if ( !emtpy($headline_subheadline ) ) : ?>
L’IA donne à davantage d’attaquants plus de puissance, plus rapidement, les défenseurs doivent donc repenser la manière dont ils utilisent l’IA pour suivre le rythme.
endif; ?>
Pendant la majeure partie de l’histoire moderne, les guerres sophistiquées et coûteuses présentaient d’importantes barrières à l’entrée. Afin de conserver un avantage tactique significatif, il fallait de l’argent, des infrastructures et des ressources humaines hautement qualifiées. Dans le domaine physique, il fallait des combattants entraînés et compétents ainsi que des armes relativement coûteuses et spécialisées, fabriquées par des artisans qualifiés. Dans le cyberespace, il fallait des opérateurs qui comprennent les réseaux, les vulnérabilités, l’exploitation et comment se déplacer dans un environnement sans se faire prendre.
La guerre était généralement un combat à l’échelle de la société qui se résumait à savoir qui disposait des ressources les meilleures et les plus vastes. Ces barrières tombent. Cela a toujours été le cas, mais aujourd’hui, la situation s’accélère plus rapidement que jamais dans l’histoire de l’humanité. C’est ce qu’on appelle la démocratisation de la guerre, et c’est terrifiant. Ses ramifications en matière de cybersécurité se font sentir dans les secteurs public et privé, sur les champs de bataille et dans les salles de conseil.
La guerre se démocratise depuis des siècles
J’ai été témoin de la démocratisation de la guerre. En Ukraine, une technologie relativement peu coûteuse et disponible dans le commerce a mis entre les mains des individus des capacités qui auraient été inimaginables il n’y a pas si longtemps. Regardez Moscou. En 2023, des drones ont atteint le Kremlin lui-même, marquant la première attaque contre le Kremlin depuis que l’Allemagne nazie l’a bombardé lors de l’opération Barbarossa pendant la Seconde Guerre mondiale. Une cible qui n’avait pas été touchée par l’ennemi depuis plus de 80 ans était soudainement à sa portée.
La démocratisation de la guerre n’est pas une tendance nouvelle. L’arme à feu était elle-même une technologie démocratisante, réduisant considérablement les compétences et les barrières physiques nécessaires pour infliger une force mortelle à un adversaire – tout comme l’arbalète avant cela, et d’autres avant cela. Ces technologies ont permis de créer de nouvelles techniques et d’élargir celles existantes, notamment des formes de guerre irrégulière qui permettaient à des forces plus petites d’exploiter l’asymétrie qu’elles créaient. Les armées européennes arrivant en Amérique du Nord ont apporté une tradition fondée sur des formations disciplinées et une puissance de feu massive, mais elles ont rapidement rencontré des forces autochtones qui mettaient l’accent sur la mobilité, la dissimulation, la surprise et une connaissance intime du terrain. Les forces coloniales ont commencé à s’adapter à ces tactiques. Benjamin Church a incorporé des tactiques amérindiennes dans ses forces de rangers pendant la guerre du roi Philippe dans les années 1670. Près d’un siècle plus tard, Robert Rogers a approfondi ces leçons pendant la guerre française et indienne, transformant les Rangers de Rogers en une force conçue pour repérer, attaquer et opérer en profondeur dans un terrain où les formations conventionnelles étaient en difficulté.
La technologie comptait, tout comme la leçon sous-jacente : vous n’étiez pas obligé d’affronter un adversaire supérieur, soldat après soldat, si vous pouviez modifier les conditions du combat avec la technologie à votre disposition. Cette leçon s’est appliquée pendant la Révolution américaine, où des commandants comme Francis Marion et Daniel Morgan ont utilisé des approches irrégulières contre les Britanniques, utilisant la mobilité, la surprise et les attaques ciblées pour contourner les avantages traditionnels en matière d’équipement, de formation et de main-d’œuvre.
La démocratisation a continué à se répéter tout au long de l’histoire de l’humanité. Aujourd’hui, un drone d’une valeur de 1 000 dollars acheté en ligne, modifié avec des composants imprimés en 3D et exploité avec relativement peu de formation peut détruire du personnel ou un système d’armes qui coûte des millions de dollars. Cela change l’économie de la guerre. Plus important encore, cela change qui est capable de créer un effet tactique significatif sur le champ de bataille.
