Au-delà du scanner : le projet Glasswing marque-t-il la fin de l'obsession de la découverte dans l'industrie de la sécurité ?

Les récentes annonces d'Anthropic concernant Project Glasswing et Claud Mythos Preview attirent beaucoup d'attention au sein de la communauté cybersécurité. D'un côté, il y a l'enthousiasme quant à ce que ce bond transformateur en matière d'IA et d'automatisation pourrait signifier pour les défenseurs. Mais de l'autre, il y a des préoccupations croissantes : des questions sur la pertinence et l'adéquation des outils et pratiques de sécurité actuels une fois que des capacités comme Claude Mythos seront généralement disponibles. La fenêtre d'action, pour les éditeurs de solutions de sécurité qui construisent les bonnes solutions et pour les entreprises qui les adoptent, est étroite et se referme rapidement, car les attaquants n'attendront pas le prochain cycle budgétaire ou la prochaine échéance réglementaire.

TL;DR

• Project Glasswing ouvrira la voie à la découverte autonome de vulnérabilités zero-day, allant bien au-delà de ce que les humains ont pu ou n'ont pas pu identifier traditionnellement.
• Cela change définitivement l'impératif de sécurité : trouver des vulnérabilités n'est plus la partie difficile.
• Les organisations qui survivront à la prochaine vague d'attaques pilotées par l'IA seront celles qui peuvent contextualiser, prioriser, valider et remédier à la vitesse des machines.
• Le CTEM n'est plus un cadre auquel aspirer. Il devient une nécessité opérationnelle.

Les règles viennent de changer

Pendant des années, l'industrie de la sécurité s'est organisée autour d'une prémisse simple : trouver les vulnérabilités avant que les attaquants ne le fassent. Construire de meilleurs scanners. Effectuer plus de tests de pénétration. Patcher plus vite. Le programme qui en découvre le plus gagne.

Project Glasswing a-t-il changé cette prémisse – définitivement ?

Claude Mythos d'Anthropic a découvert de manière autonome des milliers de vulnérabilités zero-day en quelques semaines – y compris dans du code qui était en production depuis 16 à 27 ans, scanné cinq millions de fois par des outils automatisés sans détection. Ce faisant, il n'a pas seulement démontré la puissance de l'IA de pointe ; il a également invalidé l'hypothèse fondamentale selon laquelle la découverte est la partie difficile de la sécurité. Si un modèle d'IA peut révéler ce que des décennies de scanning ont manqué, en quelques semaines, alors l'avantage concurrentiel de trouver des vulnérabilités plus vite que vos adversaires n'existe plus.

La question à laquelle les responsables de la sécurité sont confrontés aujourd'hui n'est pas comment en trouver davantage ? C'est comment savoir ce qui compte et comment prouver que nous pouvons l'arrêter ?

Quand trouver des vulnérabilités devient la partie facile

Les équipes de sécurité sont déjà confrontées à un volume écrasant de résultats, un écosystème CVE qui peine sous le poids de milliers de nouvelles divulgations chaque année, et un écart persistant entre ce que les scanners signalent comme critique et ce qui est réellement exploitable dans un environnement donné.

L'organisation moyenne a plus de vulnérabilités qu'elle n'aura jamais la capacité d'y remédier.

Maintenant, considérez ce qui se passe lorsque des capacités comme Claude Mythos deviennent généralement disponibles. Un modèle qui peut révéler de manière autonome des milliers de vulnérabilités crédibles et de haute gravité en quelques semaines – ce n'est plus une capacité réservée aux équipes de recherche d'élite ou aux acteurs étatiques. Cela aggravera exponentiellement le problème du volume.

Aller au-delà de la gestion des vulnérabilités

Avant de pouvoir filtrer le bruit que la découverte pilotée par l'IA va générer, vous devez savoir ce que vous défendez et pourquoi c'est important. Cela nécessite un passage à la gestion de l'exposition, où vous êtes capable d'évaluer continuellement et de manière cohérente la visibilité et de valider l'accessibilité/vulnérabilité des actifs numériques de votre organisation. Combinez les informations sur les actifs avec les données de vulnérabilité avec une couche globale de threat intelligence contextuelle.

