AIS 2026 : l'IA bouleverse la découverte des failles, selon Kim Seung-joo

Le professeur Kim Seung-joo, du Graduate School of Information Security de Korea University, a prononcé un discours d'ouverture lors de la conférence AIS 2026, tenue le 3 novembre au Korea Science and Technology Center de Séoul devant environ 700 professionnels de la sécurité, selon DailySecu. Son intervention était intitulée « L'ère de la découverte des vulnérabilités par l'IA, reconstruire la stratégie de sécurité ».

Kim a présenté ARTEX, un outil de test d'intrusion basé sur l'IA qui relie plusieurs modèles pour mener la reconnaissance, la découverte de vulnérabilités et l'exécution d'attaques. Il a souligné que la baisse du coût des attaques rend désormais viables des cibles petites ou périphériques, jusque-là négligées pour leur faible rentabilité. Les incidents cités dans le secteur financier concernaient des systèmes destinés aux recruteurs de prêts, aux équipes commerciales et aux partenaires, ouverts à l'accès externe, et non les réseaux de travail internes.

Le professeur a appelé à dépasser le simple décompte des serveurs dans l'identification des actifs : machines virtuelles, versions de systèmes d'exploitation et de logiciels, produits en fin de support et état des correctifs doivent être recensés. Il a mis en garde contre une « tempête de vulnérabilités », l'IA accélérant la découverte des failles alors que les corrections et mises à jour prennent du retard. Il a aussi estimé qu'une IA interne fermée ne suffit pas automatiquement à la défense et doit être évaluée sur ses capacités de détection et d'analyse, citant l'AI Cyber Challenge (AIxCC) pour montrer que l'orchestration de modèles avec des fuzzers et des outils d'analyse statique compte autant que le choix du modèle.

Sur le volet institutionnel, Kim a jugé que l'IA souveraine devait être développée à moyen et long terme pour la sécurité nationale, tandis que les entreprises privées devraient trouver rapidement des vulnérabilités à l'aide d'outils commerciaux disponibles. Il a réclamé des dispositifs de bons et d'autres soutiens pour que les PME puissent recourir à ces outils, et rappelé que la classification et le contrôle des données prévus par le National Network Security Framework (N2SF) conditionnent l'usage de l'IA et du cloud externes.

Il a comparé la séparation uniforme des réseaux à la volonté de stériliser un hôpital entier, avertissant qu'elle pousse à des connexions de contournement que l'organisation peut ignorer. Il a présenté le Risk Management Framework (RMF) comme un moyen de prioriser les dépenses de sécurité, la Zero Trust comme un principe limitant la propagation après une intrusion, et la cyber-résilience comme la capacité à maintenir les opérations essentielles, citant le recours au papier si le dossier médical électronique d'un hôpital tombe.

Kim a enfin plaidé pour une cartographie plus claire des exigences entre NIST CSF, contrôles de sécurité, RMF et Zero Trust en Corée, pour l'encouragement de la recherche légitime de vulnérabilités par les white-hats et pour un délai de correctif imposant aux éditeurs des mises à jour selon le risque. Il a qualifié l'accumulation de vulnérabilités mal gérées de « dette de sécurité » à rechercher et corriger activement, et appelé à accélérer l'institutionnalisation et à moderniser la technologie pour relever rapidement le niveau de sécurité du pays.