Fournir des informations actuelles et historiques sur la propriété des domaines/IP. Identifier toutes les connexions entre les domaines, les titulaires, les bureaux d'enregistrement et les serveurs DNS.
L'IA est au cœur des débats de la RSA Conference depuis des années. Si l'on revient sur les éditions 2024 et 2025 de la RSAC, on constate une tendance. Lors de la RSAC 2026, qui s'est tenue à San Francisco du 23 au 26 mars, ce débat n'a pas perdu de son intensité. Au contraire, il s'est encore plus précis.
Cette année, l'accent n'a plus été mis sur l'adoption générale de l'IA, mais sur le risque opérationnel, les flux de travail pilotés par des agents et la manière dont les responsables de la sécurité peuvent protéger des systèmes de plus en plus autonomes.
Notre équipe d'experts était sur place pour assister à des sessions, organiser des réunions d'information et échanger avec les personnes qui développent et assurent la sécurité des systèmes sur lesquels reposent les organisations modernes.
Dans cet article, nous vous présentons les principaux thèmes et tendances que nous avons relevés au cours des sessions et des discours d'ouverture.
Les grandes tendances du RSAC 2026
Avec plus de 660 sessions et près de 44 000 participants, le RSAC 2026 a fait salle comble. Cependant, certaines tendances récurrentes se sont dégagées de nombreuses présentations, et nous vous en présentons quelques-unes ci-dessous.
Sécuriser la main-d'œuvre flexible
Lors de la RSAC, des représentants des leaders mondiaux du marché ont abordé le concept d'« Agentic Workforce », que nous avons également évoqué par le passé, notamment en ce qui concerne l'utilisation d'agents IA dans le domaine de la cybersécurité.
Jeetu Patel, de Cisco, a prononcé un discours intitulé « Repenser la sécurité pour les agents », dans lequel il a défini ce que sont les agents, les décrivant comme agissant parfois de manière autonome, mais surtout comme ayant accès aux outils et aux systèmes que nous utilisons.
Il ne faut donc pas considérer ces agents comme de simples outils. Il faut plutôt les voir comme des collègues numériques qui viendront renforcer nos équipes, et ce, à hauteur de plusieurs milliers au sein d'une entreprise.
– Jeetu Patel, vice-président exécutif et directeur des produits chez Cisco
Il a clairement établi une distinction entre ce qu'était l'IA autrefois et ce qu'elle est aujourd'hui. Avec les chatbots, le pire scénario est une réponse erronée. Avec les agents, le pire scénario est une action erronée et irréversible. Il a présenté la stratégie de sécurité de Cisco, qui repose sur trois piliers :
- Protéger les agents du monde extérieur
- Protéger le monde contre les agents
- Réagir aux menaces à la vitesse et à l'échelle des machines
La présentation d'Uber a permis de replacer le défi de la sécurité dans le contexte opérationnel. L'injection rapide, l'une des menaces au niveau de l'agent les plus discutées, opère au niveau de l'exécution. Un attaquant intègre des instructions dans un document, un e-mail ou une réponse API. L'agent lit le contenu, interprète l'instruction intégrée comme une tâche légitime et l'exécute en utilisant des identifiants réels via un chemin d'accès réel.
Aucun logiciel malveillant ni code d'exploitation n'est nécessaire : il suffit d'un simple message texte pour déclencher un outil que l'agent est déjà autorisé à utiliser. C'est pourquoi Uber a fait part de son approche, qui met l'accent sur la surveillance comportementale en temps réel plutôt que sur de simples garde-fous au niveau des modèles.
Microsoft s'est également exprimé sur le sujet, soulignant que les exercices de simulation d'attaques traditionnels ne suffisent pas lorsque la surface d'attaque inclut des systèmes d'IA qui n'ont pas été conçus en accordant la priorité à la sécurité. L'entreprise a lancé Agent 365, une plateforme de contrôle conçue pour permettre aux équipes informatiques et de sécurité de savoir exactement ce que font les agents dans l'ensemble de l'environnement.
Du point de vue du renseignement sur les menaces, la sécurisation des agents IA se résume à un problème bien connu : savoir exactement à qui et à quoi ces agents s'adressent. C'est là que l'utilisation de l'IA dans le cadre de la détection précoce des menaces prend tout son sens. Si vous parvenez à identifier et à bloquer les infrastructures malveillantes avant qu'un agent ne les contacte, vous pourriez être en mesure d'interrompre la chaîne d'attaque à un stade précoce.
