Un centième de seconde par cible

Lundi 14 septembre, l’Agence espagnole de protection des données a publié sur son blog une chose qu’elle n’avait jamais publiée : la notification d’une violation de données personnelles dans laquelle l’incident, selon l’organisation qui l’a subi, aurait été exécuté par un agent d’intelligence artificielle.

Le récit tient en quatre lignes. L’agent aurait commencé par chercher des vulnérabilités dans des fichiers génériques, aurait réussi une identification valide, puis, une fois dans le système, aurait entrepris de chercher « de forma autónoma » des vulnérabilités dans l’application. En ayant trouvé une exploitable, il a modifié des données personnelles et consulté des factures.

Il vaut la peine d’énumérer tout de suite ce que ce document n’est pas, car en trois jours je l’ai déjà vu raconter autrement. Ce n’est pas une décision de l’autorité. C’est un billet du blog institutionnel, signé par Francisco Pérez Bes, qui rapporte le contenu d’une notification reçue et avertit explicitement que l’information provient de l’organisation notifiante et « deberá ser objeto del correspondiente análisis », devra faire l’objet de l’analyse correspondante. Ce n’est pas non plus une accusation contre un fournisseur : l’agence précise que l’emploi d’un modèle donné n’implique pas que le modèle ou l’infrastructure de son fournisseur aient été compromis. C’est une notification que l’autorité a choisi de rendre publique parce qu’elle la considère comme un signal, et c’est comme un signal qu’il faut la lire.

Or le signal ne se trouve pas là où presque tout le monde le place. Il ne tient pas au fait qu’une machine ait pénétré une application de gestion. Les scripts font cela depuis vingt ans. Il tient à quatre mots du récit : une fois à l’intérieur, l’agent a cherché tout seul.

Pour comprendre pourquoi ces quatre mots valent un essai, il faut revenir à un calcul fait en 2010, quand les grands modèles de langage n’existaient pas et que personne n’imaginait devoir s’en défendre.

L’objection mérite d’être accordée entièrement

Il existe une façon rapide de classer l’affaire, et elle est intellectuellement respectable. Elle dit ceci : l’IA n’a pas inventé l’automatisation offensive. Scanners de masse, credential stuffing, exploit kits, vers, botnets, exploitation de masse. Internet est un stand de tir automatisé bien avant que quiconque forge le mot prompt, et quiconque a mis un serveur en ligne sait qu’en quelques minutes quelque chose se mettra à frapper.

Non seulement l’objection est vraie. Elle l’est à une échelle bien plus massive que ne le réalisent la plupart de ceux qui l’emploient.

GreyNoise, dont c’est le métier d’observer ce trafic, a compté 2 969 010 478 sessions malveillantes en cent soixante-deux jours dans son rapport publié en février, provenant de 3 804 232 adresses IP distinctes. Près de trois milliards de sessions en un peu plus de cinq mois, contre des équipements de bordure. Dans la même fenêtre, un botnet dédié au credential spraying est passé de deux mille à trois cent mille adresses en soixante-douze jours. Et la donnée que je préfère, parce qu’elle démonte la rhétorique de la menace toujours inédite : les vulnérabilités publiées avant 2015 ont attiré 7,3 millions de sessions, quatre fois plus que celles publiées entre 2023 et 2024.

La cybercriminalité de masse n’attendait pas l’IA pour devenir industrielle. Elle l’était déjà, elle était déjà économiquement rationnelle, et elle passait l’essentiel de son temps à frapper à des portes vieilles de dix ans, parce que c’est là que quelqu’un ouvre.

Qui liquide la nouvelle espagnole d’un « rien de nouveau » a raison sur tout sauf sur la conclusion. Pour expliquer pourquoi, je dois passer la parole à quelqu’un qui a étudié le problème quand la question était encore le spam.

Le calcul que Cormac Herley a fait en 2010

En 2010, au Workshop on the Economics of Information Security, Cormac Herley présente un article au titre qui ressemble à une plaisanterie et n’en est pas une : The Plight of the Targeted Attacker in a World of Scale, les malheurs de l’attaquant ciblé dans un monde d’échelle.

