Kaspersky et l’IA : une nouvelle génération de sécurité pour les endpoints

Dans un contexte où la transformation numérique s’accélère, les attaques informatiques ne cessent de gagner en volume et en sophistication. Le cybercrime n’est plus l’affaire de quelques hackers isolés : il s’agit aujourd’hui d’un écosystème organisé, qui produit en continu de nouveaux malwares, kits d’attaque, campagnes de phishing et attaques ciblées.

Les chiffres publiés par Kaspersky illustrent cette explosion :

• Sa base de données compte désormais plus de 2,1 milliards d’échantillons malveillants,
• Ses systèmes détectent plus de 467 000 nouvelles menaces par jour,
• Le nombre d’objets malveillants recensés a doublé en quelques années.

Dans ces conditions, un antivirus classique à base de signatures ne suffit plus. Pour rester efficace, la protection doit être intelligente, adaptative et prédictive. C’est là que l’intelligence artificielle entre en jeu au cœur des solutions Kaspersky Endpoint Security.

1. Pourquoi l’IA est devenue incontournable en cybersécurité

Les menaces actuelles se caractérisent par :

• Des malwares polymorphes, qui changent leur code à chaque infection,
• Des attaques ciblées avancées (APT), discrètes et conçues pour durer,
• Des campagnes de phishing réalistes, difficiles à repérer pour l’utilisateur,
• Des techniques d’obfuscation et d’évasion pour contourner les solutions traditionnelles.

Le problème, c’est que les technologies de détection basées uniquement sur :

• des signatures (empreintes de fichiers connus),
• des règles fixes,
• des listes noires,

sont toujours en retard d’une bataille : elles réagissent après la découverte de la menace.

L’intelligence artificielle (IA) et le machine learning permettent au contraire :

• D’identifier des schémas suspects avant même que la menace soit cataloguée,
• De repérer des variantes nouvelles à partir de ressemblances structurelles ou comportementales,
• De prédire les tendances d’attaque et d’ajuster la protection en continu.

C’est sur ce principe que Kaspersky construit son approche de sécurité des endpoints basée sur l’IA.

2. Un modèle de protection multicouche renforcé par l’intelligence artificielle

Kaspersky ne mise pas sur une seule technologie miracle, mais sur une architecture de défense en profondeur, dans laquelle l’IA est présente à chaque niveau :

1. Analyse statique intelligente des fichiers et objets.
2. Hachage de similarité pour reconnaître des familles entières de malwares.
3. Kaspersky Security Network (KSN), un cloud mondial de renseignements sur les menaces.
4. Moteurs de machine learning avancés pour le traitement automatique des malwares.
5. Cloud ML pour Android, dédié aux menaces mobiles.
6. Détection comportementale en temps réel sur les endpoints.
7. Solutions XDR et Threat Intelligence pour les équipes de sécurité (SOC).

Chaque couche renforce les autres, avec un objectif : réduire le temps de détection, augmenter la précision et limiter les faux positifs.

3. Première ligne de défense : l’analyse statique enrichie par l’IA

Sur chaque poste de travail, serveur ou appareil, les solutions Kaspersky contrôlent en permanence les sources d’infection potentielles :

• Fichiers téléchargés depuis Internet,
• Pièces jointes des emails,
• Partages de fichiers en réseau,
• Supports USB et disques externes,
• Nouvelles applications installées.

Dès qu’un objet entre dans le système, il passe par une analyse statique approfondie. Cette analyse ne se limite pas à vérifier une signature :

• Le moteur extrait une très grande quantité de caractéristiques (features) d’un fichier : structure, en-têtes, sections, ressources, métadonnées, etc.
• Des milliers de paramètres décrivent ainsi chaque objet numérique de manière très fine.
• Ces caractéristiques sont envoyées à des modèles de machine learning entraînés sur des millions d’exemples légitimes et malveillants.

Parmi les algorithmes utilisés, on retrouve notamment :

• Des modèles de forêt aléatoire (Random Forest),
• Des approches de gradient boosting,
• Des modèles spécifiques conçus pour analyser les fichiers exécutables (PE).

Ces moteurs d’IA fonctionnent :

• soit en local sur l’endpoint, pour une réaction immédiate,
• soit via le cloud, pour bénéficier de modèles plus lourds et de données plus nombreuses.

Cette approche permet de détecter un très grand nombre de fichiers malveillants inconnus, simplement en étudiant leur structure et leurs caractéristiques.

