Le Royaume-Uni a désormais une date butoir, et c’est sa propre agence de cybersécurité qui l’a écrite. D’ici 2028, un ransomware dopé à l’IA aura frappé ses infrastructures critiques. Le NCSC, la branche cyber du GCHQ, ne parle pas d’hypothèse exotique. Sa formule, dans le rapport annuel publié ce mardi : « It is … highly likely that between now and 2028, AI-powered malware will have been used in a ransomware attack on UK CNI. » En clair : hautement probable.
Derrière l’acronyme CNI, le périmètre est large. Énergie, transports, défense, alimentation, santé, finance. Des centrales, des aéroports, des hôpitaux, comme le résume le Guardian. Le genre de cible où une panne ne se règle pas avec un redémarrage et un ticket chez le support.
Le rapport ajoute un pronostic qui n’a rien de rassurant : la Russie et la Chine vont commencer à utiliser l’IA « de façon routinière » dans leurs cyberattaques.
Le vrai sujet n’est pas la prédiction
Un rapport annuel qui prédit une attaque à trois ans, ça se lit vite et ça s’oublie encore plus vite. Sauf que cette année, le morceau le plus intéressant n’est pas la prédiction. C’est l’aveu qui l’accompagne.
Richard Horne, le patron du NCSC, prononce ce mardi un discours en même temps que la publication du rapport. Il y prévient : « In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents. » La hausse, il l’attribue à la capacité de l’IA à dénicher les failles de nos systèmes d’information, celles qui ont été « tolérées bien trop longtemps ».
Puis cette phrase, qui aurait mérité plus de titres que la prédiction 2028 : « For decades we have collectively got away with tech on the cheap. » Pendant des décennies, on s’en est tous sortis avec de l’informatique au rabais.
Relis-la deux fois. L’IA n’est pas la cause du problème. L’IA est le révélateur. Elle fait l’audit que personne n’a voulu financer, sur des réseaux où la dette technique se compte en années de report de budget. Le NCSC annonce un futur, il décrit surtout un passé.
La démonstration date du mois dernier
Le Guardian rappelle l’exemple qui rend la prédiction crédible : la découverte, le mois dernier, d’une faille critique dans PHP, le langage qui fait tourner près de 70 % des sites web mondiaux. L’IA a servi à la trouver. J’en parlais déjà quand la nouvelle est tombée, deux failles présentes depuis la version 5, un correctif en 8.5.12 et des sites coupés en Asie. L’outil qui trouve les trous est le même qui permet de les exploiter, et il tourne aujourd’hui chez tout le monde, à commencer par ceux qui paient en bitcoin.
Alan Woodward, professeur de cybersécurité à l’université de Surrey, pose le dilemme sans détour : « AI can help people find these flaws and patch them, but if we don’t get the access the bad guys will beat them to it. » La défense a besoin d’accéder aux mêmes modèles que l’attaque. Le Guardian note qu’OpenAI et Anthropic ont déjà ouvert un accès anticipé à leurs modèles les plus costauds à certaines entreprises, précisément pour ce genre de travail.
Voilà où on en est : la sécurité d’une centrale repose désormais sur un contrat commercial avec un laboratoire d’IA. Et sur la vitesse à laquelle le patch sera déployé, ce qui est un problème d’organisation humaine, pas de GPU.
Des frigos à 50 °C et des câbles militaires attaqués tous les jours
Le rapport descend aussi dans le détail. Des cyberattaques récentes sur des réfrigérateurs de supermarché en Europe ont vu des pirates relever la température de chambres froides au-delà de 50 °C. C’est l’exemple parfait du truc qu’on ne regarde jamais : ton frigo commercial est un système informatique, il est sur le réseau, et personne dans la chaîne de décision ne l’a jamais considéré comme une cible.
Horne ajoutera que les réseaux de communication de l’armée britannique subissent des attaques quotidiennes, « persistantes » et « soutenues ». Il en désignera un des auteurs, la Russie, en précisant une nuance dont on parle trop peu : ces campagnes restent délibérément « sous le seuil du conflit armé », pendant que Moscou intensifie sa guerre hybride. Ce n’est pas la paix, ce n’est pas la guerre, c’est l’entre-deux qui épuise les équipes de défense sans jamais déclencher de réponse politique.
Neuf litres d’eau et trois jours de conserves
La réponse de l’État britannique tient pour l’instant en une brochure. Le mois dernier, la campagne Be Ready a recommandé aux Britanniques de stocker jusqu’à neuf litres d’eau en bouteille et trois jours de nourriture, pour survivre à une urgence météo, cyber ou autre. Le secrétaire à la Défense, Wes Streeting, a évoqué au lancement la menace d’un « terrorisme sponsorisé par un État » ciblant les infrastructures du quotidien.
Tu noteras le chemin parcouru en une décennie. Pour le covid, on achetait du papier toilette. Pour l’IA, on achète des packs d’eau. À un moment, il faudra admettre que la résilience cyber d’un pays ne se mesure pas au volume de bouteilles dans ton garage.
Ce que le NCSC décrit, c’est un décalage simple : une technologie offensive qui progresse à la vitesse des modèles frontière, et une défense qui avance à la vitesse des cycles de renouvellement de matériel dans les hôpitaux. Trois ans, c’est court pour recâbler un service public. C’est une éternité pour un modèle de langage.
En 2028, la question ne sera pas de savoir si une IA savait écrire un ransomware. Elle sera de savoir si quelqu’un avait budgété le remplacement du routeur. L’agence vient de publier un avertissement, le gouvernement une liste de courses. Entre les deux, il y a trente ans de factures impayées.
Sources :
Comments are closed