La cybersécurité en 2026 s’inscrit dans une contradiction de plus en plus difficile à dissimuler : les équipes de sécurité font aujourd’hui davantage confiance que jamais à l’automatisation et à l’Intelligence Artificielle, mais elles reconnaissent simultanément que le niveau de préparation des organisations ne suit pas le rythme des menaces croissantes.

Voici le portrait principal dressé par le 2026 State of Cybersecurity Report : Bridging the Divide d’Ivanti, fondé sur les réponses de plus de 1 200 professionnels de la cybersécurité à travers le monde. Le rapport met en évidence un écart que la société qualifie de “Cybersecurity Readiness Deficit” : un déficit de préparation qui s’amplifie d’année en année, alimenté par la montée des attaques, la complexité de l’environnement SaaS, la pression réglementaire et, surtout, par la rapide adoption de l’IA par les cybercriminels.

L’IA agentique : “nous voulons qu’elle agisse seule”… avec nuance

Le titre qui fait le plus parler est clair : 87 % des équipes de sécurité déclarent qu’l’intégration de l’IA agentique — des systèmes capables de prendre des décisions et d’exécuter des actions de façon autonome en temps réel — est une priorité. Et encore plus frappant : 77 % affirment être à l’aise avec l’idée que ces systèmes agissent sans validation humaine préalable.

Ce qui importe, c’est que cette confiance n’est pas totale. Le rapport insiste sur le fait que le marché entre dans une phase de “acceptation prudente” : nombre d’organisations souhaitent des agents qui enquêtent, établissent des corrélations et proposent des actions, mais toutes ne sont pas prêtes à déléguer des réponses critiques sans contrôles. En réalité, l’adoption effective de l’IA dans des fonctions clés reste inégale :

• 53 % utilisent l’IA pour appliquer des politiques de sécurité cloud.
• 44 % pour les workflows de réponse aux incidents.
• 43 % pour la corrélation de l’intelligence sur les menaces.
• 42 % pour la réponse et la remédiation des vulnérabilités.

Par ailleurs, presque tous les sondés (92 %) conviennent que l’automatisation réduit les délais de réponse. Le problème ne réside pas dans la confiance accordée à l’automatisation, mais dans l’écart entre le désir d’un “pilote automatique” et la maturité opérationnelle nécessaire pour le faire fonctionner efficacement.

Deepfakes : la menace “déjà présente”, mais la préparation encore faible

Si l’on devait désigner un secteur où le décalage entre menace et préparation est le plus tangible, le rapport souligne les deepfakes et le contenu synthétique.

Les chiffres sont éloquents : 77 % des organisations déclarent avoir été victimes d’attaques utilisant des deepfakes. Plus de la moitié (51 %) rapportent des campagnes de phishing personnalisées renforcées par du contenu synthétique. Cependant, en ce qui concerne la préparation, seules 27 % se considèrent “très préparées” face à ce type de menace, laissant un écart supérieur à vingt points entre la perception du risque et la capacité réelle à y faire face.

Le rapport aborde aussi la question du niveau de vigilance au sein de la direction : seulement 30 % des professionnels estiment que leur CEO pourrait “reconnaître définitivement” un deepfake. Cela montre que la menace n’est pas seulement technologique, mais aussi culturelle et liée à la formation.

Ransomware, gestion des identifiants et API : la fracture de préparation croît

Ivanti analyse également l’écart entre la gravité perçue des menaces “importantes/critiques” et le pourcentage d’entreprises se sentant “très préparées” à y faire face. Pour le ransomware, par exemple, la différence est particulièrement marquée : 63 % le considèrent comme une menace élevée ou critique, mais seulement 30 % se déclarent très préparés.

Ce modèle se répète dans des secteurs de longue date dans le radar des préoccupations : identifiants compromis, vulnérabilités logicielles, risques liés à la chaîne d’approvisionnement ou failles dans les API. Ce qui change, c’est la rapidité avec laquelle ces menaces évoluent : le rapport souligne comment les cybercriminels accélèrent le délai entre la publication d’un correctif et l’exploitation, une course que l’IA contribue à accélérer.

Le fossé entre IT et sécurité : quand la gestion du risque n’est pas priorisée de la même façon

Un autre point crucial pour comprendre la difficulté à combler ce déficit réside dans la coordination interne, souvent négligée par la technologie seule.