L’IA abat les barrières de la cyberguerre
Nous observons la même chose dans la cyberguerre – et c’est important car les effets en aval atteignent déjà le secteur privé. Le cyberespace a toujours offert un retour sur investissement asymétrique par rapport à la guerre conventionnelle : un nombre relativement restreint d’opérateurs qualifiés peut imposer des coûts énormes à un adversaire bien plus important. Ainsi, la cybersécurité a toujours été une arme de choix particulièrement privilégiée par les États-nations aux ressources limitées. L’IA pousse encore plus cette asymétrie en réduisant le coût des cyberopérations sophistiquées tout en réduisant le manque de compétences nécessaires pour les mener.
Nous en avons déjà eu un aperçu. En 2015, Kane Gamble, un jeune de 15 ans, a opéré depuis sa maison familiale en Angleterre et a compromis les comptes appartenant à certains des plus hauts responsables du renseignement aux États-Unis, dont John Brennan, alors directeur de la CIA, et James Clapper, directeur du renseignement national. Il l’a fait en grande partie grâce à l’ingénierie sociale, et non à un énorme cyber-appareil parrainé par l’État. L’IA met de l’essence sur quelque chose qui était déjà possible. Elle met des capacités offensives de plus en plus sophistiquées entre les mains de personnes qui auparavant n’auraient pas eu les compétences, l’argent ou les ressources nécessaires pour les utiliser. C’est la démocratisation de la cyberguerre.
Cela nous amène à ce qui s’est passé à Taiwan. En août, des chercheurs ont révélé ce qu’ils ont décrit comme la première cyberattaque largement autonome basée sur l’IA contre une infrastructure gouvernementale. Les attaquants ont utilisé des outils d’IA accessibles au public et des cadres d’agents open source pour créer ce qui était en fait une équipe de piratage autonome. Jusqu’à huit agents opéraient simultanément, cartographiant les systèmes gouvernementaux, recherchant les vulnérabilités et changeant de tactique lorsque quelque chose ne fonctionnait pas. Au moins 85 comptes gouvernementaux ont été compromis et plus de 2 500 dossiers personnels ont été saisis avant que l’opération ne soit étendue à l’agence de sécurité nucléaire et aux sociétés énergétiques de Taiwan. L’IA n’aidait pas quelqu’un à rédiger un meilleur e-mail de phishing. C’était l’IA qui effectuait elle-même une partie de l’attaque.
Ce niveau d’autonomie change encore une fois l’équation. Un opérateur humain a une limite stricte quant au nombre de cibles qu’il peut rechercher, aux chemins d’attaque qu’il peut tester et aux décisions qu’il peut prendre en même temps. Les agents autonomes commencent à supprimer cette contrainte. Une personne peut effectivement former une équipe, avec plusieurs agents travaillant en parallèle, testant différentes voies et s’adaptant en cas d’échec. En termes militaires, l’IA crée un nouveau type de masse. L’attaquant n’a pas obtenu plus de personnes ni plus de ressources. Chaque ressource est simplement devenue exponentiellement plus performante.
Rien de tout cela ne restera confiné aux conflits entre États-nations. Les cybercapacités ont toujours migré vers l’aval. Les techniques se répandent, les outils deviennent banalisés et les connaissances autrefois détenues par des opérateurs sophistiqués deviennent finalement accessibles à tous. La différence avec l’IA réside dans la vitesse à laquelle cela peut se produire. Il existe également une incitation financière évidente. Une capacité utilisée aujourd’hui pour compromettre les infrastructures gouvernementales peut être dirigée demain vers une banque, un hôpital ou une entreprise technologique. L’attaquant peut changer et sa motivation peut changer, mais la capacité ne se soucie pas de savoir qui est la cible.
Nous n’avons pas besoin de spéculer sur la question de savoir si ces capacités parviendront aux entreprises, car elles l’ont déjà fait. En 2025, un acteur d’espionnage probablement lié à la Chine a utilisé Claude Code contre une trentaine d’organisations des secteurs technologique, financier, chimique et gouvernemental. L’IA ne se contentait pas d’écrire des e-mails de phishing ou d’aider à la recherche. Selon MITRE ATT&CK, les agents Claude Code ont été utilisés pour la reconnaissance, la découverte de vulnérabilités, l’exploitation, les mouvements latéraux, la récolte d’informations d’identification, l’analyse des données et l’exfiltration avec une implication humaine minimale. La frontière entre les capacités utilisées dans la cyberguerre et celles utilisées contre le secteur privé disparaît déjà.
