Les attaquants automatisent la découverte, les défenseurs automatisent la réponse, et l'écart entre l'intrusion et le dommage se réduit à quelques minutes.
Publié le 14 octobre 2026 · 06:00 GMT
Dernière mise à jour : octobre 2026
Il y a une guerre en cours qui n'a pas de ligne de front, pas de déclaration et pas de cessez-le-feu. Elle traverse les systèmes de planification des hôpitaux, les services des eaux, les ports maritimes et les bureaux électoraux. C'est la cyberguerre, et au cours des deux dernières années elle a changé de caractère. L'intelligence artificielle n'a pas inventé les cyberattaques. Elle les a industrialisées. La reconnaissance qui prenait autrefois des semaines à un attaquant qualifié prend désormais des heures à une machine. Le courriel d'hameçonnage qui trompait autrefois un employé imprudent sur cent peut désormais être personnalisé pour chacun des cent. La vulnérabilité qui restait autrefois indétectée pendant des mois est désormais trouvée, transformée en arme et exploitée avant que le correctif ne sorte. De l'autre côté, les défenseurs ont aussi l'IA — des systèmes de détection qui repèrent les anomalies, des outils de réponse qui isolent des machines en quelques secondes, et des modèles qui trient dix mille alertes avant le petit-déjeuner. Le résultat n'est pas une victoire pour l'un ou l'autre camp. C'est l'accélération. L'écart entre l'intrusion et le dommage, autrefois mesuré en semaines, se mesure désormais en minutes. Cette compression est le fait déterminant de la nouvelle ère cyber, et presque aucune défense n'a été construite pour elle.
Il y a une guerre en cours qui n'a pas de ligne de front, pas de déclaration et pas de cessez-le-feu. Elle traverse les systèmes de planification des hôpitaux, les services des eaux, les ports maritimes et les bureaux électoraux. C'est la cyberguerre, et au cours des deux dernières années elle a changé de caractère. L'intelligence artificielle n'a pas inventé les cyberattaques. Elle les a industrialisées. La reconnaissance qui prenait autrefois des semaines à un attaquant qualifié prend désormais des heures à une machine. Le courriel d'hameçonnage qui trompait autrefois un employé imprudent sur cent peut désormais être personnalisé pour chacun des cent. La vulnérabilité qui restait autrefois indétectée pendant des mois est désormais trouvée, transformée en arme et exploitée avant que le correctif ne sorte. De l'autre côté, les défenseurs ont aussi l'IA — des systèmes de détection qui repèrent les anomalies, des outils de réponse qui isolent des machines en quelques secondes, et des modèles qui trient dix mille alertes avant le petit-déjeuner. Le résultat n'est pas une victoire pour l'un ou l'autre camp. C'est l'accélération. L'écart entre l'intrusion et le dommage, autrefois mesuré en semaines, se mesure désormais en minutes. Cette compression est le fait déterminant de la nouvelle ère cyber, et presque aucune défense n'a été construite pour elle.
Comprenez ce que l'automatisation a fait à l'économie de l'attaquant. L'ancien modèle était artisanal : un opérateur qualifié choisissait une cible, l'étudiait, écrivait un appât, attendait et improvisait. Le nouveau modèle est industriel. Des agents IA scannent Internet à la recherche de systèmes exposés, testent des identifiants divulgués dans d'anciennes violations, génèrent des leurres d'hameçonnage dans une langue locale parfaite pour chaque employé figurant sur les pages publiques d'une entreprise, et s'adaptent en temps réel quand une défense les bloque. Les groupes de rançongiciels fonctionnent comme des entreprises, avec des affiliés, un service client et un contrôle qualité. La barrière à l'entrée s'est effondrée : un criminel qui ne sait pas coder peut louer l'outillage. Les cibles ont aussi glissé vers le bas de gamme. Hôpitaux, écoles, petites municipalités et fournisseurs de taille moyenne — des organisations qui ne peuvent pas se permettre une équipe de sécurité de vingt personnes — sont désormais les victimes préférées, précisément parce qu'elles sont molles et parce que leur temps d'arrêt est intolérable. Un hôpital ne peut pas attendre une semaine pour négocier. C'est le modèle économique.
