Pourquoi l'humain armé d'IA reste la pire menace pour les réseaux d'énergie

Les craintes autour d'agents d'intelligence artificielle autonomes capables de lancer leurs propres attaques informatiques se multiplient. Pourtant, les spécialistes de la sécurité des infrastructures critiques rappellent que le danger le plus urgent réside dans l'utilisation de l'IA générative par des pirates humains. Des experts comme Joshua Corman de l'IST (Institute for Security and Technology, un organisme de recherche spécialisé en cybersécurité) soulignent que l'IA agit avant tout comme un multiplicateur de force : elle permet à des personnes malveillantes peu expérimentées d'exécuter des attaques d'une complexité inédite.

Le problème fondamental vient de la structure même des réseaux électriques. Une grande partie de ces installations n'a jamais été conçue pour être connectée à Internet. Aux États-Unis, la moyenne d'âge d'un réacteur nucléaire est de 44 ans. Contrairement aux systèmes informatiques classiques relevant de l'IT (Information Technology, l'informatique de gestion de bureau), le pilotage des machines physiques repose sur l'OT (Operational Technology, les technologies opérationnelles qui contrôlent directement les équipements industriels).

Le décalage critique entre vitesse d'attaque et rythme de correctif

Dans le domaine industriel, appliquer un patch (un correctif logiciel destiné à combler une faille) est un processus lourd et risqué. La gestion de la sécurité s'y heurte à plusieurs contraintes structurelles :

• Orphelinat logiciel : de nombreux fabricants d'équipements d'origine ont disparu, ne laissant personne pour concevoir des mises à jour.
• Cycles de maintenance lents : là où l'IT applique des correctifs chaque semaine, l'OT ne peut parfois mettre à jour ses systèmes qu'une fois par trimestre ou par an.
• Manque de ressources : les petites régies d'électricité locales manquent de personnel qualifié pour suivre la cadence des menaces.

C'est là que les LLM (Large Language Models, les grands modèles de langage entraînés sur du texte et du code) changent la donne. Un pirate qui ne connaît pas les protocoles OT n'a plus besoin d'années d'apprentissage : le modèle a lu les manuels techniques et peut lui générer des scripts pour enchaîner les vulnérabilités de manière automatisée.

# Exemple de regle de politique reseau pour isoler un composant OT sensible
network_policy:
  name: isolate-legacy-ot-node
  target: device-power-grid-controller
  ingress:
    - deny: "0.0.0.0/0" # Bloque tout le trafic entrant non authentifie
  egress:
    - allow: "10.0.4.0/24" # Limite les sorties aux seuls serveurs locaux de supervision

Face à l'urgence, OpenAI a annoncé un engagement de 1 milliard de dollars pour financer l'accès à des modèles d'IA défensifs destinés aux infrastructures critiques. Mais injecter des agents IA autonomes pour protéger des réseaux industriels fragiles comporte aussi ses propres risques. Joshua Corman met en garde contre les réactions incontrôlées :

« C'est extrêmement dangereux d'introduire trop de changements trop vite dans un environnement OT. On se retrouve avec un taureau IA qui en combat un autre dans un magasin de porcelaine. »

Face à cette accélération des risques, plusieurs responsables techniques choisissent une stratégie drastique : isoler physiquement les réseaux industriels ou réduire leurs interconnexions web. Pour les équipes informatiques, la leçon est claire : avant de miser sur des agents IA défensifs complexes, la meilleure protection consiste à réduire au strict minimum la surface d'exposition des API (Application Programming Interfaces, les interfaces de programmation qui permettent aux applications de communiquer entre elles) et à segmenter les réseaux de production.