L'identité, nouvelle frontière
Un autre consensus qui s'est dégagé à San Francisco est que les frontières traditionnelles des réseaux s'estompent, l'identité jouant de plus en plus le rôle de plan de contrôle principal. Plusieurs présentations ont mis l'accent sur le fait que les pirates informatiques se connectent désormais au lieu de s'introduire dans les systèmes.
Lors de la présentation intitulée « Chasing Ghosts : Detecting Token Abuse in the Microsoft Cloud », Maxim Deweerdt, formateur principal chez SANS, a expliqué aux participants comment les pirates s'emparent des jetons de session pour contourner l'authentification multifactorielle.
Cette session, qui figurait dans le top 10 du RSAC, a abordé l'ensemble de la chaîne d'attaque, du phishing à la prise de contrôle de compte en passant par la persistance, ainsi que des stratégies de détection et des conseils pratiques pour aller au-delà des scores de sécurité standard et renforcer véritablement la sécurité des environnements Microsoft Cloud. Le message central était que l'authentification multifactorielle (MFA) ne suffit plus à elle seule si les attaquants parviennent à voler le jeton de session généré après l'authentification.
Cette menace rend la validation continue particulièrement importante, comme l’ont souligné des sessions telles que « Au-delà du Zero Trust : la validation continue pour la sécurité des entreprises modernes ». Cette intervention a remis en question l’idée selon laquelle la vérification d’identité serait un processus ponctuel. L’argument avancé est que le fait de vérifier l’identité d’un utilisateur lors de la connexion, puis de lui accorder un accès valable pour toute la durée de la session, crée une faille que les pirates peuvent exploiter une fois la vérification initiale réussie.
Les systèmes de sécurité doivent vérifier en permanence que le comportement, l'emplacement et l'appareil restent cohérents tout au long de la session, et pas seulement lors de la première connexion.
Même les plateformes réputées pour leur haut niveau de sécurité sont exposées à des risques lorsque la gestion des identités et les contrôles d'accès ne sont pas configurés et surveillés avec soin. Ce sujet a été abordé lors d'une présentation donnée par Tamir Yehuda et Daniel Reyhanian, chercheurs chez Varonis, qui ont exposé des techniques d'attaque concrètes visant les environnements Salesforce.
L'avenir pourrait également réserver davantage de menaces, comme l'a souligné IBM Security lors d'une session thématique, au cours de laquelle les intervenants ont averti que la protection des identités et des données devait évoluer dès maintenant afin de garder une longueur d'avance sur les menaces liées à l'informatique quantique, qui pourraient, à terme, affaiblir la cryptographie à clé publique largement utilisée.
Intelligence des entités non humaines
Quand on parle d'identité, on pense généralement aux personnes. Mais la RSAC 2026 a remis en question cette idée reçue et a mis en évidence l'essor fulgurant des entités non humaines.
De nombreuses interventions ont mis en avant un aspect souvent négligé : les comptes de service, les bots et les clés API représentent désormais une part importante des entités opérant au sein des systèmes modernes. Ces identités non humaines disposent souvent de privilèges plus étendus que les personnes qui utilisent ces mêmes plateformes, mais elles font l'objet d'une surveillance bien moindre. Beaucoup sont créées rapidement, rarement contrôlées et ne sont jamais supprimées.
L'équipe d'ingénieurs de LinkedIn a expliqué que, si le modèle « Zero Trust » constitue un bon point de départ, il s'avère trop statique pour les comptes non humains qui opèrent à grande vitesse au sein de systèmes distribués. Un compte de service peut effectuer des milliers d'appels API par minute sur des dizaines de plateformes intégrées.
Les contrôles d'accès statiques, qui ne sont vérifiés qu'une seule fois lors de la configuration, ne sont pas en mesure de suivre ce rythme d'activité. Les intervenants ont proposé un système de validation continue et sensible au comportement, capable de signaler les anomalies dans le comportement des comptes non humains, de la même manière que les outils modernes détectent les schémas de connexion inhabituels chez les utilisateurs humains.
Défense active et perturbation collaborative
Le dernier grand thème de notre liste concernait un changement de mentalité : passer d'une défense passive à une perturbation active. Cette idée repose sur un principe que les équipes de sécurité ont compris depuis longtemps. Chaque fois que vous bloquez une attaque, vous obligez l'attaquant à modifier quelque chose. Certains changements lui coûtent plus cher que d'autres.