4. Hachage de similarité : repérer les familles de malwares cachées

Les cybercriminels modifient sans cesse leurs malwares pour échapper aux détections basées sur des signatures exactes. Pour contrer cela, Kaspersky utilise une technologie appelée similarity hashing (hachage de similarité ou hachage sensible à la position).

Le principe :

1. Le système analyse les propriétés internes d’un fichier (code, segments, structure).
2. Un algorithme d’apprentissage identifie les caractéristiques les plus pertinentes.
3. Ces caractéristiques sont compressées dans une empreinte de similarité.

Deux fichiers qui se ressemblent beaucoup sur le plan structurel auront des empreintes proches, même si les cybercriminels ont modifié certaines parties du code.

Résultats :

• Un seul enregistrement de détection peut couvrir toute une famille de malwares polymorphes,
• La base de détection est plus légère,
• Les endpoints sont protégés contre des variantes jamais vues auparavant, mais proches de malwares connus.

5. Kaspersky Security Network (KSN) : un cloud mondial d’intelligence sur les menaces

La Kaspersky Security Network (KSN) est une infrastructure de cloud sécurité distribuée, alimentée par des millions d’utilisateurs qui choisissent de partager des données de sécurité anonymisées.

Son rôle :

• Collecter et analyser des événements de sécurité provenant de partout dans le monde,
• Agréger des informations sur les fichiers suspects, les URLs, les domaines, les comportements anormaux,
• Mettre à jour en continu les verdicts de réputation.

Au cœur de ce système, on trouve Astraea, le moteur de réputation globale de Kaspersky :

• Il agrège les statistiques, métadonnées et signaux de détection de multiples sources,
• Il attribue à chaque objet (fichier, domaine, URL) une réputation de sécurité en quasi temps réel,
• Les verdicts sont immédiatement répercutés vers tous les endpoints connectés à KSN.

Si les données disponibles sont insuffisantes, Astraea :

• Diffère le verdict définitif,
• Relance l’analyse dès que de nouvelles informations sont collectées,
• Affine progressivement la décision pour limiter les erreurs et faux positifs.

Grâce à KSN, la sécurité des endpoints bénéficie de l’intelligence collective globale et d’une vision très large des menaces.

6. Cloud ML pour Android : protéger les appareils mobiles

Les appareils Android constituent une cible de choix pour les cybercriminels. Pour protéger cet écosystème, Kaspersky utilise un modèle Cloud ML dédié aux menaces mobiles :

• Le modèle est entraîné sur un immense corpus de malwares Android et d’applications légitimes,
• Il étudie la structure des APK, les autorisations demandées, les comportements possibles,
• Il est capable de détecter plus de 90 % des nouvelles menaces ou menaces inconnues.

Ce système bloque chaque année des millions de tentatives d’attaque sur les smartphones et tablettes des clients Kaspersky.

L’utilisation du cloud permet de :

• Déployer rapidement les nouvelles connaissances acquises,
• Garder un haut niveau de détection, même face à des campagnes très récentes.

7. Traitement automatique et sandbox : des modèles d’IA très avancés

Toutes les analyses ne se font pas sur l’endpoint ou en temps réel. Kaspersky dispose aussi de pipelines d’analyse automatisée dans ses infrastructures.

Ces pipelines exploitent :

• Des réseaux neuronaux entraînés sur des centaines de millions d’échantillons,
• Des modèles lourds, très puissants, qui ne sont pas adaptés à une exécution directe sur un poste client.

Leur rôle :

• Identifier de nouveaux schémas de malwares,
• Réduire les faux positifs en comparant un grand nombre de dimensions,
• Alimenter en continu les bases de données de Kaspersky et les modèles plus légers présents sur les endpoints.

Parallèlement, des modèles d’IA analysent :

• Les journaux d’activité des systèmes,
• Les flux réseau,
• Les résultats et comportements observés dans les bacs à sable (sandbox) internes.

Les verdicts issus de ces analyses sont ensuite renvoyés vers KSN, ce qui permet à tous les clients d’être protégés quasi instantanément lorsqu’une nouvelle menace est comprise.

8. Lutte contre le phishing et les domaines malveillants

La protection des endpoints ne se limite pas aux fichiers : elle inclut aussi la navigation web et la réputation des domaines.

