Quand les règles ne s'appliquent plus : les menaces « zero-day » à l'ère de l'IA

Ce n’est pas uneexagération. Le rapport « M-Trends 2026 » de Mandiant est sans équivoque : pour plus de la moitié des exploits « zero-day », les attaquants agissent pendant sept jours avant même qu’un correctif ne soit disponible. Et non pas sept jours après la divulgation. Sept jours avant que quiconque ne sache qu’il y a une faille à corriger. Deux événements survenus la même semaine en avril 2026 sont sur le point d’élargir encore davantage cette fenêtre, et ils mènent à la même conclusion : la seule défense efficace est celle qui n’attend pas les signatures, les scores ou les correctifs pour agir.

Le marqueur vient de démissionner

Le 15 avril,l'Institut national des normes et des technologies(NIST) a annoncé discrètement qu'il n'était plus en mesure de faire face au volume des soumissions de CVE. À l'avenir, le NIST n'enrichira pleinement que trois catégories :

• Les CVE figurant dans le catalogue des vulnérabilités connues et exploitées de la CISA
• Vulnérabilités des systèmes du gouvernement fédéral
• Lacunes visées par le décret présidentiel américain n° 14028

Tout le reste est répertorié et marqué « Non programmé ». Pas de score de gravité. Aucune mise en correspondance des produits. Aucune référence de correctif.

C'est plus important qu'il n'y paraît. Lorsqu'une vulnérabilité CVE est détectée par votre SIEM, le niveau de gravité détermine le degré d'urgence de l'alerte. La cartographie des produits indique à votre scanner quels sont les systèmes exposés. La fiche de mise à jour indique à votre équipe où se rendre. Si vous éliminez tout cela, il ne reste qu'un identifiant sur lequel vos outils ne peuvent pas agir.

Le nombre de signalements CVE a augmenté de 263 % en cinq ans, et en 2026, il est déjà supérieur d'un tiers à celui de l'année dernière. En 2025, le NIST a enrichi 45 % de CVE en plus par rapport à toutes les années précédentes, mais a tout de même pris encore plus de retard. Il ne s'agit pas d'un problème de ressources que le NIST pourrait résoudre simplement en recrutant davantage. C'est d'ordre structurel.

Ce que cela signifie pour votre équipe : une part croissante des CVE détectées par votre SIEM arriveront sans note, sans correspondance avec le système et sans recommandation d'action. Vos outils disposeront de moins d'informations exploitables, vos analystes devront effectuer davantage de tri manuel, et les vulnérabilités qui nécessitent le plus votre attention risquent justement d'être celles qui passeront inaperçues.

La capacité qui modifie l'évaluation des menaces

Huit jours avant l'annonce du NIST, Anthropic a présenté « Claude Mythos Preview », un modèle d'IA de pointe qui, lors des tests, avait découvert de manière autonome des milliers de vulnérabilités « zero-day » sur tous les principaux systèmes d'exploitation et navigateurs Web. Ces capacités étaient si importantes qu’Anthropic a choisi d’en restreindre totalement l’accès, ne mettant le modèle à la disposition que d’une coalition défensive d’une cinquantaine d’organisations, parmi lesquelles AWS, Apple, Google, Microsoft et Palo Alto Networks, dans le cadre d’une initiative baptisée « Project Glasswing ». Il ne s’agissait pas d’une simple divulgation discrète de résultats de recherche. C’était une décision délibérée visant à armer en priorité les défenseurs. 

Ce n'est pas Mythos qui est à l'origine du volume de CVE auquel le NIST est confronté. Cela indique la direction que prend la menace. Anthropic n'est pas la seule entreprise dans ce cas. DeepMind (filiale de Google), OpenAI et d'autres acteurs développent actuellement des capacités comparables, et les fournisseurs qui font preuve de retenue aujourd'hui ne seront pas les derniers à mettre au point ces outils. Les acteurs malveillants ne communiquent pas leurs calendriers de publication.

C'est cette même IA qui rend ces modèles si puissants pour les défenseurs qui les rend dangereux s'ils tombent entre de mauvaises mains. La question n'est pas de savoir si des pirates parviendront à accéder à des fonctionnalités telles que Mythos. Tout dépend de la capacité des défenseurs à détecter et à bloquer ces failles en premier, et pour l'instant, les perspectives évoluent dans la mauvaise direction.