La question de départ est celle que toute personne honnête s’est posée au moins une fois en regardant l’état de la sécurité moyenne : si près de deux milliards de personnes utilisent Internet en négligeant jusqu’aux mesures les plus élémentaires, pourquoi seule une fraction minuscule est-elle effectivement touchée chaque année ? La réponse de Herley n’est pas technique. Elle est économique.

Il distingue deux familles d’attaques. Les attaques scalables, dont le coût est presque indépendant du nombre de personnes attaquées : envoyer dix millions de courriels ou cent millions, le coût marginal est proche de zéro. Et les attaques non scalables, ou ciblées, qui exigent un effort consacré à la victime individuelle. Il appelle Carl l’attaquant de masse et Klara l’attaquante ciblée, puis il fait le calcul.

Il prend la campagne de spam mesurée par Kanich et ses collègues : 2 800 dollars de revenu pour 350 millions de courriels envoyés. Il suppose que Carl, au minimum, n’a pas perdu d’argent. Puis il se demande ce qui se passerait si Klara voulait atteindre la même population en dépensant dix centimes d’attention par personne. Cela lui coûterait 35 millions de dollars. Avec le budget de Carl, Klara atteindrait 28 000 utilisateurs : quatre ordres de grandeur de moins.

Ensuite Herley retourne le calcul, et c’est l’étape qui porte l’article. Si l’attaquant voulait consacrer à chaque cible du travail humain rémunéré au salaire minimum fédéral américain de l’époque, 7,25 dollars de l’heure, le budget qui lui reste pour rester à l’équilibre est d’un centième de seconde d’attention par tête.

Un centième de seconde.

De là découle la conclusion structurelle, que je cite parce que tout le reste de cet essai repose dessus : les attaques scalables « must be entirely automated with no per-user intervention whatever », doivent être entièrement automatisées sans aucune intervention par utilisateur. Ce n’est pas une recommandation opérationnelle. C’est une contrainte budgétaire.

Et la contrainte produit un effet secondaire auquel Herley consacre une section entière. Les attaques scalables ne s’adaptent pas. Carl envoie le phishing, tente le cheval de Troie, sonde le pare-feu, vérifie si le routeur a encore son mot de passe d’usine. Il peut faire tout cela à coût presque nul, sur des millions de personnes en parallèle. Mais si Alice évite le phishing, écrit Herley, « Carl doesn’t step up other attacks » : il n’insiste pas, ne change pas de route, n’intensifie pas les attaques contre le routeur parce qu’il a été repoussé au pare-feu. Klara, si. Si Klara échoue sur les questions de récupération, elle passe à l’ingénierie sociale, et si elle échoue là, elle tente de faire installer un enregistreur de frappe. Klara s’adapte, parce que Klara dispose d’un budget d’attention par cible.

Pendant quinze ans, l’architecture de la sécurité de masse a reposé sur cette séparation. Si vous n’étiez pas assez précieux pour justifier l’attention de Klara, vous vous défendiez contre Carl, et Carl était un adversaire stupide par construction. Non parce qu’il était incompétent, mais parce qu’être intelligent avec vous lui coûtait plus que vous ne valiez.

Ce qu’achète réellement un budget d’attention plus élevé

La question devient maintenant précise, et c’est à mon avis la seule qui compte dans tout le débat sur l’IA offensive.

Qu’arrive-t-il à la séparation entre Carl et Klara quand une partie de l’attention par cible cesse d’être du travail humain pour devenir de l’inférence ?

Je ne soutiens pas que la machine soit devenue Klara. La vraie Klara est un service de renseignement doté d’un accès physique, de ressources illimitées et de temps. La machine n’en approche pas. Je soutiens quelque chose de plus modeste et, je le crains, de plus lourd de conséquences : que Carl a commencé à s’acheter la caractéristique de Klara qui lui avait toujours été interdite, l’adaptation, et à se l’acheter à l’intérieur de sa propre structure de coût.

