The End of OS Persistence in 2026
Face à l’accélération des attaques par IA (délai de propagation réduit à 29 minutes), l’intervenant propose d’abandonner les systèmes persistants au profit d’une architecture éphémère, immuable et reconstruite régulièrement, inspirée des bonnes pratiques Docker et de solutions...
SYNTHÈSE STRUCTURÉE
L’IA transforme le rapport de force entre attaquants et défenseurs
L’intervenant décrit une nouvelle ère où l’IA amplifie les capacités des deux camps. « AI is supercharging the red team, no doubt about it. It is finding zero days at scale. » L’attaquant peut échouer mille fois, mais une seule réussite suffit. Le défenseur, lui, ne peut se permettre aucun échec. Cette asymétrie est aggravée par la vitesse de découverte des vulnérabilités : alors qu’on comptait 48 à 60 CVE critiques par an sous Linux il y a quelques années, l’intervenant en observe désormais 150 à 200 par mois.
Les systèmes persistants deviennent des cibles fixes
L’intervenant compare les serveurs et postes de travail traditionnels, maintenus par mises à jour successives, à des « stationary targets ». Il cite le général Patton : « Fixed fortifications are monuments to the stupidity of man. » Un système persistant, même bien patché, reste vulnérable car il offre une surface d’attaque continue. « Your persistent desktop and your persistent server is no longer a safe vault. » La simple recommandation de maintenir ses systèmes à jour ne suffit plus.
Le délai de réponse s’est effondré à 29 minutes
L’intervenant cite CrowdStrike : « Once malware gains a foothold, according to CrowdStrike’s threat environment for 2026, you have 29 minutes before it maps your network and begins to spread. » Ce chiffre illustre la compression du temps de réaction. Il donne des exemples concrets : un contournement MFA chez Google transformé en exploit en « literally just a few days », et un framework malware Void Linux développé par un seul développeur en moins d’une semaine.
Les bonnes pratiques Docker comme modèle fondateur
L’intervenant rappelle trois principes clés de Docker, toujours d’actualité :
- Conception immuable : les images sont des packages figés, le runtime est la seule partie exécutée.
- Reconstructions régulières : tout l’environnement est rebâti autour de l’application lors du même processus.
- Éphémérité : « Our containers are meant to be ephemeral. » On démarre, on exécute, on détruit le runtime, pas l’image.
Une architecture orientée « mouvement perpétuel »
L’intervenant propose un système où un « director » achemine intelligemment les requêtes vers des services backend sur des réseaux isolés. Ces services ne s’activent qu’à la demande : « Services only wake when they’re needed. » L’image immuable est instanciée, éventuellement configurée pour le besoin spécifique, puis détruite après usage. Le directeur lui-même peut changer de machine, créant un effet « Whac-A-Mole » qui rend la cible imprévisible.
Tailscale comme exemple d’implémentation partielle
L’intervenant cite Tailscale pour deux fonctionnalités :
- Ephemeral node : un nœud qui reste actif une durée définie puis est détruit.
- Fine-grained grants : des autorisations granulaires qui contrôlent les communications entre services, même éphémères.
Il précise ne pas avoir testé cette solution comme système complet, mais la trouve prometteuse.
L’objectif : disparaître avant la reconnaissance ennemie
« By the time the attacker gets ready to recon us, we’re gone. » L’idée centrale est de passer d’une défense statique (forteresse) à une défense dynamique (cible mouvante). L’intervenant insiste : « I don’t think we need better patching. We need systems that are designed to be rebuilt cleanly and often. » Il ne s’agit pas de peur, mais d’une adaptation nécessaire face à l’effondrement des fenêtres de réaction.
Appel à la collaboration et à l’expérimentation
L’intervenant conclut en sollicitant les retours de la communauté : « What are you experimenting with? How are you thinking about this? Are you thinking about making your systems more ephemeral or moving targets? » Il reconnaît que ses idées ne sont pas définitives et que « many heads are what design systems. »
CONCEPTS CLÉS
- Éphémérité : propriété d’un système ou d’un conteneur qui est créé, exécuté puis détruit après usage, sans persistance de l’état.
- Immuabilité : principe où une image système est figée (read-only) et ne peut être modifiée ; toute modification passe par la reconstruction d’une nouvelle image.
- Cible mouvante : stratégie défensive qui change dynamiquement la surface d’attaque (adresses IP, instances, configurations) pour dérouter l’attaquant.
- Zero day : vulnérabilité non encore connue du public ou du fournisseur, donc sans correctif disponible.
- Reconnaissance : phase initiale d’une attaque où l’attaquant cartographie le réseau, les services et les vulnérabilités potentielles.
CONCLUSION
Le message principal est que les méthodes de défense traditionnelles (patching, mises à jour, forteresse statique) sont devenues insuffisantes face à des attaquants dopés à l’IA. L’intervenant propose un changement de paradigme : concevoir des systèmes qui ne persistent pas, qui se reconstruisent proprement et souvent, et qui disparaissent avant d’être cartographiés. Cette approche, inspirée de Docker et de Tailscale, vise à réduire la fenêtre d’exposition à quelques minutes, rendant la reconnaissance ennemie inefficace. L’enjeu n’est pas technique mais stratégique : il s’agit de repenser l’architecture même de nos infrastructures pour survivre dans un monde où le temps de réaction s’est effondré.