L’IA s’est rapidement installée dans le quotidien des petites et moyennes entreprises. Beaucoup ne se limitent plus aux chatbots et commencent à confier des tâches à des agents IA. Elles espèrent ainsi gagner en compétitivité face à des concurrents qui disposent, comme elles, de moyens limités, mais aussi rivaliser davantage avec les grandes entreprises. Les plus ambitieuses déploient, ou expérimentent au moins, de véritables « chaînes de production » : un agent superviseur coordonne plusieurs agents spécialisés et leur transmet les tâches.
Mais l’IA ne change pas seulement la manière de travailler. Chaque nouvel accès ou connexion crée une dépendance supplémentaire, qui peut représenter un risque de cybersécurité. Or, les TPE et PME disposent rarement de ressources à consacrer à ce sujet, surtout au sein de leur service informatique. La cybersécurité n’est souvent qu’une responsabilité parmi d’autres pour une personne ou une petite équipe qui doit aussi gérer la création des comptes et les conséquences d’une faille zero-day.
Peu d’entreprises attendront pourtant d’avoir identifié et traité tous les risques avant d’utiliser l’IA. Moins nombreuses encore sont celles qui savent quelles failles combler en priorité. Selon une récente enquête d’ESET menée auprès de 500 décideurs français de TPE et PME, 38 % des entreprises ne disposaient même pas de règles encadrant l’utilisation de l’IA. Ces règles étaient plus fréquentes dans les entreprises ayant déjà subi un incident : un constat familier, qui montre que l’encadrement arrive souvent après une compromission.
Dans les grandes lignes, les risques de sécurité évoluent aujourd’hui dans deux directions : l’IA crée de nouvelles voies d’accès aux systèmes des entreprises, tandis que les attaquants l’utilisent pour accélérer et multiplier les menaces déjà connues.
Agents IA : alliés, complices involontaires ou sources d’erreurs
Quelle que soit sa mission, un agent connecté aux systèmes de l’entreprise peut agir avec les autorisations accordées par son « propriétaire ». Dès lors qu’il peut accéder à des documents internes et communiquer avec l’extérieur, tout élément capable d’influencer ses instructions peut aussi influer sur la manière dont il utilise ces autorisations. Un chatbot peut donner une mauvaise réponse ; un agent ayant accès à des données et à des outils peut, lui, entreprendre une action inappropriée et potentiellement coûteuse. Dans un système à plusieurs agents, un résultat manipulé peut être transmis à l’étape suivante et déclencher une série de problèmes dont l’origine sera difficile à retrouver.
Certains risques liés aux agents IA ont toutefois des causes bien connues : la chaîne d’approvisionnement d’un agent peut être compromise et ses autorisations détournées. Les skills en sont une bonne illustration. Il s’agit d’ensembles d’instructions qui indiquent à un agent quelles actions effectuer et quels outils utiliser. Entre mars et mai 2026, les systèmes d’ESET ont analysé près de 900 000 skills distincts issus de dépôts populaires. Plus de 25 000 se sont révélés suspects et plus de 3 000 franchement malveillants, avec à la clé des vols d’identifiants, des exfiltrations de données et des exécutions de code à distance.
Impossible de savoir combien ont été installés dans le monde. Cette analyse montre néanmoins à quelle vitesse une chaîne d’approvisionnement insuffisamment contrôlée s’est développée autour des agents IA. L’écosystème des skills ne bénéficie pas des contrôles comparables à ceux des boutiques d’applications. Une vérification ponctuelle avant l’installation ne suffit pas non plus. Après leur examen initial, les skills et les connexions aux outils, notamment celles qui utilisent les serveurs MCP désormais répandus, restent des dépendances actives : leurs instructions et les services dont ils dépendent peuvent changer à tout moment. Un outil qui fonctionne d’abord comme prévu pourrait ainsi se transformer par la suite en logiciel voleur d’informations.
Une petite équipe informatique aura du mal à vérifier chacune de ces dépendances au moment de son installation, et plus encore à les surveiller ensuite. Elle peut même ignorer qu’un salarié a connecté à un agent un skill apparemment utile, sans savoir que celui-ci peut, par exemple, lire les fichiers d’un espace partagé et communiquer avec un service tiers. La description d’un skill ne suffit pas à garantir son fonctionnement : bien souvent, il ne fait pas ce qu’il annonce.
