L’outil d’analyse de vulnérabilités de Rapid7 signale que la fenêtre de décision pour les équipes de sécurité se rétrécit drastiquement. L’avènement de l’intelligence artificielle, illustré par le rapport de Gartner intitulé Mythos Reprioritizes Cybersecurity Outcomes and Investments, rend la connexion entre une faiblesse théorique et un scénario d’attaque exécutable beaucoup plus rapide et moins coûteuse.

Les équipes de sécurité n’ont jamais manqué de données sur les vulnérabilités. Le véritable casse-tête réside dans la capacité à distinguer les failles qui constituent un chemin crédible vers un impact business, puis d’agir avant que ce chemin ne soit exploité. C’est cette dynamique que les chercheurs de Gartner soulignent : « Mythos collapses the distance between theoretical weaknesses and executable attack scenarios, forcing cybersecurity to optimize for outcomes, not activity » (« Mythos effondre la distance entre les faiblesses théoriques et les scénarios d’attaque exécutables, forçant la cybersécurité à optimiser pour les résultats, et non pour l’activité » selon Gartner).

Ce changement n’est pas circonscrit à un seul modèle. Le rapport anticipe d’ailleurs une nouvelle ère, où « Mythos will be overtaken by new frontier-AI-enabled models, signaling that this moment is not about Mythos, but a new era of AI-assisted vulnerabilities and functional exploits » (« Mythos sera supplanté par de nouveaux modèles habilités par l’IA de pointe, signalant que ce moment n’est pas lié à Mythos, mais à une nouvelle ère de vulnérabilités et d’exploits fonctionnels assistés par l’IA » selon Gartner).

Le passage du volume à l’impact mesurable

On constate que les métriques traditionnelles ne suffisent plus. Les chiffres bruts, comme le nombre de vulnérabilités ou la taille du backlog, montrent le travail accompli, mais ils ne clarifient pas si les options de l’attaquant se sont réduites ou si l’organisation peut réellement réagir. Gartner conseille donc aux organisations de se concentrer sur des indicateurs orientés résultats. Il faut regarder la « couverture de l’analyse des chemins d’attaque », le « temps moyen de remédiation » ou encore le déploiement des contrôles compensatoires.

Rapid7 insiste sur ce point : il faut comprendre quelles expositions sont atteignables, comment elles peuvent être combinées, quels services métiers elles affectent, et quelle action réduit le risque le plus efficacement. Gartner recommande d’utiliser l’analyse des chemins d’attaque pour prioriser les correctifs, les correctifs virtuels et les contrôles compensatoires, en les reliant aux résultats métiers critiques.

Quand l’IA aide à prioriser, l’humain doit encore agir

Une meilleure priorisation ne vaut rien si l’équipe n’a pas la capacité d’agir. Rapid7 souligne que la découverte rapide n’est que le début. Un modèle d’IA peut identifier et valider une vulnérabilité potentielle, mais pour réduire l’exposition, les équipes doivent agir concrètement. Il faut comprendre les systèmes affectés, appliquer le contexte métier, choisir le bon contrôle de remédiation, vérifier le résultat et maintenir une couverture de détection.

Un programme orienté résultat permet aux dirigeants d’obtenir une réponse plus utile : « Quels opportunités d’attaquant avons-nous réduites, et avec quelle rapidité avons-nous pu réagir ? »

En parallèle, le besoin de validation continue apparaît. Face à la rapidité avec laquelle les applications et les infrastructures changent, les tests d’intrusion ponctuels ne reflètent qu’un instant T de l’exposition. On doit surveiller comment les entreprises vont traduire cette pression vers l’action, car l’intégration de la visibilité de la surface d’attaque avec le contexte métier reste le véritable défi.

Sources

• Gartner Report: The Attack Path is Closing Faster than Most Teams Can Patch, Rapid7, 5 novembre 2026
• The 4 Elements of Exposure Prioritization and How to Operationalize Them, The Hacker News, 3 novembre 2026
• AI-Powered Penetration Testing: How Autonomous Offensive Security Works, Horizon3.ai, 3 novembre 2026