Un agent qui tente, lit le message d’erreur, comprend que la route est fermée, en essaie une autre et réutilise ce qu’il a appris sur la cible suivante n’est pas un attaquant génial. C’est un attaquant médiocre dont le budget d’attention par cible n’est plus d’un centième de seconde.

C’est exactement ce qui rend la chronique espagnole intéressante. Pas l’identification, qui pouvait relever d’un credential stuffing quelconque. La phrase suivante : une fois à l’intérieur, il a cherché tout seul. Dans une campagne scalable classique, ce moment est celui où l’automatisation s’arrête et où le travail humain commence, car chaque application de gestion est différente des autres et comprendre où se trouve le défaut exige de la regarder. Ce travail humain est le coût qui tenait hors marché la plupart des cibles.

Le Centre cryptologique national espagnol, dans le guide BP/36 paru en juin, dit la même chose en une ligne et sans l’appeler économie : l’IA offensive n’apporte pas nécessairement des techniques inédites, elle apporte « la capacidad de automatizar, acelerar y ampliar a gran escala ataques ya conocidos », la capacité d’automatiser, d’accélérer et d’élargir massivement des attaques déjà connues, en réduisant sensiblement les temps de réaction dont disposent les organisations. C’est un organisme d’État qui écrit, dans un document de bonnes pratiques, que le problème n’est pas la nouveauté de la technique mais le prix auquel la vieille technique devient disponible.

Le seuil décisif n’est donc pas l’autonomie parfaite. Elle n’arrivera pas, et l’attendre est un excellent moyen de ne rien faire entre-temps. Le seuil est le moment où essayer cent routes coûte moins cher que le travail humain nécessaire pour en essayer une.

Les preuves dont nous disposons, et ce qu’elles pèsent

Ici je dois ralentir, car c’est le point où un essai comme celui-ci devient sérieux ou devient du marketing de la peur.

La preuve la plus citée est le rapport d’Anthropic du 13 novembre 2025 sur une campagne d’espionnage attribuée par l’entreprise à un groupe qu’elle appelle GTG-1002. Les chiffres annoncés sont ceux que tout le monde a repris : l’IA aurait exécuté entre 80 et 90 % de la campagne, l’intervention humaine n’étant requise que « only sporadically », peut-être quatre à six points de décision critiques par campagne ; une trentaine de cibles mondiales parmi de grandes entreprises technologiques, des institutions financières, l’industrie chimique et des agences gouvernementales ; au pic, des milliers de requêtes, souvent plusieurs par seconde.

Les chiffres que presque personne n’a repris sont tout aussi instructifs. Les intrusions réussies ont été « a small number of cases », et le rapport admet que le modèle « occasionally hallucinated credentials or claimed to have extracted secret information that was in fact publicly-available ». Des identifiants inventés. Des résultats gonflés. Une machine qui racontait à son opérateur avoir trouvé des secrets qui se trouvaient sur un site public. Il faut ajouter, par souci d’exactitude, que le texte original a été corrigé le lendemain de sa publication, car il disait des milliers de requêtes par seconde.

Qui cite ce rapport pour le seul pourcentage utilise mal une source plus intéressante que cela. Quatre à six points de décision humaine par campagne, voilà la donnée économique ; le faible taux de réussite et les hallucinations, voilà la donnée qui dit que la compétence n’est pas le sujet. Un système qui se trompe souvent mais coûte très peu peut se permettre un taux d’échec qui mettrait un professionnel hors marché. L’échelle compense la médiocrité, et elle ne la compense que si l’échec est économique.

La deuxième preuve est moins spectaculaire et pèse à mon avis davantage. Le Google Threat Intelligence Group, dans son rapport du 11 mai 2026, écrit avoir identifié pour la première fois un acteur utilisant un zero-day qu’il estime développé avec l’IA, documente APT28 employant contre l’Ukraine un logiciel malveillant qui interroge un LLM pour se générer ses commandes à l’exécution, et décrit des acteurs envoyant des milliers de prompts répétitifs pour analyser des CVE et valider des preuves de concept. Mais la phrase que j’ai soulignée est autre, et c’est de l’économie écrite par des analystes de la menace : en automatisant la collecte de renseignement et le soutien aux tâches, ces interactions « lower the barrier to entry for complex, multi-stage operations » et permettent aux acteurs de concentrer leur capital humain sur les éléments stratégiques d’ordre supérieur des campagnes.