Les défenseurs font face à une asymétrie qu'aucune IA n'a encore corrigée. L'attaquant doit trouver un seul trou. Le défenseur doit les fermer tous, à travers des systèmes construits sur des décennies, faisant tourner des logiciels que personne ne comprend entièrement, utilisés par des gens qui cliqueront. Les bases dominent toujours : corriger ce qui est connu, renouveler les identifiants, segmenter le réseau pour qu'une intrusion ne devienne pas une intrusion totale, sauvegarder les données hors ligne et répéter la réponse. La plupart des organisations échouent sur les bases non par ignorance mais par épuisement — trop d'outils, trop d'alertes, trop peu de gens, trop peu d'argent. L'IA aide à la marge : elle filtre le bruit, corrèle les signaux et automatise la première réponse. Mais elle crée aussi de nouveaux modes de défaillance. Un modèle de détection entraîné sur les attaques d'hier manque celles de demain. Une réponse automatisée qui isole le mauvais système peut faire le travail de l'attaquant à sa place. Le dilemme du défenseur n'est pas un manque de technologie. C'est que la défense est un centre de coût, l'attaque un centre de profit, et le marché récompense le second plus sûrement que le premier.
Quand les cyberattaques frappent un détaillant, le dommage est de l'argent et de l'embarras. Quand elles frappent une infrastructure, le dommage est physique. Un service des eaux dont les pompes sont manipulées, un réseau électrique dont les systèmes de contrôle sont verrouillés, un hôpital dont les dossiers sont chiffrés pendant une urgence — ce ne sont pas des incidents de données. Ce sont des incidents de sécurité publique. Les gouvernements ont répondu par des règles de signalement des incidents, des normes minimales pour les secteurs critiques et, dans certains cas, des interdictions pures et simples de payer les rançons. Les résultats sont inégaux. Des normes sans application deviennent de la paperasse. Un signalement sans partage devient un classeur. Et le problème le plus profond est l'attribution : une cyberattaque contre une infrastructure pourrait être un gang criminel, un mandataire étatique, un État lui-même, ou un gang qui loue à un État le week-end. Sans attribution, la dissuasion est une devinette, et la riposte risque de frapper la mauvaise cible. Les enjeux d'infrastructure sont la raison pour laquelle le cyber est passé du service informatique au conseil de sécurité nationale — et pourquoi il y restera.
La couverture occidentale lit l'ère cyber comme une compétition entre sociétés ouvertes et leurs adversaires — la Russie, la Chine, l'Iran, la Corée du Nord et les écosystèmes criminels qui s'abritent sous eux. La réponse politique a été stratifiée : sanctions contre les acteurs de rançongiciels, démantèlement de botnets, signalement obligatoire des incidents et construction lente d'une norme selon laquelle les infrastructures critiques sont hors limites même en temps de paix. Il y a de vrais succès : des démantèlements conjoints ont perturbé de grandes opérations de rançongiciels, et le partage d'informations entre gouvernements et entreprises s'est amélioré. Mais le regard occidental a un angle mort qu'il nomme rarement : les propres capacités cyber offensives de l'Occident, ses propres stocks d'exploits et sa propre histoire d'attaques contre des infrastructures font paraître ses normes sélectives au reste du monde. Des normes qui ne lient que vos ennemis ne sont pas des normes. Ce sont des arguments. Le modèle occidental ne tiendra que s'il applique ses propres règles à lui-même.
Depuis Moscou et Pékin, l'histoire cyber concerne la souveraineté sur l'environnement informationnel. La doctrine russe traite les opérations cyber comme un instrument permanent de faible intensité — espionnage, influence, perturbation — calibré pour rester en dessous du seuil de la guerre. L'approche chinoise associe une capacité offensive redoutable à une poigne de fer sur les réseaux nationaux : localisation des données, contrôle des contenus et force cyber nationale. Les deux voient dans le discours occidental sur un Internet libre et ouvert une couverture pour la domination des plateformes américaines. Leur réponse est un Internet souverain : infrastructure nationale, plateformes nationales, règles nationales et capacité de déconnecter en cas de menace. Le regard oriental a un coût que ses propres partisans comptent rarement : un Internet souverain est aussi un Internet censuré, et les mêmes outils qui tiennent les attaquants étrangers dehors tiennent aussi la dissidence nationale en bas. Mais rejeter l'impulsion de souveraineté comme un simple autoritarisme manque le vrai grief. Un pays dont toute la vie numérique tourne sur une infrastructure étrangère a une raison légitime de vouloir la sienne.