Les grands modèles de langage, ou LLM, créent eux aussi d’autres ouvertures. Ils sont connus pour produire des informations inventées, parfois avec des conséquences sérieuses : une réponse erronée peut mener à l’exécution d’une action ou à l’utilisation d’une ressource contrôlée par un attaquant. Par exemple, les LLM inventent assez souvent les mêmes noms de bibliothèques logicielles et de domaines web pour que des attaquants les enregistrent, puis attendent qu’un développeur utilisant l’IA ou un agent de programmation s’en serve.
Les agents peuvent également s’obstiner à poursuivre un objectif mal défini, même si cela les conduit, par exemple, à s’introduire dans les systèmes d’autres entreprises. Des attaquants peuvent aussi insérer des données malveillantes dans la mémoire à long terme d’un agent. Ces données restent alors inactives jusqu’à ce que l’agent les récupère et les utilise pour commettre une fraude ou d’autres actes malveillants. De nouvelles menaces apparaissent régulièrement, sous forme de démonstrations techniques ou d’attaques observées sur le terrain.
La menace la plus courante et la plus insidieuse vise peut-être les instructions reçues par le modèle. Les LLM ne distinguent pas toujours de façon fiable les instructions légitimes et prioritaires des données non fiables qu’ils récupèrent : ils traitent l’ensemble comme une suite de données textuelles. Les agents sont ainsi particulièrement exposés aux injections indirectes de prompt. Dans ce type d’attaque, un adversaire dissimule des commandes dans une page web, un e-mail ou une autre ressource que l’agent doit consulter. La vulnérabilité EchoLeak de Microsoft 365 Copilot a montré qu’une fuite de données pouvait survenir sans qu’une personne clique sur un lien malveillant. Lors d’une récente compétition de sécurité à grande échelle, au moins une attaque visant à détourner le comportement du modèle a réussi contre chacun des 13 modèles de pointe testés. L’injection de prompt occupe régulièrement la première place du classement de l’OWASP consacré aux principaux risques de sécurité des applications fondées sur les LLM.
L’IA donne un nouvel élan aux attaques classiques
Les menaces propres à l’IA n’ont pas remplacé les voies d’accès bien connues aux données et systèmes les plus précieux des entreprises. Le phishing, les logiciels vulnérables, les identifiants volés et les services d’accès à distance exposés restent au cœur de nombreux incidents.
Selon notre Panorama ESET 2026 de la Cybersécurité PME en France, le phishing et l’exploitation de vulnérabilités logicielles connues restent les deux causes les plus fréquentes de compromission. La rapidité avec laquelle certaines failles sont exploitées laisse parfois très peu de temps aux équipes pour appliquer un correctif ou prendre des mesures de protection : près d’un quart des quelque 500 vulnérabilités connues comme exploitées au premier semestre 2026 l’ont été le jour même de leur divulgation, voire avant.
Le phishing et les autres formes d’ingénierie sociale changent également de forme et de canal, avec des résultats préoccupants. Selon Microsoft, les e-mails de phishing automatisés par l’IA atteignent un taux de clic de 54 %, contre 12 % pour les tentatives classiques. Parallèlement, le phishing par QR code progresse fortement. ClickFix, une menace très répandue qui affiche un faux message d’erreur pour pousser l’utilisateur à coller une commande dans son terminal, prend désormais souvent l’apparence d’une aide au dépannage par l’IA. Les attaquants détournent aussi les fonctions de partage public de services d’IA populaires pour héberger leurs instructions malveillantes.
De nombreuses campagnes de phishing sont conçues pour résister aux vérifications que les salariés ont appris à effectuer. L’IA permet de produire rapidement et à grande échelle des messages personnalisés, tandis que des kits de phishing prêts à l’emploi fournissent les outils nécessaires pour voler des identifiants. Les attaquants cherchent aussi à rencontrer le moins de résistance possible : ils se fondent dans les activités habituelles et ciblent les salariés alors que ceux-ci sont déjà connectés à leurs comptes.
Les ransomwares, qui touchent durement les TPE et PME depuis des années, sont désormais déployés en plus grand nombre, même pour des gains plus faibles. Les attaquants visent aussi de plus en plus les technologies chargées de les arrêter. ESET a recensé plus de 100 outils conçus pour neutraliser les solutions de détection et de réponse sur les terminaux (EDR). La plupart exploitent des pilotes vulnérables, et de nouveaux outils apparaissent régulièrement.