Capital humain. Barrière à l’entrée. Ils ne décrivent pas une arme nouvelle. Ils décrivent la réallocation d’un facteur rare.

La troisième preuve est celle qui circule le plus et qui tient le moins, je la place donc en dernier et je la ramène à sa taille. En septembre 2025, Check Point a publié une analyse de HexStrike-AI, un framework de red teaming orchestrant plus de cent cinquante outils de sécurité, en observant qu’en quelques heures après la divulgation de plusieurs vulnérabilités Citrix NetScaler certains canaux clandestins discutaient de la façon de l’employer contre elles. De cette analyse est né le chiffre que vous avez lu partout : de plusieurs jours à moins de dix minutes. Dans le texte de Check Point, ce chiffre est attribué à ce que « attackers claim », ce que revendiquent les attaquants. Ce n’est pas une mesure, ce n’est pas un temps chronométré en laboratoire, c’est une vantardise de forum reprise par une entreprise de sécurité puis devenue donnée dans trois cents articles.

Je l’écris parce que cela m’agace quand les autres le font. Si la thèse de cet essai a besoin des dix minutes de HexStrike pour tenir debout, alors elle ne tient pas debout.

Le prix que paie l’attaquant n’est pas le prix public

Ceux qui argumentent sur le coût marginal de l’inférence finissent en général par sortir un tarif. Tant le million de tokens en entrée, tant en sortie, multiplié par le nombre de tentatives. L’exercice est honnête mais fragile, car les tarifs changent chaque trimestre et parce qu’il fait dépendre une thèse structurelle du prix courant d’un fournisseur.

Il y a une meilleure raison de penser que le coût de l’attention offensive baisse, et elle se trouve dans le même rapport de Google.

Le GTIG documente un écosystème consacré à obtenir l’accès aux modèles en dehors du canal légitime : passerelles agrégeant plusieurs clés d’API, outils d’enregistrement automatique de comptes qui gèrent seuls le cycle complet entre contournement du CAPTCHA, vérification par SMS et suppression, navigateurs anti-empreinte pour isoler les sessions. La conclusion des analystes est que les acteurs sont en train d’industrialiser leurs flux de travail hostiles en les subventionnant par l’abus des offres d’essai et la rotation programmatique des comptes, « industrializing their adversarial workflows while subsidizing their operations through trial abuse and programmatic account cycling ».

Traduction : l’attaquant ne paie pas le prix que nous payons. Il paie ce que coûte le vol d’une clé, ou rien.

Cela rend l’argument économique plus solide, pas moins. Il ne dépend de la politique tarifaire de personne. Il dépend du fait qu’une capacité autrefois incorporée dans des personnes rares est devenue une ressource fongible que l’on peut accumuler, revendre, voler et recycler. C’est aussi pourquoi je trouve peu convaincantes les rassurances fondées sur les coûts d’inférence : elles présupposent un adversaire qui achète au tarif public.

La cible marginale

Si l’analyse tient, l’effet le plus important ne concerne pas les cibles dont parlent les journaux.

Les grandes organisations étaient déjà économiquement attaquables. Elles valaient depuis toujours l’attention de Klara, elles ont un SOC, elles achètent de la threat intelligence, elles font des exercices de simulation. Pour elles, un attaquant moins cher est une dégradation quantitative d’une situation déjà connue.

L’effet est à la marge. Il est dans toute cette bande de cibles que personne n’ignorait parce qu’elles étaient sûres, mais parce qu’elles ne valaient le temps de personne. La commune de huit mille habitants avec son logiciel d’instruction des permis de construire exposé. Le logiciel vertical utilisé par quarante cabinets, bien écrit en 2014 et maintenu par deux personnes. L’application sur mesure qu’une PME s’est fait faire et que plus personne n’a regardée depuis la mise en production. La machine industrielle dont l’interface web ne peut pas être mise à jour parce que le fournisseur n’existe plus.