Près de la moitié (48 %) des professionnels de la sécurité estiment que les équipes IT ne répondent pas avec suffisamment d’urgence face aux enjeux de cybersécurité. De plus, 40 % pensent que l’IT ne comprend pas parfaitement la tolérance au risque propre à leur organisation. Cela impacte directement des disciplines telles que l’exposition au risque: la sécurité attend que l’IT applique des changements, priorise les correctifs, ajuste les configurations et gère les fenêtres de maintenance.

Conséquence : des risques connus s’accumulent, les patchs sont tardifs, la mesure du risque est inadéquate, et les rapports remis aux instances dirigeantes reflètent plutôt l’activité que le risque réel.

Mesurer sans gérer : des indicateurs fragmentés et peu contextualisés au regard du business

Le rapport souligne aussi un point que répètent depuis des années de nombreux CISOs : la prolifération de KPI qui “sonnent bien” mais qui en disent peu.

Seul 60 % des organisations utilisent une analyse d’impact métier pour hiérarchiser les risques. Même si 51 % emploient un “score d’exposition” ou un indice basé sur le risque, il reste courant de s’appuyer sur des métriques process telles que :

• le temps moyen de remédiation (47 %)
• le pourcentage d’expositions corrigées (41 %)

Selon Ivanti, ces métriques peuvent donner une apparence de progrès alors que le risque réel s’aggrave. En d’autres termes : on peut aller vite… dans la mauvaise direction.

Le facteur humain : stress, fatigue et manque de talents comme vulnérabilités systémiques

Le rapport met également en lumière une crise silencieuse : le épuisement des équipes.

43 % des professionnels déclarent subir un niveau élevé de stress, et 79 % affirment que cela impacte leur santé physique ou mentale. Des effets concrets sont observés : difficultés de concentration, troubles du sommeil, augmentation de l’anxiété. Dans ce contexte, le manque de talents — ou le décalage entre compétences et besoins réels — constitue un obstacle direct à l’adoption efficace de l’automatisation et des agents : sans profils capables d’assurer la gouvernance, l’évaluation et le contrôle de ces systèmes, leur autonomie devient un risque supplémentaire.

Alors, que change l’IA agentique ?

Le principal message du rapport est que l’IA agentique devient “une priorité” avant même d’être une “capacité mature”. Et c’est là le danger : si ces agents sont déployés comme un raccourci pour pallier le manque de temps et de personnel, sans des données de qualité, des garde-fous et des métriques robustes, l’organisation ne renforce pas sa défense, elle complexifie la gestion.

Ainsi, le rapport insiste sur des concepts moins séduisants que “l’autonomie”, mais indispensables pour une croissance sûre : gouvernance, traçabilité, gestion des risques, formation efficace contre les contenus synthétiques.

Questions fréquentes

Qu’est-ce que l’IA agentique en cybersécurité et en quoi diffère-t-elle de l’automatisation classique ?
L’automatisation repose souvent sur l’exécution de règles prédéfinies. L’IA agentique, elle, peut décider et agir de manière plus autonome, en ajustant son comportement selon le contexte, par exemple en enquêtant, en établissant des corrélations ou en prenant des mesures.

Pourquoi les deepfakes sont-ils devenus une menace “de sécurité” et pas seulement de réputation ?
Parce qu’ils permettent des attaques opérationnelles : fraudes par usurpation d’identité, ingénierie sociale ciblée envers des dirigeants, vishing ou phishing hyper-personnalisé. L’impact ne se limite pas à l’image, il concerne aussi l’argent, l’accès et les identifiants.

Quelles métriques sont les plus pertinentes pour prioriser les risques de façon pragmatique ?
Celles qui relient l’exposition au risque à l’impact métier : scoring basé sur le risque, analyse d’impact, criticité des actifs, probabilité d’exploitation et dépendance opérationnelle. Se limiter à des indicateurs comme le temps de remédiation ou le pourcentage d’expositions corrigées peut masquer le véritable enjeu.

Comment débuter avec des agents d’IA tout en évitant une autonomie excessive dès le départ ?
Une approche courante est la méthode “humain dans la boucle” : l’agent enquête, propose, mais une personne responsable valide les actions critiques. Il est aussi essentiel de garantir une traçabilité claire (ce que l’agent a vu, décidé et pourquoi) et de limiter l’étendue par domaines ou types d’incidents.

via : ivanti