Commandos cyber : les chasseurs de bugs des géants de la technologie
Dans le paysage numérique en évolution rapide, des unités d'élite de chercheurs en sécurité agissent comme des « unités de guerre numérique », examinant les services sous l'angle des attaques potentielles pour découvrir les failles avant les malfaiteurs.
« Notre regard est vraiment différent de celui d'un développeur », déclare Roi Nisimi, chercheur en sécurité principal sur la plateforme de protection des applications basée sur le cloud Orca Security. « Un développeur regarde les services et se demande : "Comment puis-je utiliser cela à mon avantage, pour ma programmation, pour le produit ?". Nous, nous demandons : "Comment peut-on utiliser ces services de manière malveillante pour pirater les ordinateurs des gens et voler leurs informations sensibles ?" ».
Dans le paysage numérique en évolution rapide, une unité d'élite spécialisée émerge de l'ombre du développement logiciel : les chercheurs en sécurité. Contrairement aux développeurs qui se concentrent sur la création de produits, ces chercheurs agissent comme des « unités de guerre numérique » qui examinent les services sous l'angle de la manière dont on peut les détourner, les pirater et exposer des failles — avant même que quelqu'un d'autre ne les découvre. Plusieurs incidents ces derniers jours — comme le cas où les modèles d'OpenAI et d'Anthropic ont « fui » par erreur sur l'internet ouvert, précisément lors de tests effectués par une société de sécurité israélienne — ont rappelé à tout le monde qu'il y a là, en coulisses, des unités entières qui travaillent sans faire beaucoup de bruit. Il s'agit généralement de petites équipes, d'environ cinq à sept personnes, dont le seul rôle est de penser comme des hackers — et parfois de se faire littéralement passer pour eux — afin de détecter les failles avant que quelqu'un de moins amical n'y arrive en premier.
« Dans une entreprise de cyber qui a un produit cyber, 90 % à 95 % des employés de R&D sont des informaticiens », poursuit Nisimi. « Seuls environ 5 % sont des personnes qui connaissent vraiment la cyber en profondeur, celles qui peuvent imiter le hacker et trouver ce que le hacker aurait trouvé. Ils savent comment suivre ses traces, car ils savent comment pirater réellement des systèmes et trouver des vulnérabilités et des vecteurs d'attaque ».
« La recherche est un outil d'approfondissement », explique Ofir Hamam, chef du département de sécurité offensive sur la plateforme de sécurité offensive basée sur des agents IA, Terra Security. « C'est un outil destiné à être utilisé lorsque vous voulez traiter quelque chose à la racine » — et pour cela, un investissement important est nécessaire pour aller « aussi profondément que possible ».
Le front des relations publiques
Une autre caractéristique des groupes de chercheurs en sécurité est qu'ils sont souvent en première ligne des relations publiques de l'entreprise : les rapports et les révélations qu'ils publient aident l'entreprise à gagner en prestige, à augmenter la valeur de la marque et à se construire une image d'autorité sur un marché encombré. Ainsi, par exemple, le géant international de la cyber Palo Alto Networks a récemment publié des conclusions de sa division de recherche, Unit 42, qui ont révélé que les attaquants utilisent aujourd'hui une IA avancée pour identifier les vulnérabilités de sécurité et les exploiter en quelques minutes. La société de cyber israélienne Zenity Labs a récemment révélé un nouveau type de vulnérabilités affectant les principaux navigateurs basés sur l'IA, et en début de semaine, la société de DevOps israélienne JFrog Security a annoncé que son équipe de sécurité avait identifié une attaque sur la chaîne d'approvisionnement ciblant la bibliothèque de cache populaire npm.
