Une étude met en garde contre la capacité de l'IA à planifier des attaques contre les réseaux électriques et les usines de traitement de l'eau. Cette découverte provient d'une étude de l'entreprise de cybersécurité Frenos, qui a évalué 10 modèles d'intelligence artificielle pour mesurer leur capacité à concevoir des offensives numériques contre des infrastructures essentielles.
Les résultats montrent que certains de ces systèmes ont réussi à élaborer des plans d'attaque complets contre les réseaux électriques et les systèmes de traitement de l'eau, avec des taux de réussite dépassant 90 % dans certains cas.
Ce constat suscite l'inquiétude parmi les spécialistes de la sécurité industrielle, qui alertent sur une fenêtre de temps de plus en plus étroite pour renforcer les défenses avant que ces capacités ne deviennent massivement accessibles.
Ce que l'étude révèle sur l'IA et les cyberattaques contre les infrastructures critiques
L'étude de Frenos a soumis les modèles à près de 17 000 tests, dont 2 520 consistaient en des tentatives d'élaboration de plans d'attaque complets contre des systèmes industriels, y compris le logiciel qui supervise les processus de traitement de l'eau.
Les modèles ont reçu des informations sur des cibles potentielles et leur a été demandé de reconstruire les étapes nécessaires pour atteindre des objectifs spécifiques de sabotage ou d'intrusion.
Trois des dix modèles évalués ont réussi à compléter les plans d'attaque dans environ 90 % des tentatives. Cependant, les performances n'ont pas été uniformes entre tous les systèmes analysés.
Les trois modèles considérés comme les plus avancés par les chercheurs, en termes de capacités générales, ont affiché des performances inférieures : entre 17,9 et 31,9 % de réussite.
Le modèle open source étranger le plus performant a atteint 36,2 % d'efficacité, tandis que son équivalent américain le plus puissant n'a atteint que 5,2 %. Frenos n'a pas révélé l'identité d'aucun des modèles testés.
Un opérateur d'infrastructures critiques peut comprendre le risque de manière directe : si une intelligence artificielle parvient à concevoir avec succès près de neuf plans d'attaque sur dix contre un système d'eau ou d'électricité, la fenêtre pour anticiper et protéger ces systèmes se réduit considérablement.
L'avertissement des experts sur le temps restant pour réagir
Steve Swick, ancien haut dirigeant de la sécurité chez American Electric Power, a résumé l'urgence du phénomène lors d'une conférence de presse. « C'est une horloge qui avance plus vite que nous ne l'avons jamais vu », a-t-il affirmé.
La préoccupation centrale ne réside pas seulement dans la capacité actuelle des modèles les plus puissants, mais dans la vitesse à laquelle ces outils pourraient devenir accessibles.
Selon l'enquête, il ne s'agit que d'une question de temps avant que des modèles d'IA disponibles gratuitement facilitent la réalisation d'attaques similaires contre les réseaux électriques et les stations de traitement de l'eau.
Cette projection prend de l'ampleur si l'on considère le contexte dans lequel ces systèmes opèrent. Les services essentiels, tels que l'approvisionnement en eau potable et les usines de fabrication, ont été pendant des années la cible d'adversaires étatiques et de cybercriminels ordinaires.
De nombreux opérateurs font face à des limitations de personnel et de budget qui rendent difficile une réponse rapide. S'ajoute à cela un obstacle technique particulier : tester et mettre à jour ces systèmes comporte le risque de provoquer des interruptions de services qui ne peuvent se permettre de défaillances, ce qui retarde l'adoption d'améliorations de sécurité.
Pourquoi les systèmes industriels sont particulièrement vulnérables à l'IA
Contrairement aux réseaux d'entreprise traditionnels, les systèmes industriels peuvent être sensibles au trafic de données et aux commandes inattendues. Cette caractéristique implique qu'une tentative d'attaque échouée pourrait interrompre des opérations essentielles, un risque qui n'existe pas de la même manière dans les environnements informatiques conventionnels.
Harry Thomas, cofondateur et directeur de la technologie de Frenos, a expliqué qu'une fois que les attaquants accèdent à un réseau industriel, l'intelligence artificielle pourrait les aider à cartographier discrètement les systèmes et à identifier les vulnérabilités sans affronter les mêmes limitations de temps que les hackers humains.
« L'IA n'a pas de problème de patience », a déclaré Thomas. « Elle n'a pas besoin de manger. Elle n'a pas besoin de dormir, ni d'aller aux toilettes ».
Paul Shaver, responsable de la technologie opérationnelle de l'entreprise de cybersécurité Armadin, a ajouté que les agents d'intelligence artificielle sont déjà capables d'effectuer des tâches de reconnaissance et d'analyser de grands volumes de données sans que les alertes de sécurité des systèmes surveillés ne soient nécessairement activées.
La marge d'amélioration que les modèles d'IA pourraient avoir dans les futures attaques
Thomas a indiqué que les chercheurs ont utilisé une configuration relativement simple pour guider les modèles lors des tests. Cela implique que les chiffres obtenus dans l'étude pourraient ne pas représenter le plafond réel de ces capacités.
Selon ses explications, des outils plus sophistiqués, capables de fournir un contexte supplémentaire et des retours d'information pendant le processus, pourraient améliorer considérablement les performances des modèles évalués.
« Un système de contrôle plus avancé aurait pu donner à ces modèles d'IA un avantage plus important », a affirmé Thomas. Cette observation suggère que les résultats actuels pourraient n'être qu'un point de départ dans l'évolution de ces capacités, et non une limite définitive.