C'est également pour cette raison que le risque lié aux agents d'IA n'est plus purement théorique. À mesure que les organisations déploient des agents d'IA capables de gérer les e-mails, de répondre aux messages et d'accéder de manière autonome à des données sensibles, la surface d'attaque s'étend d'une manière que les contrôles traditionnels n'ont pas été conçus pour gérer. Un agent qui interagit avec une charge utile de type « zero-day » ne se contente pas de devenir une victime. Cela peut devenir le moyen de diffusion. Ce n'est pas un problème qui se posera à l'avenir. C'est celui-ci.

Ce que cela signifie pour votre équipe : le nombre d'exploits inédits et sans signature est sur le point d'augmenter considérablement. Les outils qui s'appuient sur des modèles de menaces connus risquent de présenter davantage de lacunes. L'écart entre l'existence d'un exploit et celle d'une défense se creuse, et votre infrastructure actuelle n'est peut-être pas adaptée à ce qui vous attend.

La fenêtre a déjà disparu

Même avant Mythos, les chiffres étaient alarmants. Microsoft a corrigé 34 vulnérabilités « zero-day » sur l’ensemble de l’année 2024, puis 41 en 2025, et enfin 11 rien qu’au premier trimestre 2026*. Le groupe Threat Intelligence de Google a recensé 90 vulnérabilités exploitées en milieu réel l’année dernière. Le volume ne cesse d’augmenter et les délais d’exploitation se sont considérablement raccourcis.

Le délai moyen avant l'exploitation des vulnérabilités connues est passé d'environ 30 jours en 2022 à seulement cinq jours en 2025. Près d'un tiers d'entre elles sont victimes d'une attaque dans les 24 heures suivant la divulgation. Les cycles hebdomadaires de correctifs ne suffisent pas à suivre le rythme, et cela ne concerne que les vulnérabilités dont nous avons connaissance.

Si l'on ajoute à cela le déficit d'enrichissement du NIST, la situation s'aggrave encore : davantage de CVE arrivent sans être enrichies, davantage de vulnérabilités « zero-day » sont exploitées avant même que des correctifs n'existent, et l'IA accélère la détection des deux côtés. En 2026, la gestion des vulnérabilités n'est plus un processus lent. Pour une catégorie de menaces en pleine expansion, cela est structurellement impossible.

Ce que cela signifie pour votre équipe : si vous vous fiez aux cycles de correctifs et à la détection basée sur les signatures comme principale stratégie de défense, vous vous protégez contre le modèle d'attaque de l'année dernière. La véritable question n'est pas de savoir si votre organisation sera confrontée à une faille « zero-day ». C'est déjà le cas. La question est de savoir si vous en aurez connaissance.

Comment mettre en place une défense qui fonctionne quoi qu'il arrive

Vous ne pouvez pas corriger ce que vous ignorez. La bonne approche ne consiste pas à appliquer des correctifs plus rapidement. Il s'agit d'une défense multicouche et intégrée couvrant tous les points d'entrée, avec des contrôles qui partagent des informations et agissent de concert. Lorsque les outils de sécurité fonctionnent en silos, des failles apparaissent. Lorsqu'une faille « zero-day » est exploitée en l'espace de quelques heures, ce sont ces failles qui sont la cible des attaques.

Organisez votre infrastructure de détection des e-mails en plusieurs couches

Le courrier électronique expose directement vos collaborateurs à la plus large gamme d'attaques, et l'interaction humaine en fait partie intégrante. Dans le rapport « Email, Messaging and Collaboration Security Wave » de Forrester portant sur le deuxième trimestre 2025, 63 % des responsables de la sécurité occupant un poste de direction ont déjà recours à au moins deux fournisseurs de solutions de sécurité pour la messagerie électronique. La sécurité native de la plateforme permet de faire face aux menaces courantes. Les failles « zero-day » constituent un problème à part, car elles sont spécialement conçues et testées pour contourner les mesures de sécurité déjà en place.