Les organisations qui navigueront avec succès dans ce changement ne sont pas celles qui ont les meilleurs scanners. Ce sont celles qui ont la meilleure réponse à la question qui suit chaque résultat : est-ce que cela nous met réellement en danger, et pouvons-nous prouver que nous pouvons l'arrêter ? Et être capable de le faire à grande échelle. Lorsque la découverte pilotée par l'IA devient accessible et abondante, la valeur migre entièrement vers ce qui vient ensuite : contextualisation, priorisation, validation et remédiation.

La priorisation devient plus nécessaire que jamais

Les capacités de type Mythos nous montrent que les workflows traditionnels de gestion des vulnérabilités ne pourront plus tenir très longtemps. La question de savoir comment les organisations décident quelles vulnérabilités traiter, prioriser et sur lesquelles agir devient un impératif stratégique. La capacité de remédiation est limitée, et sans contexte sur l'exploitabilité, l'impact business et l'intention des acteurs malveillants, plus de données devient rapidement plus de bruit. Les décisions devront être prises en fonction de ce que le paysage des menaces exige réellement plutôt que de ce que les outils leur disent.

Auditez votre logique de priorisation.

Si votre workflow de gestion des vulnérabilités est encore principalement piloté par les scores CVSS et les résultats des scanners, il n'est plus adapté. Cartographiez votre processus actuel par rapport à ce que vous savez réellement sur les adversaires qui ciblent votre secteur. Si ces deux éléments ne sont pas connectés, c'est votre première lacune à combler.

Une threat intelligence contextuelle et structurée qui mappe les expositions au comportement actif des adversaires, aux campagnes connues et à votre environnement spécifique est la façon de filtrer le bruit. Spécifiez les Priority Intelligence Requirements (PIRs) et prenez des décisions basées sur les menaces qui peuvent être défendues. Pour nous, c'est la base de ce qu'OpenCTI fournit : pas un flux d'indicateurs, mais une plateforme de renseignement structurée, continuellement mise à jour qui transforme les données brutes en contexte actionnable et donne aux équipes de sécurité la clarté de priorisation qu'un simple outil de scanner de vulnérabilités ne peut plus fournir.

Les adversaires accélèrent et Project Glasswing est l'accélérateur

Les acteurs étatiques et les groupes de menaces sophistiqués ont longtemps fonctionné sur un modèle de rareté : accumuler des zero-days comme actifs stratégiques, les déployer de manière sélective pour un impact maximal. Project Glasswing a montré à quelle vitesse ce modèle peut s'éroder. Il présente un changement structurel dans le comportement des adversaires, déplaçant le goulot d'étranglement de la recherche de vulnérabilités vers leur exploitation.

La réponse doit correspondre à la vitesse de la menace. Rester en avance sur cela nécessite plus que des flux de menaces et du matching d'IOC. Cela nécessite une compréhension structurée, continuellement mise à jour du comportement des adversaires, mappée aux TTP réelles, aux campagnes actives et aux secteurs et environnements spécifiques que les attaquants ciblent.

OpenCTI est conçu exactement pour cela : donner aux praticiens et aux responsables de la sécurité une vue vivante et structurée du paysage des menaces qui reflète ce que les adversaires font réellement – pas ce qu'ils faisaient il y a six mois mais sur une base « maintenant » et « continue ».

La validation est la nouvelle valeur et Mythos la rend urgente

La capacité de découverte quasi-infinie de l'IA rend le concept de sécurité « continue » et proactive non négociable. Le Gartner Continuous Threat Exposure Management (CTEM) devient non seulement un cadre souhaitable, mais un incontournable pratique. Project Glasswing rend cela urgent d'une manière spécifique. Les organisations ne peuvent plus compter sur des tests de pénétration annuels, des évaluations de risques ponctuelles et des défenses de périmètre.

La réponse réside véritablement dans la validation continue et spécifiquement, la validation d'exposition alignée sur les adversaires. Pas de scoring de risque théorique. Pas d'exercices red team annuels. Une simulation continue, pilotée par le renseignement, de techniques d'attaque réelles contre vos contrôles réels, avec un retour structuré sur ce qui tient et ce qui échoue.

Remplacez les tests périodiques par une validation et une remédiation continues.

Si votre dernière preuve d'efficacité des contrôles est un rapport de test de pénétration d'il y a six mois, vous n'avez pas de preuve – vous avez un artefact historique. Mettez en place une validation d'exposition alignée sur les adversaires qui s'exécute en continu contre votre environnement réel, mappée aux TTP réelles et aux campagnes actives. C'est la seule réponse qui tient lorsque le conseil d'administration, le régulateur ou l'incident demande : comment savez-vous que vos contrôles fonctionnent ?