L’IA fait également son apparition dans les logiciels malveillants, même si les exemples identifiés à ce jour restent généralement préliminaires ou expérimentaux. Les chercheurs d’ESET ont notamment documenté PromptLock, une démonstration technique et le premier ransomware connu utilisant l’IA, ainsi que PromptSpy, le premier malware Android connu à utiliser l’IA générative dans son fonctionnement. D’autres cas inédits et exemples notables ont depuis été découverts. Pour l’heure, la principale contribution de l’IA à la cybercriminalité reste toutefois l’accélération d’attaques conduites par des humains, davantage que la création autonome de malwares. Reconnaissance plus courte, ingénierie sociale plus efficace, malwares courants moins coûteux et adaptation plus rapide permettent ensemble aux attaquants d’en faire davantage avec moins de moyens.
Quelles conséquences pour une petite équipe ?
Les petites équipes ont beaucoup à faire. Pour une TPE ou une PME, recruter suffisamment de personnes pour couvrir tous les besoins de sécurité est rarement envisageable. Signe révélateur, la plus vaste étude sur les professionnels de la cybersécurité ne publie plus d’estimation du manque d’effectifs à l’échelle mondiale. Elle mesure désormais les compétences manquantes, jugées plus révélatrices de la pénurie de talents. La sécurité de l’IA arrive en tête des compétences recherchées.
Comme souvent en matière de sécurité, la première étape consiste à obtenir une vue d’ensemble : quels agents et services d’IA sont utilisés, qui les a connectés et que leur permettent leurs autorisations ? Cela renvoie à la combinaison de trois facteurs particulièrement risquée pour les agents IA : l’accès à des données sensibles, l’exposition à des contenus provenant de l’extérieur de l’entreprise et la possibilité de communiquer ou d’agir à l’extérieur. Un agent qui lit un espace partagé, traite les e-mails entrants et envoie des messages réunit ces trois facteurs. En supprimer un réduit sensiblement le risque.
Les systèmes autonomes et semi-autonomes doivent disposer de limites adaptées à leurs tâches et à leur durée d’utilisation, et leurs comportements anormaux doivent pouvoir être surveillés. Sécuriser un agent et les actions qu’il peut effectuer exige de regarder au-delà du modèle lui-même : il faut prendre en compte son identité, les informations qu’il reçoit, les outils auxquels il accède et les contrôles qui encadrent et limitent ses actions.
Depuis des années, le shadow IT, ou l’utilisation d’outils informatiques sans validation de l’entreprise, constitue un angle mort pour de nombreuses organisations. Le shadow AI, c’est-à-dire l’utilisation de l’IA par les salariés sans autorisation, ajoute une difficulté. Le risque ne se limite pas au partage d’informations sensibles avec un chatbot : un outil doté d’autorisations trop étendues pourrait agir à une échelle inaccessible au salarié lui-même.
Avec leurs effectifs et le temps dont elles disposent, de nombreuses entreprises ne peuvent pas assurer seules toutes les étapes de la sécurité : déployer, configurer, surveiller, analyser, enquêter et réagir. Aussi tentant que cela puisse paraître, retirer complètement l’humain du processus au profit de l’automatisation comporte également des risques. L’automatisation fonctionne bien pour les décisions répétitives, mais moins bien face aux situations ambiguës ou complexes. Les erreurs peuvent alors s’enchaîner lorsqu’une mauvaise décision automatisée sert de point de départ à la suivante. Une personne doit pouvoir examiner le contexte général pour déterminer si un comportement inhabituel révèle une intrusion ou un simple dysfonctionnement.
Un service managé de détection et de réponse (MDR) s’appuie sur une automatisation avancée pour examiner davantage d’activités, tout en soumettant les comportements suspects à un expert. Aujourd’hui, un tel service doit aussi intégrer des capacités de sécurité avancées fondées sur l’IA. Il doit surveiller ce à quoi les agents IA accèdent ou ce qu’ils utilisent - fichiers, services externes, dépôts de code, skills et extensions -ainsi que l’usage qu’ils en font une fois en activité. Lorsque les salariés utilisent des chatbots, il doit vérifier les contenus envoyés et signaler les réponses malveillantes ou risquées. Il doit également détecter les activités qui suivent souvent une compromission, notamment les commandes suspectes, les déplacements d’un attaquant dans le réseau, le vol de données et le déploiement d’un ransomware.
Les entreprises n’ont pourtant pas besoin de créer leur propre centre opérationnel de sécurité ni de recruter des spécialistes aux compétences difficiles à trouver. Le service est directement opérationnel : l’IA contribue à absorber la charge de travail et un expert intervient lorsque la situation exige un jugement humain. Pour une entreprise dotée d’une petite équipe informatique, c’est un modèle de sécurité adapté à la réalité du quotidien.