« Il existe de nombreux domaines de recherche différents dans la cyber, simplement parce qu'il existe différents niveaux de protection contre lesquels vous pourriez vouloir vous défendre », explique Yonatan Alkabetz, chercheur en sécurité chez Semperis, dont l'équipe mène des recherches ciblées sur les fournisseurs d'identité dans l'écosystème Microsoft. « Nous savons qu'il existe tout un jeu d'équipe rouge contre équipe bleue », note-t-il, en faisant référence aux simulations d'attaques conçues pour améliorer les défenses. Au-delà de cela, les chercheurs en sécurité couvrent un large éventail de spécialisations : recherche de vulnérabilités et développement d'exploits, ingénierie inverse, sécurité du cloud et des conteneurs, sécurité de l'IA et de l'apprentissage automatique, cryptographie, et plus encore. Et comme le résume Alkabetz, « dans ces domaines, il y a beaucoup de niches ».
L'équipe : une unité de combat
La réalité accélérée qui secoue le monde de la cyber exige de plus en plus des équipes de recherche en sécurité, qui jouent un rôle indissociable dans le renforcement des lignes de défense. « L'équipe de recherche — nous sommes une unité de combat », dit Nisimi, qui travaille dans une équipe de six à sept personnes. En tant qu'ancien joueur de football, Nisimi compare la dynamique d'une équipe de recherche en sécurité d'élite à celle du Paris Saint-Germain, vainqueur de la Ligue des champions : « Ils n'ont pas de superstars. L'équipe est si forte ensemble parce que tout le monde s'aime, se respecte et veut la croissance de l'autre — et c'est ce qui construit le succès. Les meilleures équipes ne sont pas celles avec les meilleurs joueurs, mais celles où tout le monde travaille ensemble comme une équipe ».
Alkabetz, qui dirige une équipe de cinq personnes, note que « chacun d'eux a une spécialisation dans un domaine différent ». Lorsqu'une nouvelle mission arrive, explique-t-il, la première action est « de penser qui sont les membres de l'équipe qui le feront de la meilleure façon ». Hamam décrit un flux de travail similaire dans son équipe chez Terra Security, qui se compose également de cinq membres. « Notre première tâche lorsque nous sommes confrontés à une question est en fait d'essayer de l'expliquer à nous-mêmes d'abord », dit-il. « Quel est le maximum que nous pouvons faire ici, et où dans ce flux les agents doivent-ils participer ? ». La nature « boutique » de ces équipes réduites, soutient-il, comporte des avantages et des inconvénients : « L'avantage est que nous faisons tout en termes de recherche au sein de l'organisation, et nous grandissons considérablement en tant qu'individus ».
Concurrence au sein du secteur
Pour maintenir la coopération dans un environnement aussi chargé, raconte Nisimi, l'équipe investit beaucoup dans la promotion d'un sentiment de communauté. « Nous avons des journées dédiées où nous, en tant que groupe, nous concentrons simplement et essayons de pirater la même technologie et de trouver des vulnérabilités », dit-il. « Nous l'avons fait le mois dernier et avons obtenu quelques milliers de dollars en bug bounty » — qu'ils vont, selon lui, faire don. Cependant, cette bonne volonté ne s'étend pas nécessairement à l'ensemble du secteur. En fait, le plus grand ennemi d'un chercheur en sécurité peut être un autre chercheur. « C'est vraiment une question d'argent et d'ego », convient Alkabetz, en faisant référence à l'envie de certains chercheurs de publier leurs piratages et exploits. « Les gens veulent faire leurs preuves et montrer qu'ils sont productifs. Ils veulent publier ce post sur LinkedIn qui dit "Regardez, j'ai réussi" ».
Sur ce point, il n'y a pas de consensus. Hamam soutient qu'une telle arrogance est relativement rare : « Je ne le ressens pas, mais ce n'est que moi. Quand je vois les gens qui se vantent, ils sont généralement moins techniques que ceux qui arrivent très humbles. Ce que j'aime dans la communauté de recherche, c'est que c'est une communauté mondiale, dans laquelle tout le monde arrive si humble. Il existe une communauté très ouverte d'apprentissage les uns des autres ».
