L'essentiel
Le National Cyber Security Centre (NCSC), le centre britannique de cybersécurité rattaché à l'agence de renseignement GCHQ, estime « hautement probable » que des logiciels malveillants dopés à l'IA servent à des attaques contre des infrastructures critiques du Royaume-Uni d'ici 2028. Centrales électriques, aéroports et hôpitaux figurent parmi les cibles citées dans le rapport annuel de l'organisation.
Le NCSC précise que l'IA devrait probablement permettre une attaque par rançongiciel contre ces infrastructures nationales critiques entre aujourd'hui et 2028. La définition britannique de ces infrastructures couvre plusieurs secteurs, dont l'énergie, les transports, la défense, l'alimentation, la santé et la finance.
Les détails
Un rançongiciel plus facile à armer
Le rançongiciel est devenu un pilier de l'arsenal des pirates, et une spécialité des gangs qui opèrent généralement depuis d'anciens États soviétiques. Le mode opératoire reste classique : les attaquants pénètrent les systèmes informatiques d'une victime, chiffrent les fichiers avec un logiciel malveillant sur mesure, puis réclament un paiement en cryptomonnaie pour déverrouiller les systèmes et restituer les données volées. Royal Mail, la société d'externalisation Capita et plusieurs organismes publics, dont des conseils municipaux, comptent parmi les victimes britanniques.
Selon le NCSC, l'IA renforce cette menace en aidant les attaquants à repérer les cibles, à localiser les faiblesses des réseaux informatiques et à écrire du code malveillant.
Russie et Chine en toile de fond
Le rapport annuel avertit aussi que la Russie et la Chine vont commencer à utiliser l'IA « régulièrement » dans leurs cyberattaques. Richard Horne, directeur général du NCSC, doit prévenir le public dans un discours accompagnant la publication que l'IA va déclencher une vague de cyberattaques à brève échéance. « Dans les mois à venir, nous faisons face à la perspective réelle d'une hausse sans précédent du nombre d'incidents cyber », dira-t-il.
Horne attribuera cette menace à la capacité de la technologie à révéler des faiblesses dans les systèmes informatiques qui ont été « tolérées bien trop longtemps ». Il citera aussi les réseaux de communication utilisés par l'armée britannique, visés quotidiennement par des attaques « persistantes » et « soutenues ». La Russie figure parmi les auteurs, mais ces attaques ne franchissent volontairement pas la ligne de la guerre : Moscou mène des « campagnes notables » qui « tombent intentionnellement sous le seuil du conflit armé » à mesure qu'elle intensifie ses tentatives de guerre hybride.
Un précédent dans le PHP
Un exemple de la capacité de l'IA à dénicher des vulnérabilités jusque-là indétectées est survenu le mois dernier, quand la technologie a aidé à découvrir une faiblesse critique dans PHP, un langage utilisé par près de 70 % des sites web mondiaux. Alan Woodward, professeur de cybersécurité à l'université de Surrey, souligne que l'avertissement du NCSC rappelle la nécessité pour les États et les entreprises d'accéder aux technologies d'IA de pointe. « L'IA peut aider à trouver ces failles et à les corriger, mais si nous n'obtenons pas l'accès, les méchants arriveront avant », dit-il. Des entreprises d'IA de premier plan comme OpenAI et Anthropic ont déjà donné à certaines sociétés un accès anticipé à leurs modèles les plus puissants pour les aider à identifier des défauts informatiques graves.
Horne évoquera enfin les cyberattaques récentes contre des réfrigérateurs de supermarchés en Europe, où des pirates ont fait monter la température au-delà de 50 °C. Il y verra un avertissement pour les entreprises et les organisations, invitées à investir fortement dans leur résilience. « Pendant des décennies, nous nous en sommes collectivement sortis avec de la technologie bon marché », dira-t-il.
Pourquoi c'est important
Pour une équipe qui maintient des systèmes exposés, le message du NCSC déplace le curseur habituel. L'IA ne crée pas une nouvelle famille d'attaques, elle accélère les étapes amont : reconnaissance, cartographie des faiblesses, rédaction de code. Cela suggère que la fenêtre entre la découverte d'une faille et son exploitation se resserre, et qu'une veille sur les correctifs ne suffit plus si personne ne surveille activement son propre périmètre.
Mon hypothèse est que l'accès privilégié aux modèles les plus puissants, évoqué par Woodward, va devenir un enjeu de politique industrielle autant que de sécurité. Les grandes plateformes d'IA ouvrent déjà leurs modèles à certains clients pour la chasse aux vulnérabilités. Une équipe qui n'a pas cet accès devra compenser par des outils peu puissants et beaucoup de méthode.
Le précédent PHP mérite d'être suivi. Si un modèle peut trouver une faille critique dans un langage qui fait tourner la majorité du web, la même capacité s'applique aux dépendances obscures de nos projets. Cela reste à surveiller, mais l'audit de sécurité assisté par IA pourrait bien devenir une brique standard de la chaîne de build, au même titre que les tests.