Cette bande n’était pas protégée par un contrôle. Elle était protégée par un calcul : comprendre ce truc coûtait plus que ce qu’on pouvait en extraire. Elle était, littéralement, sous le seuil d’attention.

Dans mon travail, cette bande n’est pas une abstraction. C’est la plus grande partie des clients qu’une société informatique de province a devant elle, et c’est pourquoi ce sujet m’intéresse davantage que la chronique des attaques d’État. Quand je parle sécurité avec une petite administration, la phrase que j’entends le plus souvent n’est pas « nous n’avons pas de budget ». C’est « qui voudrait nous attaquer, nous ». Pendant quinze ans cette phrase n’a pas été une sottise. C’était une observation empirique raisonnable, fondée sur une économie réelle.

Les données sur la taille des victimes disent que cette raison s’était déjà usée avant l’arrivée des agents. Le Data Breach Investigations Report 2025 de Verizon trouvait des logiciels d’extorsion dans 88 % des violations ayant touché des petites et moyennes entreprises, contre 39 % dans les grandes organisations. Les petites ne sont pas épargnées : elles sont récoltées. Et dans l’édition 2026, l’exploitation de vulnérabilités logicielles est devenue le premier vecteur initial avec 31 %, devant les identifiants volés, tandis que le rançongiciel apparaît dans 48 % des violations.

Imaginez maintenant ce que signifie ce premier vecteur quand comprendre une application inconnue cesse d’être du travail humain. Cela ne veut pas dire que les attaquants deviendront bons. Cela veut dire que la question « cette cible vaut-elle qu’on l’étudie » commence à recevoir un oui là où elle recevait un non.

La preuve qui manque

Et voici la partie qu’il m’en coûte d’écrire, parce qu’elle affaiblit tout ce que j’ai soutenu jusqu’ici et que je n’ai pas l’intention de la cacher en note.

Si la thèse était vraie dans sa version forte et immédiate, nous devrions déjà la voir dans les chiffres agrégés. Plus de tentatives, plus de cibles, plus de vulnérabilités brûlées, plus vite. Allons regarder.

VulnCheck, qui tient l’une des bases de données les plus sérieuses sur l’exploitation réelle, a publié fin juillet le bilan du premier semestre 2026. Quatre cent quatre-vingt-quinze vulnérabilités avec preuve d’exploitation. 23,43 % exploitées le jour même de la publication du CVE ou avant, en baisse par rapport aux 28,93 % de 2025. Environ deux cents CVE exploités sous trente et un jours après publication, contre 196 en 2024 et 194 en 2025. Le rapport entre vulnérabilités exploitées et vulnérabilités publiées est passé de 2,7 % au second semestre 2023 à 1,4 % aujourd’hui. Et la phrase des analystes est nette : « early exploitation activity has not scaled at the same pace as CVE issuance ».

Deux cents contre cent quatre-vingt-seize contre cent quatre-vingt-quatorze. Trois ans, trois chiffres presque identiques, et entre les deux tout ce que j’ai raconté plus haut.

Il y a trois façons de lire cette donnée et je veux les mettre toutes les trois sur la table, y compris celle qui me donne tort.

La première est qu’il est trop tôt. GTG-1002 date de novembre, le rapport du GTIG de mai, la notification espagnole de lundi. Un semestre ne fait pas une tendance, et l’adoption d’une technique offensive a son propre calendrier.

La deuxième est que nous mesurons la mauvaise chose, et c’est la lecture que je trouve la plus solide. Le décompte des CVE exploités mesure combien de vulnérabilités distinctes entrent dans le répertoire offensif. La thèse économique ne prévoit rien sur ce nombre. Elle prévoit que s’élargit l’ensemble des cibles sur lesquelles il vaut la peine d’employer le répertoire existant. Ce sont deux grandeurs différentes, et la seconde n’apparaît dans aucun de ces indicateurs, car compter les cibles marginales voudrait dire compter les incidents dans des organisations trop petites pour avoir un SOC, trop petites pour publier un communiqué et souvent trop petites pour s’en apercevoir. La donnée de GreyNoise sur les vulnérabilités d’avant 2015 qui recueillent quatre fois le trafic des récentes dit exactement cela : le volume ne poursuit pas la nouveauté, il poursuit les cibles immobiles.

