Rapport Tenable sur la sécurité du Cloud et de l’IA 2025 en quelques chiffres :
78 % des organisations laissent les données liées à l’IA non classifiées et non chiffrées, créant une exposition majeure.
Seules 26 % des entreprises réalisent des tests de sécurité spécifiques à l’IA.
Les principales causes de compromission liées à l’IA sont les vulnérabilités logicielles (21 %), les défauts de modèles (19 %) et les menaces internes (18 %).
Seules 22 % des organisations classifient et chiffrent les données IA.
Un tiers des adopteurs de l’IA sont compromis via des vulnérabilités classiques, et non par des manipulations avancées de modèles.
Le rapport révèle que la racine de ces compromissions provient de défaillances de sécurité fondamentales, et non d’une manipulation complexe des modèles. Les principales causes identifiées étant :
Des vulnérabilités logicielles exploitées (21 %),
Des défauts de modèles IA (19 %),
Des menaces internes (18 %).
À l’inverse, les organisations se montrent principalement préoccupées par des risques plus futuristes, comme la manipulation de modèles (18 %) ou l’utilisation non autorisée de modèles IA (15 %). Cela révèle un décalage clair entre les expositions réelles et les menaces perçues.
L’étude met également en évidence une approche très axée sur la conformité de l’IA sur le principe, mais techniquement insuffisante. Plus de la moitié des organisations (51 %) s’appuient sur des cadres tels que le NIST AI Risk Management Framework ou l’AI Act européen pour orienter leurs stratégies. Pourtant, lorsqu’il s’agit de classifier et chiffrer les données IA, 78 % des organisations n’ont pas mis en place les deux pratiques - ce qui signifie qu’il manque au moins un des mécanismes de base. Seules 22 % classifient et chiffrent leurs données IA, et seulement 26 % réalisent des tests de sécurité spécifiques à l’IA, tels que des exercices de red teaming.
« Les données montrent que les incidents liés à l’IA sont déjà une réalité, et confirment ce que nous alertons depuis longtemps : la plupart des organisations regardent dans la mauvaise direction. Les vrais risques viennent en effet d’expositions classiques - identités, mauvaises configurations, vulnérabilités - et non de scénarios de science-fiction. Tant que ces fondamentaux ne sont pas adressés, les environnements IA resteront exposés. » déclare Liat Hayun, vice-présidente Produit et Recherche chez Tenable.
« Les cadres réglementaires constituent une base nécessaire, mais ne remplacent pas la profondeur technique. Le rythme d’adoption de l’IA impose aux organisations d’aller au-delà de la conformité et d’intégrer les expositions spécifiques à l’IA dans leurs stratégies de sécurité globales. » ajoute Bernard Montel, Field CTO EMEA et cyber stratège chez Tenable.
Les recherches Tenable indiquent que les organisations devraient :
considérer la conformité comme un point de départ, pas une finalité ;
prioriser les contrôles fondamentaux - gouvernance des identités, surveillance des mauvaises configurations, durcissement des workloads, gestion des accès — dans les environnements IA ;
intégrer les expositions propres à l’IA dans une stratégie de risque unifiée couvrant les environnements hybrides et multi-cloud.