Cela crée un vilain problème pour les défenseurs. Les entreprises se défendent encore en grande partie grâce à une expertise humaine coûteuse, et il ne reste qu’un nombre limité d’heures dans une journée pour qu’un analyste enquête sur les alertes, comprenne une trajectoire d’attaque et décide quoi faire ensuite. L’attaquant commence à se débarrasser de ces mêmes contraintes. Ils peuvent mener davantage d’opérations contre davantage de cibles, à moindre coût et avec moins d’expertise qu’auparavant. Nous ne pouvons pas supposer que notre modèle de défense actuel continuera à fonctionner alors que l’aspect offensif de l’équation évolue aussi rapidement.
L’économie de la défense doit changer
Les équipes de sécurité ne peuvent pas répondre à ce problème en ajoutant simplement du personnel supplémentaire. Vous ne pouvez pas embaucher des analystes au même rythme qu’un attaquant peut faire tourner des agents, et vous ne pouvez certainement pas vous attendre à ce que des humains travaillant sur des files d’attente d’alertes suivent le rythme de systèmes autonomes fonctionnant en continu et en parallèle. Les défenseurs ont besoin du même multiplicateur de force. Cela signifie donner à l’IA davantage de responsabilités pour enquêter sur les activités, comprendre les chemins d’attaque, relier les preuves et éventuellement agir. Si l’IA permet à un attaquant d’opérer comme une équipe, nous devons donner le même avantage à un défenseur.
Cela signifie également repenser ce que nous attendons de la technologie de sécurité. Pendant des années, nous avons créé des outils conçus pour détecter les problèmes et les soumettre à un humain qui décide en fin de compte de la suite des événements. Ce modèle ne fonctionne pas lorsque l’attaquant opère de manière autonome à la vitesse d’une machine. La sécurité doit être capable de comprendre ce qui se passe, de prendre une décision et de défendre l’environnement en temps réel. Si l’attaquant peut agir de manière autonome, le défenseur doit éventuellement être capable de faire de même.
Même si cela peut paraître risqué au premier abord, c’est également nécessaire. Il y a une analogie à faire ici. En tant que principe de leadership, le commandement décentralisé existe parce que parfois la rapidité du combat rend impossible la prise de décision centralisée. Tout au long de l’histoire, les forces se sont effondrées lorsque les structures de commandement centralisées ont été submergées par plus de problèmes qu’elles ne pouvaient en traiter – nous avons vu cela se produire en Ukraine, lorsque ses forces armées se sont éloignées du modèle de commandement soviétique centralisé dont elles avaient hérité pour se tourner vers un modèle de commandement de mission de style occidental, où l’autorité décisionnelle est rapprochée du combat.
En fait, c’est ainsi que l’on gagne les guerres : surcharger l’ennemi avec plus de problèmes qu’il ne peut en résoudre, plus vite qu’il ne peut prendre de décisions. Un commandant contrecarre cela en établissant l’intention, en définissant les limites et en donnant aux dirigeants subordonnés le pouvoir d’agir à l’intérieur de celles-ci. Ils ne s’arrêtent pas au milieu d’un combat et n’attendent pas que quelqu’un à plusieurs niveaux au-dessus du subordonné approuve chaque décision – cela accélère une spirale descendante de surcharge qui finira par se terminer par un échec.
La sécurité doit commencer à penser de la même manière. Donnez aux systèmes autonomes des intentions et des garde-fous clairs, définissez les décisions qu’ils sont autorisés à prendre et laissez-les agir lorsque la vitesse compte. En termes de leadership, c’est l’intention du commandant appliquée à la défense autonome : les humains déterminent l’objectif et les limites tandis que les systèmes prennent des décisions en leur sein au rythme du combat. Le contrôle humain reste essentiel, mais l’approbation humaine ne peut pas être une condition préalable à toute action défensive.
Réflexions finales
La démocratisation de la cyberguerre n’est pas à venir : elle est déjà en cours. Nous avons déjà observé ce schéma : lorsque le coût d’une capacité diminue, les compétences requises pour l’utiliser diminuent et l’accès s’élargit, cette capacité ne reste pas longtemps entre les mains d’un petit nombre d’acteurs sophistiqués. La même chose se produit dans le cyberespace, et les mêmes capacités utilisées contre les gouvernements commencent déjà à se manifester contre les entreprises.
Pendant la majeure partie de l’histoire, l’avantage appartenait à celui qui pouvait apporter le plus de ressources au combat. L’IA change cette équation. Une seule personne peut de plus en plus exercer des capacités qui nécessitaient autrefois l’appui d’une organisation. Les défenseurs ont accès à ce même levier. La question est de savoir qui apprendra à l’utiliser en premier.