L'avantage israélien
Dans l'industrie israélienne de la haute technologie, et surtout dans la cyber, tout le monde connaît tout le monde. Bien que l'industrie soit immense, la taille du pays et le passé militaire commun que la plupart des professionnels ont traversé font de l'arène un petit monde — et précisément pour cette raison, aussi un lieu où une concurrence amicale se développe naturellement. Alkabetz note que son équipe est composée de personnes qui « ont plus ou moins le même passé », qui sont arrivées directement de Tsahal en tant que « cyber-défenseurs ou cyber-attaquants ». Le passé militaire commun fournit aux équipes de recherche en sécurité en Israël un terrain d'entraînement unique et avantageux. « Je pense que la seule chose que Tsahal vous apprend, c'est de placer la barre très haut », poursuit Alkabetz, qui décrit également un sentiment de capacité : « La capacité de dire, "Je peux y arriver", "Nous pouvons le faire" ». Même lorsqu'une nouvelle vulnérabilité est publiée, raconte-t-il, la réaction dans l'équipe est : « Ok les gars, nous avons quelques jours pour couvrir cela de bout en bout, faisons-le ».
Nisimi note que 90 % de son équipe vient d'un milieu militaire, principalement de l'unité 8200. « Je pense que ce qui a été inculqué dans ma mentalité, c'est : tu peux tout faire, et tu peux tout faire rapidement, avec un minimum de ressources. Nous ne nous plaignons pas, nous faisons les choses rapidement. Nous restons positifs et curieux ». En fin de compte, ajoute-t-il, « nous sommes des guerriers numériques — c'est ce que nous faisons ». Cependant, la transition vers le secteur privé n'est pas sans accrocs. « Tu prends quelqu'un qui arrive avec beaucoup de connaissances techniques et d'expérience, mais tu dois aussi l'adapter au monde des affaires, parce que l'armée et les affaires ne fonctionnent pas de la même manière », explique Hamam.
L'ère de l'IA
Comme dans tout le monde des affaires, ce domaine a également changé au-delà de toute reconnaissance ces dernières années avec l'avènement de l'IA, qui a considérablement accéléré le rythme de la recherche (et aussi des attaques) et, finalement, a fondamentalement changé la routine quotidienne des chercheurs en sécurité. « Nous travaillons plus vite grâce à l'IA », dit Nisimi. « Il faut une très bonne raison pour augmenter les effectifs ».
« Par le passé, la plupart de notre temps était consacré littéralement à écrire du code », note Alkabetz. « Je n'ai pas écrit une ligne de code depuis un an et demi ou deux ans, je pense. Il n'y a pas besoin — l'IA peut écrire du code bien mieux que moi ». Ces changements soulèvent inévitablement des questions sur la taille future des équipes de recherche en sécurité. Selon Alkabetz, « l'IA ne pourra jamais remplacer l'interaction humaine » — il décrit comment de nombreuses percées organiques viennent du fait de « s'asseoir dans une pièce avec une autre personne et de dire simplement : "Hé, je crois que j'ai trouvé quelque chose" ». Hamam ajoute un angle similaire : « Les modèles d'IA sont entraînés sur des données humaines. Pour que le modèle soit meilleur, nous devons le réentraîner sur des articles de recherche supplémentaires que les humains écrivent ».
Le prix mental
Au-delà des défis techniques et existentiels posés par l'IA, la vie d'un chercheur en sécurité apporte avec elle des considérations organisationnelles et psychologiques. Un exemple récurrent est la difficulté de transmettre à la direction de l'entreprise la valeur de la recherche : expliquer pourquoi une équipe doit passer « deux semaines, un mois de recherche dans un domaine spécifique » peut être difficile à vendre. « Dans les entreprises où j'ai travaillé auparavant, il y avait beaucoup de micro-gestion de la part du niveau financier », se souvient Hamam. « Tu devais utiliser chaque heure de manière à rapporter de l'argent à l'entreprise, et quand tu fais cela — tu n'as pas le temps d'approfondir ».
En général, « c'est un travail très lourd mentalement, parce que les sommets sont hauts et les points bas sont bas », admet Nisimi. Lorsqu'un chercheur traverse une période de « sécheresse » dans ses découvertes, ajoute-t-il, « ta confiance en toi peut chuter ».