La « pyramide de la douleur » constitue ici un cadre de référence utile. Elle classe les indicateurs de compromission en fonction de l'effort qu'un adversaire doit fournir pour les remplacer une fois qu'ils ont été bloqués. À la base se trouvent des éléments tels que les adresses IP et les hachages de fichiers. Au sommet de la pyramide se trouvent les tactiques, techniques et procédures qui définissent le mode opératoire d'un acteur malveillant. En perturbant ces indicateurs, on oblige les attaquants à changer d'outils, et c'est là que les défenseurs peuvent leur infliger le plus de dommages.
Sandra Joyce, vice-présidente de Google Threat Intelligence, a prononcé un discours liminaire percutant intitulé « Activate Industry ! : Moving Beyond Defense to Disruption and Active Defense », dans lequel elle a exhorté la communauté de la cybersécurité à ne plus se contenter de défendre ses propres réseaux et de partager des renseignements. L'objectif est désormais de perturber le fonctionnement même de la cybercriminalité.
Ces partenariats entre les forces de l'ordre, les fournisseurs de technologies de toutes tailles et les défenseurs en première ligne constituent le seul moyen de mettre en place une véritable résilience mondiale. Ensemble, nous pouvons enfin briser ce cercle vicieux.
– Sandra Joyce, vice-présidente de Google Threat Intelligence.
Dans son discours d'ouverture, elle a plaidé en faveur d'une stratégie de perturbation active dans le monde réel, en montrant comment Google s'efforce d'imposer des coûts mesurables aux opérations des acteurs malveillants plutôt que de se contenter d'absorber les attaques.
La session intitulée « Démanteler les réseaux de cybercriminalité : avec succès, de manière continue et à grande échelle », animée par des responsables du Forum économique mondial, de la Digital Crimes Unit de Microsoft, de Fortinet, d’INTERPOL et de Cybercrime Atlas, a présenté un plan d’action concret illustrant comment ce démantèlement se traduit dans la pratique.
Les intervenants ont abordé la manière dont les forces de l'ordre et le secteur privé peuvent coordonner leurs efforts pour démanteler les botnets et les fournisseurs d'hébergement « à l'épreuve des balles », cette infrastructure qui rend possible la cybercriminalité à grande échelle. Le mot-clé du titre de la session est « en continu ». La neutralisation ponctuelle d’un botnet ne provoque qu’une perturbation temporaire. C’est la mise en place d’une infrastructure juridique, technique et organisationnelle permettant de répéter cette opération qui permet réellement de démanteler une opération criminelle. Cela s’inscrit parfaitement dans le modèle qui sous-tend l’Internet Abuse Signal Collective (IASC)WhoisXML API, une initiative de partage de données qui rassemble des organisations afin d’échanger des informations sur Internet et les menaces et de favoriser une visibilité partagée.
Découvrez où notre équipe se rendra prochainement et venez nous retrouver lors de ces prochains événements!
À propos de WhoisXML API
WhoisXML API un fournisseur de données OEM chevronné, spécialisé dans la fourniture d'informations WHOIS, IP et DNS soigneusement analysées, normalisées et exhaustives. Forts de plus de 15 ans d'expérience dans le secteur, nous avons constitué une vaste base de données comprenant plus de 23,8 milliards d'enregistrements WHOIS historiques, plus de 50 milliards de noms d'hôtes, plus de 116 milliards d'enregistrements DNS, plus de 10,5 millions de blocs d'adresses IP et une couverture de 99,5 % des adresses IPv4 et IPv6 actives.
Nous proposons une large gamme de solutions de veille sur les noms de domaine, le DNS et d'autres aspects liés à Internet, accessibles via des bases de données exhaustives, des API sécurisées et des interfaces web intuitives. Quel que soit le modèle d'utilisation, nos données de veille constituent une base solide pour les principaux produits et services de cybersécurité. Elles s'appuient sur les capacités d'analyse prédictive de l'IA et la télémétrie des noms de domaine pour permettre aux entreprises de détecter rapidement les sites web potentiellement malveillants.
Reconnue par plus de 52 000 clients satisfaits issus des secteurs de la cybersécurité, du marketing, des forces de l'ordre, du commerce électronique et des services financiers, WhoisXML API régulièrement distinguée par sa croissance rapide et son esprit d'innovation, ce qui lui a valu de nombreuses distinctions, notamment une place dans le classement Inc. 5000 et une place parmi les entreprises à la croissance la plus rapide selon le Financial Times.