La découverte sans validation crée du bruit. Le renseignement sans validation crée du stress. La validation est ce qui transforme les deux en action et en amélioration mesurable et continue de la posture de sécurité.

OpenAEV, la plateforme open-source de validation d'exposition adversariale de Filigran, opérationnalise cela en continu. En tirant le renseignement en direct directement d'OpenCTI et en mappant les simulations à MITRE ATT&CK, elle permet aux équipes de sécurité de passer de la connaissance d'une menace à la preuve qu'elles peuvent y résister ; à la vitesse et à l'échelle qu'un environnement de menaces post-Glasswing exigerait. Les conseils de remédiation pilotés par l'IA accélèrent le chemin de la découverte à la correction, garantissant que la validation favorise l'amélioration continue plutôt que le reporting périodique.

Mobilisation : IA contre IA

Si l'IA peut découvrir de manière autonome des milliers de vulnérabilités en quelques semaines, la même capacité sera inévitablement entre les mains des adversaires. Les acteurs malveillants n'attendront pas que les équipes de sécurité trient manuellement les résultats, planifient des exercices de validation ou traitent les backlogs de remédiation un ticket à la fois. Ils bougeront à la vitesse des machines et nous, en tant que défenseurs, devons faire de même. C'est là que la dynamique IA contre IA devient le défi déterminant de la sécurité moderne.

Évoluez vers la gestion autonome des menaces et connectez votre intelligence & validation en boucle fermée.

Affrontez les menaces à vitesse machine avec une défense à vitesse machine. Automatisez la boucle renseignement-vers-action que les petites équipes n’ont tout simplement pas les effectifs pour exécuter manuellement. L’ingestion de renseignements, de résumés de menaces, de rapports, la création de scénarios d’attaque et la mise en évidence de conseils de remédiation priorisés – tout cela peut bénéficier de l’IA et de l’automatisation aujourd’hui. Lorsque les attaquants sont alimentés par l’IA, la seule défense crédible est celle qui est tout aussi automatisée, tout aussi continue et tout aussi intelligente.

L'industrie de la sécurité converge vers le CTEM comme cadre opérationnel pour la défense proactive et les capacités potentielles de Claude Mythos justifient l'urgence de l'adoption du CTEM. Aujourd'hui, la plupart des organisations ont du mal à l'opérationnaliser de bout en bout en raison d'outils disparates et de processus manuels. La découverte, la priorisation, la validation et la remédiation vivent encore dans des outils séparés sans boucle de rétroaction continue entre eux. Mais, chez Filigran, c'est là-dessus que nous nous concentrons déjà en termes d'automatisation et de capacités d'IA agentique. XTM One (disponible bientôt) est la couche native d'IA spécialement conçue pour fermer cette boucle. En connectant les capacités de threat intelligence d'OpenCTI avec les capacités de validation adversariale d'OpenAEV, en utilisant les conseils de remédiation tout en le connectant également avec vos propres capacités d'IA à travers d'autres outils de sécurité, elle montre un véritable potentiel pour permettre un cycle CTEM autonome via une couche d'orchestration d'IA unifiée.

Disponible bientôt.

Conclusion

Les règles changent. La question est de savoir si votre programme de sécurité est prêt pour le changement ou non !

Les outils déconnectés créent des programmes déconnectés. La découverte sans contexte de renseignement crée du bruit. Le renseignement sans validation crée de l'anxiété. Project Glasswing n'a pas introduit une nouvelle catégorie de menace, il accélère et rend concrète une tradition qui était déjà en cours.

Prouvez que vos défenses tiennent réellement contre les menaces qui viennent réellement pour vous.

Nous devons fermer la boucle ; où la threat intelligence pilote directement ce qui est validé, et les résultats de validation alimentent en retour ce qui est priorisé. Si cette boucle n'est pas fermée dans votre environnement aujourd'hui, la fermer est l'investissement à plus fort effet de levier que vous puissiez faire.

Découvrez comment nous pouvons vous aider à rationaliser vos initiatives de gestion des menaces ou de CTEM. Demandez une démo, nous serons heureux de vous montrer.

Bonne lecture et n'hésitez pas à poser vos questions sur notre channel de la communauté Slack !