La troisième lecture est que la thèse est fausse, ou du moins très surestimée. Que l’attention adaptative reste trop peu fiable pour remplacer vraiment un opérateur, que les hallucinations annulent l’avantage de coût, et que le régime actuel d’exploitation de masse de vieilles choses demeure simplement la stratégie la plus rentable, comme elle l’est depuis dix ans.

Je ne sais pas laquelle des trois est la bonne. Ce que je peux faire, c’est dire à l’avance ce qui me ferait changer d’avis, car une thèse qu’on ne peut pas démentir n’est pas une thèse. Si dans dix-huit mois les données sur les victimes par taille ne se déplacent pas vers le bas, si la distribution des cibles reste celle d’aujourd’hui, si le délai médian entre publication et exploitation continue de ne pas se comprimer, alors j’aurai raconté une histoire élégante sur un phénomène qui n’existait pas. Et si quelqu’un veut me convaincre que j’ai raison, qu’il ne m’apporte pas un rapport de plus sur un groupe étatique : qu’il m’apporte la courbe des violations dans les organisations de moins de cinquante salariés.

Le paradoxe de la gestion des vulnérabilités

Il y a cependant une conséquence qui vaut déjà, quelle que soit la lecture correcte, et elle vaut parce qu’elle concerne la défense et non l’attaque.

Nous mettons de l’IA des deux côtés de la table, et les deux côtés ne produisent pas le même type d’objet. Du côté offensif, elle produit des tentatives. Du côté défensif, elle produit des constats. Les tentatives se consomment d’elles-mêmes : soit elles passent, soit elles ne passent pas. Les constats, non. Les constats s’accumulent dans une file que quelqu’un doit lire.

Si la production d’alertes devient gratuite pendant que le tri reste humain, la sécurité se transforme en déni de service contre sa propre organisation. Je ne le dis pas pour plaisanter. J’ai vu des arriérés de vulnérabilités de plusieurs milliers d’entrées où le temps médian de séjour dépassait la durée de vie utile du logiciel qui les contenait, et où personne n’était capable de dire lesquelles étaient atteignables depuis l’extérieur.

Le nombre de constats, dans ce régime, cesse d’être de l’information. Il en va de même du nombre d’alertes, de CVE dans le périmètre, de tentatives bloquées. Ce sont toutes des métriques qui mesuraient implicitement un effort, et mesurer un effort a du sens tant que le produire coûte. Quand le produire ne coûte plus rien, il reste des métriques d’activité que l’on peut faire monter à volonté sans rien améliorer.

Ce qui reste mesurable, c’est le résultat. Combien de risque réellement atteignable a été éliminé par unité d’attention dépensée. Combien de temps s’écoule entre un signal et le confinement. Combien d’actifs sont rattachés à un responsable qui répond. Jusqu’où s’étend le dommage quand un identifiant saute. Combien de temps s’écoule entre la publication d’un avis sur un composant que nous utilisons et la décision sur ce qu’on en fait.

Cinq chiffres ennuyeux, et personne ne les met dans une présentation, parce qu’ils ne montent pas de façon satisfaisante. Mais ce sont les seuls qu’une machine ne peut pas gonfler.

Le guide espagnol BP/36 parvient à une conclusion opérationnelle cohérente, et je la trouve plus honnête qu’une bonne partie de la littérature commerciale : quand l’attaquant reconnaît, priorise et exploite à vitesse machine, une photographie de la sécurité prise une fois par an est en retard par construction. Ce n’est pas un argument pour acheter plus d’outils. C’est un argument pour déplacer la dépense de la vérification périodique vers la capacité continue.

Défense à vitesse machine sans souveraineté de la machine

La réponse qu’on entend le plus souvent est « l’IA contre l’IA », et comme slogan cela fonctionne très bien. Comme architecture, c’est incomplet, et il vaut la peine d’expliquer pourquoi avant de l’adopter.