8.1. Détection du phishing web

Kaspersky s’appuie sur un modèle d’IA breveté pour détecter :

• Les pages web de phishing,
• Les faux formulaires de connexion,
• Les sites qui imitent des marques connues.

Ce modèle est entraîné sur :

• Des millions de pages légitimes et malveillantes,
• Du contenu (texte, structure HTML, scripts),
• Des métadonnées techniques.

Il permet d’identifier des centaines de milliers de ressources de phishing chaque année, tout en appliquant des filtres stricts pour limiter les faux positifs.

8.2. Identification des domaines malveillants par graphes

Kaspersky utilise aussi l’IA pour analyser l’infrastructure des domaines :

• Un graphe de domaines est construit à partir des données DNS, des certificats, des IP, etc.
• Des modèles de machine learning repèrent les zones suspectes autour de domaines déjà connus comme malveillants ou de phishing.
• La classification est propagée à l’ensemble du graphe, ce qui permet de bloquer des domaines suspects avant même qu’ils ne soient massivement utilisés.

Ce système empêche chaque année des millions de clics vers des liens dangereux.

9. Deuxième couche clé : la détection comportementale en temps réel

Même la meilleure analyse statique peut parfois être contournée. C’est pourquoi Kaspersky ajoute une étape critique : la surveillance comportementale.

Sur l’endpoint, un moteur de détection comportementale :

• Observe les actions des processus (création de fichiers, modifications système, appels réseau, etc.),
• Compare ces comportements à des modèles d’IA formés sur des scénarios malveillants,
• Cherche des signes caractéristiques d’attaques :
  • chiffrement massif de fichiers (ransomware),
  • exploitation de failles,
  • injection ou détournement de DLL,
  • tentatives de persistance avancée.

Dès qu’un schéma est jugé malveillant :

• Le processus est interrompu et isolé,
• Les changements sont bloqués ou restaurés si possible,
• L’événement est signalé à KSN pour enrichir les connaissances globales.

Ainsi, même si un fichier a passé les premières couches, il reste de grandes chances qu’il soit stoppé grâce à la détection comportementale en temps réel.

10. IA au service des SOC : Kaspersky Next XDR et Threat Intelligence

Dans les entreprises de taille importante, la sécurité des endpoints doit s’intégrer à une vision globale du système d’information.

Kaspersky Next XDR

La plateforme Kaspersky Next XDR exploite l’IA pour :

• Regrouper et corréler les alertes issues des endpoints, du réseau, du cloud, etc.,
• Filtrer le bruit, en réduisant drastiquement les alertes inutiles,
• Mettre en évidence les incidents vraiment critiques,
• Détecter des comportements avancés comme les mouvements latéraux ou les détournements de DLL.

Kaspersky Threat Intelligence

De son côté, la Kaspersky Threat Intelligence utilise aussi l’IA pour :

• Résumer et contextualiser les données brutes de menaces,
• Proposer aux analystes des informations synthétiques et actionnables,
• Leur permettre de réagir plus vite et plus précisément.

Pour les équipes SOC, cette combinaison d’outils permet de gagner en efficacité tout en améliorant le niveau de protection global.

11. Une cybersécurité prédictive et adaptative

En combinant machine learning, IA avancée et cloud, Kaspersky ne se contente plus de réagir :

• Les modèles apprennent en permanence des nouvelles attaques observées,
• Les protections sont ajustées en temps quasi réel,
• Les menaces sont prévenues et anticipées plutôt que simplement bloquées après coup.

Grâce à cette approche :

• Les exploits Zero-Day,
• Les malwares polymorphes,
• Les campagnes sophistiquées sont détectés avec une grande précision.

Dans le même temps, les modèles sont optimisés pour limiter les faux positifs, afin de préserver :

• La productivité des utilisateurs,
• La stabilité des systèmes,
• Le confort d’utilisation.

12. Conclusion : Kaspersky, l’IA au cœur de la protection des endpoints

En intégrant des technologies d’intelligence artificielle à tous les niveaux – du poste utilisateur jusqu’au cloud de threat intelligence – Kaspersky fait évoluer la sécurité des endpoints vers un modèle proactif et prédictif.

Que vous soyez :

• un particulier,
• une PME,
• une grande entreprise ou un opérateur d’infrastructure critique,

les solutions Kaspersky basées sur l’IA offrent une protection capable de suivre le rythme des cybermenaces modernes, tout en restant précise, évolutive et adaptée aux besoins opérationnels.