Une solution complète de détection ne se limite pas à l'analyse de l'expéditeur et du contenu. Les signatures permettent de détecter les menaces connues. L'analyse comportementale basée sur l'IA permet de lutter contre l'usurpation d'identité et l'ingénierie sociale. Mais le fait de vérifier s'il est normal de recevoir un fichier d'un certain type ne vous indique pas ce qui se passe lorsque cette pièce jointe s'exécute. Cela nécessite le recours au sandboxing lors de l'exécution, l'analyse des fichiers au niveau du code et une inspection approfondie des URL. Chaque niveau a son importance, et ce n'est que lorsqu'ils fonctionnent ensemble que vous pouvez saisir ce qu'aucun d'entre eux ne permettrait de saisir à lui seul.

Associer les mesures de contrôle comportementales aux mesures de contrôle techniques

Aucune base de données CVE ne traite du comportement humain. Même la faille « zero-day » la plus sophistiquée nécessite qu'un utilisateur ouvre une pièce jointe, clique sur un lien ou donne suite à une demande convaincante. Une stratégie de défense qui tient compte du comportement réel des individus et qui relie directement ces signaux comportementaux à des contrôles techniques comble une lacune qu'aucun outil basé sur les signatures ne peut combler.

Bénéficiez d'une meilleure visibilité sur les risques liés à vos agents

Les agents d'IA qui opèrent dans votre environnement ne sont pas de simples outils de productivité. Il s'agit de nouveaux vecteurs d'attaque. La visibilité sur les agents en cours d'exécution, les données auxquelles ils ont accès et les risques qu'ils présentent constitue désormais une exigence de sécurité fondamentale, et non plus une fonctionnalité avancée.

À quoi sert la plateforme intégrée de Mimecast ?

C'est précisément pour ce modèle de menace que la plateforme intégrée de Mimecast a été conçue : il ne s'agit pas d'un ensemble d'outils isolés, mais d'un système de défense unified qui partage les informations de renseignement à tous les niveaux et réagit automatiquement dès qu'une menace est détectée.

Notre solution de sécurité des e-mails offre une suite complète de fonctionnalités de détection, associant l'intelligence artificielle comportementale, le sandboxing, l'analyse des fichiers au niveau du code et l'inspection approfondie des URL, le tout fonctionnant de manière intégrée au sein d'une single couche de protection. Lorsqu'une faille « zero-day » est détectée, la réponse est automatique à l'échelle de l'ensemble de votre infrastructure de sécurité connectée, grâce à des intégrations via API. Vos outils fonctionnent de manière coordonnée, sans attendre une intervention manuelle pour se synchroniser.

Notre système de détection étant basé sur le comportement plutôt que sur les signatures, l'écart d'enrichissement du NIST a moins d'importance pour les organisations qui utilisent Mimecast. Nous n'attendons pas qu'un score CVE déclenche une réaction. Nous détectons des comportements anormaux avant même que la vulnérabilité CVE n'existe.

Nos capacités en matière de risques liés au facteur humain relient directement les signaux comportementaux aux contrôles techniques, de sorte que le facteur humain fasse partie intégrante de votre système de défense plutôt que d'en constituer une faille.

Quant au risque lié aux agents : l’Agent Risk Center de Mimecast offre aux équipes de sécurité une visibilité complète sur chaque agent présent dans leur environnement, sur les données auxquelles il a accès, sur les actions qu’il peut effectuer et sur le risque qu’il représente. Non pas en tant qu'élément de la feuille de route, mais en tant que fonctionnalité conçue pour le modèle de menace que nous décrivons actuellement.

La menace s'intensifie. La question est de savoir si votre système de défense est conçu pour faire face à des menaces qui ne attendent pas d'être identifiées avant de frapper.

Découvrez ce qui se trouve déjà dans votre environnement

Connectez-vous à votre environnement M365 en quelques minutes grâce à la démonstration de valeur sans engagement proposée par Mimecast. Découvrez les menaces détectées au cours des 30 derniers jours que votre système de sécurité actuel n'a pas repérées. Aucune incidence sur le flux de courrier. Sans engagement.

Commencez votre démonstration de valeur sans engagement →

Bilan de Google Zero-Day 2025 

*Statistiques relatives aux correctifs Microsoft, compilées à partir des rapports « Patch Tuesday Zero-Day »de Bleeping Computer