du forum «Solutions numériques» ont mis l'IA à l'épreuve, en attaque comme en défense

Le forum informatique russe «Solutions numériques» a accueilli les cyberexercices Standoff : des équipes de sécurité de l'information de grandes entreprises du pays y ont travaillé l'attaque et la défense, et le thème central du bilan, publié par CNews le 9 octobre 2026, a été l'intelligence artificielle.

Ce que l'on sait des exercices

Standoff s'est imposé comme le principal format russe de cyberbatailles. Certaines équipes jouent les attaquants (rouges) et cherchent comment pénétrer dans l'infrastructure. D'autres jouent les défenseurs (bleus), détectent l'intrusion et la repoussent. Le tout se déroule généralement sur un terrain d'entraînement spécialement construit, et non sur des systèmes réels, ce qui permet de jouer en toute sécurité des scénarios proches de vrais incidents.

L'intérêt particulier de ce format est qu'il teste non pas un produit isolé, mais l'ensemble formé par les personnes, les processus et les outils. Pour un RSSI, c'est plus proche de la réalité qu'un test de scanner en laboratoire.

Principaux paramètres connus de l'événement :

• Lieu : forum informatique «Solutions numériques».
• Format : cyberexercices Standoff, avec confrontation entre attaquants et défenseurs.
• Participants : équipes de sécurité de l'information de grandes organisations du pays.
• Thème du bilan : l'usage de l'IA en attaque et en défense.
• Source : CNews, publication du 9 octobre 2026.
• Résultats chiffrés dans l'extrait public : non divulgués.

Où l'IA sert les deux camps

Le titre de l'article souligne cette dualité : l'IA sert autant à ceux qui attaquent qu'à ceux qui protègent. Dans ce type d'exercices, cela se manifeste généralement à travers quelques scénarios types. On ne peut pas affirmer que ce sont précisément ceux évoqués au forum, mais ils donnent un cadre pour évaluer le bilan.

Côté attaquants, les modèles de langage accélèrent la reconnaissance, aident à rédiger des textes de phishing crédibles, à générer des variantes de scripts et à décortiquer des technologies inconnues. Le gain porte surtout sur le temps : ce qui exigeait autrefois des heures de travail manuel tient en quelques minutes.

Côté défenseurs, l'IA est le plus souvent intégrée au centre de supervision. Elle regroupe les alertes, fournit à l'analyste le contexte de l'incident, rédige des ébauches de règles de détection et assemble des événements épars en une seule chronologie. Cela allège la charge de la première ligne, mais n'élimine pas la nécessité de vérifier les conclusions du modèle.

Il existe aussi une asymétrie. À l'attaquant, une seule tentative réussie suffit, et une suggestion erronée du modèle ne lui coûte presque rien. Pour le défenseur, un faux positif coûte cher : on perd du temps, l'attention de l'équipe et parfois la disponibilité de services.

Ce qui manque dans les données publiques

La question centrale pour tout rapport sur l'IA en cyberexercice est : qu'a-t-on exactement mesuré ? Sans réponse, la conclusion «l'IA a aidé» reste un slogan. L'extrait disponible ne permet pas de savoir comment les équipes ont utilisé les modèles (maison, commerciaux ou ouverts), si leur usage était restreint, ni si le résultat a été comparé à un travail sans IA. On ignore également si l'on a mesuré la vitesse de détection, le nombre d'attaques manquées ou la part de faux positifs.

Tant que ces données ne sont pas publiées, mieux vaut lire le bilan comme un signal d'orientation, et non comme une preuve d'efficacité.

Comment l'utiliser en pratique

Les responsables de la sécurité en entreprise ont intérêt à ne pas attendre le rapport complet et à préparer leur propre vérification :

1. Établissez une base de référence. Mesurez les délais de détection et de réaction de votre centre de supervision avant d'adopter des outils d'IA, faute de quoi vous n'aurez rien à comparer.
2. Intégrez l'IA à vos exercices. Si vous organisez des cyberexercices internes, ajoutez des scénarios où les attaquants utilisent des modèles génératifs pour le phishing et la reconnaissance.
3. Exigez des métriques de vos fournisseurs. La part de faux positifs et le temps de traitement d'un incident comptent plus que les discours sur l'«analyse intelligente».
4. Gardez l'humain dans la boucle. Il convient de limiter les actions automatiques du modèle en production tant qu'elles n'ont pas été validées sur un terrain d'entraînement.
5. Suivez la publication des résultats détaillés de Standoff et confrontez-les à vos propres données.

Quand les organisateurs divulgueront les chiffres, il sera possible de les comparer à cette liste et de comprendre dans quelle mesure l'IA a modifié le rapport de forces.