Le Royaume-Uni veut que l’IA contribue à défendre les réseaux nationaux, mais le plus difficile ne sera peut-être pas de détecter plus rapidement les menaces. Il pourrait plutôt s’agir de décider de l’étendue des pouvoirs à accorder à ces systèmes.
Le National Cyber Security Centre (NCSC) a présenté les grandes lignes de Cyber Shield, un projet national de défense dopé à l’IA destiné à aider à repérer et à contrer les cyberrisques dans les systèmes gouvernementaux et les secteurs britanniques critiques.
Cyber Shield commence par la détection
Selon ITPro, Cyber Shield a été annoncé pour la première fois en mai et est conçu comme une « approche collaborative à l’échelle nationale » de la cyberdéfense assistée par l’IA.
L’objectif initial n’est pas de laisser l’IA modifier librement les systèmes critiques. Le plan du NCSC commence par l’utilisation de l’IA pour repérer les vulnérabilités et les menaces à la vitesse des machines, avant d’évoluer progressivement vers une réponse davantage automatisée. Cette différence est importante, car repérer un risque est très différent de laisser un logiciel agir sur une infrastructure en production.
Ce plan intervient alors que les cybermenaces deviennent plus rapides et plus complexes, notamment celles provenant d’États hostiles et de groupes criminels organisés. Le NCSC a déclaré que les modèles d’IA de pointe pourraient également aider les attaquants à aller plus vite, laissant aux défenseurs moins de temps pour détecter et contenir les menaces.
Pour les entreprises, le message est clair : les outils de sécurité fondés sur l’IA évoluent, passant des tableaux de bord et des alertes à des systèmes qui pourraient un jour recommander des actions ou les exécuter. Cela pourrait aider les équipes de sécurité déjà sous pression, mais uniquement si les contrôles qui encadrent ces outils sont suffisamment solides.
Cette pression est déjà visible sur l’ensemble du marché de la sécurité de l’IA. Claude Mythos a signalé plus de 23 000 failles potentielles dans des logiciels open source, tandis que l’initiative Daybreak d’OpenAI utilise l’IA pour aider à repérer et à corriger les faiblesses des logiciels. OpenAI a également ouvert un modèle de cybersécurité aux défenseurs de l’Union européenne, alimentant la course aux outils de sécurité fondés sur l’IA.
L’autorité est le véritable défi
Cyber Shield reste un plan, et non un produit fini de défense nationale. Les questions les plus difficiles sont d’ordre pratique : qui approuve une correction recommandée par l’IA, quels systèmes celle-ci peut toucher, comment annuler les erreurs et qui est responsable si une action automatisée casse quelque chose ?
Le plan du NCSC met l’accent sur l’explicabilité, la fiabilité, la qualité des données, l’identité, la cybersécurité et la conformité. Il ne s’agit pas de détails secondaires. Ce sont les conditions qui déterminent si l’IA peut être digne de confiance dans des environnements à haut risque.
Le NCSC a également déclaré que les agents de Cyber Shield opéreraient sous l’autorité de chaque organisation. Cette approche pourrait contribuer à préserver le contrôle local, mais elle crée aussi des difficultés. Les agences gouvernementales, les opérateurs d’infrastructures critiques et les partenaires du secteur privé devraient partager des renseignements utiles sur les menaces sans affaiblir la sécurité ni perdre le contrôle de données sensibles.
Ces questions devraient sembler familières aux entreprises qui testent déjà des agents IA dans leurs flux de travail quotidiens. Plus un système d’IA peut faire de choses, plus les organisations ont besoin de règles claires concernant les accès, les validations, les journaux d’audit, la possibilité de revenir en arrière et la supervision humaine.
Pour les fournisseurs, Cyber Shield impose un niveau d’exigence plus élevé aux produits de sécurité fondés sur l’IA. Les acheteurs auront besoin de plus que de promesses de détection accélérée. Ils voudront savoir ce que le système est autorisé à modifier, comment ses décisions sont expliquées et comment les humains conservent le contrôle.
Le plan du Royaume-Uni montre la direction que pourrait prendre la cyberdéfense nationale : d’abord une détection plus rapide assistée par l’IA, puis une réponse davantage automatisée. La transformation de ce projet en véritable bouclier dépendra moins de l’étiquette « IA » que de la gouvernance qui l’encadre.
À lire aussi : À mesure que l’IA repère plus rapidement un nombre croissant de failles de sécurité, des outils comme Claude Mythos montrent pourquoi la découverte des vulnérabilités devient pour les entreprises un problème de correction et de gouvernance.