Pour la plupart du monde, la cyberguerre n'est pas une partie d'échecs des grandes puissances. C'est une agression quotidienne. Les organisations africaines, latino-américaines et asiatiques font face aux mêmes gangs de rançongiciels que tout le monde, avec une fraction du budget, moins de défenseurs qualifiés et des régulateurs qui manquent souvent des outils pour aider. Quand un hôpital dans un pays à faible revenu est frappé, il n'y a pas d'assurance cyber, pas de contrat de réponse aux incidents, pas de sauvegarde nationale. Il y a un système verrouillé et une demande de rançon. Le regard du Sud global mesure donc la politique cyber en termes pratiques : des outils de sécurité abordables, de la formation, une infrastructure de sauvegarde et une aide qui arrive en heures plutôt qu'en déclarations de conférence. Il voit aussi une opportunité que les autres regards manquent. Les pays qui construisent dès le départ une infrastructure publique numérique sécurisée par conception — identité, paiements, dossiers de santé — seront plus sûrs que les pays riches qui adaptent la sécurité sur des décennies de systèmes hérités. Le Sud global n'a pas besoin d'hériter des vulnérabilités de l'Occident en même temps que sa technologie.
Surveillez la métrique du délai avant dommage : si les défenseurs peuvent tenir la ligne à mesure que la fenêtre intrusion-dommage se réduit vers zéro. Surveillez la première grande attaque pilotée par l'IA contre une infrastructure attribuée rapidement et publiquement — la vitesse d'attribution est la nouvelle dissuasion. Surveillez la politique de paiement des rançons : si les interdictions fonctionnent ou poussent simplement les paiements dans la clandestinité. Et surveillez les bases : la part des violations qui commencent toujours par un système non corrigé et un mot de passe volé. Ce chiffre est le bulletin de toute l'ère cyber, et il a à peine bougé en une décennie.
L'IA n'a pas inventé les cyberattaques — elle les a industrialisées. La reconnaissance qui prenait autrefois des semaines à un attaquant qualifié prend désormais des heures à une machine. Le courriel d'hameçonnage qui trompait autrefois un employé imprudent sur cent peut désormais être personnalisé pour chacun des cent. La vulnérabilité qui restait autrefois indétectée pendant des mois est désormais trouvée, transformée en arme et exploitée avant que le correctif ne sorte.
L'attaquant doit trouver un seul trou. Le défenseur doit les fermer tous, à travers des systèmes construits sur des décennies, faisant tourner des logiciels que personne ne comprend, utilisés par des gens qui cliqueront. Les bases dominent : corriger ce qui est connu, renouveler les identifiants, segmenter le réseau pour qu'une intrusion ne devienne pas une intrusion totale, sauvegarder les données hors ligne et répéter la réponse. La plupart des organisations échouent sur les bases par épuisement, non par ignorance.
Les groupes de rançongiciels ont glissé vers le bas de gamme parce que les organisations sont molles et que leur temps d'arrêt est intolérable. Hôpitaux, écoles, petites municipalités et fournisseurs moyens ne peuvent pas se permettre une équipe de sécurité de vingt personnes. Un hôpital ne peut pas attendre une semaine pour négocier. Quand un hôpital dans un pays à faible revenu est frappé, il n'y a pas d'assurance cyber, pas de contrat de réponse aux incidents, pas de sauvegarde.
Surveillez la métrique du délai avant-dommage : si les défenseurs peuvent tenir la ligne à mesure que la fenêtre intrusion-dommage se réduit vers zéro. Surveillez l'attaque IA contre une infrastructure attribuée publiquement — la vitesse d'attribution est la dissuasion. Surveillez la politique de paiement des rançons : si les interdictions fonctionnent ou poussent les paiements dans la clandestinité. Et surveillez les bases : la part des violations qui commencent par un système non corrigé et un mot de passe volé.
