Infrastructures critiques : « L'IA n'ouvre pas de brèche, elle trouve plus vite celles qui existent »

Reconnaissance accélérée, délai d'exploitation des vulnérabilités qui s'effondre, ingénierie sociale industrialisée : l'IA ne crée pas de nouvelles failles dans les infrastructures critiques, mais elle érode leur avantage défensif. Contre toute attente la réponse passe moins par une course aux outils que par un retour aux fondamentaux, avec une ligne rouge claire : sur un réseau industriel, l'opérateur garde la décision finale.

Image générée par IA

Un démultiplicateur de force, pas un passe-muraille

Il fut un temps où l'on apprenait aux salariés à traquer la faute d'orthographe dans un courriel suspect. « Aujourd'hui, c'est presque le contraire : on est rassuré quand il y en a une. » souligne Julien Paffumi, head of product management, Stormshield. Le renversement résume à lui seul ce que l'IA fait à la menace. Deepfakes, usurpation d'identité, hameçonnage impeccable : la phase d'ingénierie sociale, décisive dans la plupart des intrusions, s'industrialise. Et la reconnaissance technique suit le même chemin.

Faut-il pour autant parler de rupture ? Pas au sens où on l'entend souvent. « L'IA n'est pas capable d'ouvrir un trou qui n'existait pas avant. Face à une protection idéale, elle ne passera pas mieux qu'un humain. » rappelle Julien Paffumi. Sa force est ailleurs : elle essaie et assimile davantage. Elle emprunte des chemins qu'un attaquant humain aurait écartés spontanément, parce qu'il « sait très bien qu'il n'est pas censé passer par là ». Un démultiplicateur de force, donc, qui rebat une hiérarchie établie. Les infrastructures critiques, mieux protégées, coûtaient cher à attaquer. En abaissant ce coût, l'IA diminue le ticket d'entrée et prend de vitesse les dispositifs que ces opérateurs ont patiemment bâtis : SOC, CSIRT, réponse à incident. « Ça ne les réduit pas à néant, mais ça réduit leur efficacité. » précise Julien Paffumi. Les meilleurs élèves sont challengés là précisément où ils excellaient.

Deux horloges qui ne battent plus au même rythme

Le cœur du problème est temporel. Entre la découverte d'une vulnérabilité et son exploitation, il fallait hier des compétences rares et des semaines de travail. « On parlait de plusieurs semaines, parfois d'un mois. Aujourd'hui, on parle de jours. » souligne Julien Paffumi. La fenêtre qui laissait au fabricant le temps de publier un correctif, puis à l'industriel celui de l'appliquer, se referme. Or, l'industrie vit au rythme long des maintenances programmées, d'automates de vingt ou trente ans, d'arrêts de production lourds de conséquences. Le Cyber Resilience Act poussera à durcir les équipements et à multiplier les mises à jour mais il ne réconciliera pas les deux horloges. Le réseau OT creuse encore l'écart. Historiquement moins structuré d’un point de vue cyber, plus complexe à sécuriser, il offre à l'attaquant un terrain que l'exploitant lui-même connaît mal, au point que « l'IA de l'attaquant risque d'être la première à découvrir la structure du réseau » précise Julien Paffumi. Ses protocoles, propres à chaque type d'automate et à chaque constructeur, deviennent des signatures : là où un protocole IT standard dit peu de ce qu'il dessert, un protocole industriel trahit l'équipement. En corrélant ces indices, une IA resserre quasi instantanément le champ des possibles et produit une cartographie fine des actifs sensibles. « Plus on connaît la cible, plus l'attaque peut être adaptée. » rappelle Julien Paffumi. Mais ce que l'attaquant fait pour explorer un réseau, le défenseur peut le faire d'abord, en mettant ses propres IA en posture red team. « L'attaquant, aujourd'hui, ce ne sont plus seulement des humains, ce sont aussi des IA. » déclare Julien Paffumi.

Le mur plutôt que la sonde

C'est le sens du plaidoyer pour un retour aux fondamentaux. Si l'IA exploite les failles sans les créer, il suffit de fermer les chemins pour désamorcer l'urgence. « Si ma vulnérabilité suppose d'accéder à la machine par un chemin qui n'a aucun sens dans mon réseau de production, et que ce chemin est bloqué, je réduis l'urgence. » souligne Julien Paffumi. Segmenter, cloisonner, n'autoriser que les flux strictement nécessaires : le temps perdu sur le correctif est regagné par l'architecture, et les rebonds d'une machine à l'autre deviennent impossibles. À mesure que l'IT et l'OT s'interconnectent, ce filtrage cesse d'être une option. Le zero trust et le contrôle d'identité complètent le dispositif, car aucune IA ne se fera passer pour ce qu'elle n'est pas si l'accès exige une identité valable. L'analyse fine des protocoles industriels, jusqu'aux commandes et aux valeurs échangées, permet de repérer l'anomalie qui signe une exploitation. D'où le conseil adressé aux industriels : accélérer l'audit et la cartographie, puis franchir le pas de la simple détection par sondes à la protection effective. « Le mur sera là, et même une IA plus rapide ne passera pas à travers. » L'exigence vaut aussi pour l'éditeur ajoute Julien Paffumi : « Il est facile de dire qu'avec une politique parfaite, l'IA ne passerait pas. Encore faut-il donner à l'industriel toutes les clés pour la rendre la plus étanche possible. »

Couper ou ne pas couper

Côté détection, l'IA tient déjà ses promesses : les solutions de type XDR, augmentées, corrèlent des signaux plus faibles et réagissent plus vite. La tentation est grande de les laisser répondre seules. En IT, l'arbitrage se défend : au pire, on bloque un utilisateur ou un flux métier. En OT, la même décision change de nature. « Est-ce vraiment la bonne décision de couper la production, de laisser le caoutchouc sécher dans le moule et de rendre l'outil inutilisable pendant des semaines, voire des mois ? » questionne Julien Paffumi. Et au-delà de la production, il y a la sûreté. Sur certains pare-feu industriels, un mécanisme de by-pass laisse passer le flux si le boîtier tombe en panne, parce que les alarmes et les arrêts d'urgence doivent fonctionner coûte que coûte. Dans ces environnements, la cybersécurité cède le pas à la protection des personnes. L'IA y trouve sa juste place en mode supervisé : elle analyse, propose un scénario de remédiation, l'opérateur valide d'un clic. « Dans l'OT, les opérateurs doivent garder la décision finale. » ajoute Julien Paffumi.

2030 : savoir encore comment marche son système

Cette exigence suppose une condition que l'avenir rend fragile : que l'opérateur comprenne encore ce qu'il valide. C'est là que se loge l'inquiétude à l'horizon 2030-2035. Non pas un facteur isolé, mais leur combinaison : une dépendance croissante à des systèmes interconnectés dont on ne peut plus se passer, face à un adversaire que l'IA accélère, et qui, affranchi des règles et des valeurs du défenseur, en tirera davantage profit. À mesure que l'IA s'insère dans les processus automatisés eux-mêmes, la question devient vertigineuse : « Pendant combien de temps aurai-je encore la maîtrise de mon système ».

L'explicabilité devient alors un enjeu de sécurité à part entière, car sans elle il n'y a ni scénario de défaillance crédible, ni chaîne de décision solide. La réponse dépasse la technique et engage l'organisation : garder la maîtrise de chaque nouvelle interconnexion, interroger sans relâche la résilience de l'ensemble.