Si le temps entre reconnaissance et exploitation se comprime, un processus défensif fait d’alerte, de lecture manuelle, de ticket, de réunion et d’approbation devient structurellement trop lent. Là-dessus, pas de discussion. Mais la conclusion « alors mettons-y un modèle qui décide » introduit un problème différent et plus grave que le premier.

Un système défensif capable de bloquer des comptes, de révoquer des sessions, d’isoler des segments et d’éteindre des services détient beaucoup d’autorité. C’est une autorité opérationnelle réelle, exercée dans des délais où personne ne peut la relire, sur une infrastructure dont dépend le travail de gens. La confier à un composant probabiliste, c’est accepter qu’un faux positif devienne une interruption, et c’est n’avoir rien à montrer à une autorité quand elle demandera qui a décidé.

Le schéma que j’utilise et qui me paraît tenir sépare trois choses qu’on emballe d’habitude ensemble. La détection peut aller à vitesse machine, et c’est là que le modèle est utile. Le confinement doit être déterministe, c’est-à-dire une règle écrite qu’un humain a approuvée avant et qui se contente de se déclencher : suspendre la session, révoquer le jeton, appliquer une limitation de débit, exiger une réauthentification forte, bloquer la sortie vers des destinations hors liste. La décision, celle qui porte sur ce qui s’est vraiment passé et sur la suite, reste humaine, à des rythmes humains, parce que le confinement lui a acheté du temps.

C’est la même logique qui veut que, dans une usine, le capteur soit intelligent et la soupape de sécurité stupide. La soupape n’a pas à comprendre : elle doit fermer à chaque fois, au même seuil, même quand tout le reste est cassé.

De là découle aussi la seule chose sensée que je sache dire à une PME ou à une commune qui ne peut pas gagner une course aux effectifs et ne la gagnera jamais. L’objectif n’est pas d’avoir un adversaire moins capable. C’est de rendre chaque tentative plus coûteuse et plus bruyante que ne vaut la cible. Correctifs rapides sur les choses exposées, authentification multifacteur résistante au phishing, moindre privilège réellement appliqué, segmentation, sauvegardes vérifiées par une restauration effectuée et pas seulement planifiée, contrôle de ce qui sort, un inventaire de ce que l’on possède et des journaux que quelqu’un regarde.

Ce n’est pas une liste nouvelle. C’est la même qu’il y a dix ans, et qui la trouve décevante n’a pas saisi l’argument : si la thèse économique est juste, la défense n’a pas à devenir exotique, elle doit devenir économiquement défavorable à traverser. La friction bien conçue ne bloque pas le travail normal. Elle augmente le prix des trajectoires anormales, qui est précisément la variable sur laquelle l’attaquant travaille de l’autre côté.

Le droit comprime le même temps

Pendant que l’automatisation comprime le temps technique, le législateur européen comprime le temps organisationnel, et les deux compressions se rencontrent dans le même bureau.

Depuis le 11 septembre 2026, les fabricants européens doivent signaler les vulnérabilités activement exploitées et les incidents graves : alerte précoce sous vingt-quatre heures à compter du moment où l’on en prend connaissance, notification sous soixante-douze, rapport final sous quatorze jours après la disponibilité d’une mesure corrective. Sur la définition de ce moment de connaissance, et sur les raisons pour lesquelles c’est le point le plus intéressant de toute la construction, j’ai écrit la semaine dernière et je n’y reviens pas.

Ce qui m’intéresse ici est une autre règle, plus ancienne et moins discutée. L’article 32 du RGPD n’impose pas des mesures de sécurité, il impose des mesures appropriées au risque, et demande de tenir compte de l’état de l’art, des coûts de mise en œuvre et de la nature du traitement. C’est une règle volontairement élastique, et l’élasticité joue dans les deux sens.

Si l’économie de l’adversaire change, le risque change. Si le risque change, le seuil de ce qui est approprié se déplace. Non parce que quelqu’un l’a réécrit, mais parce qu’il a été construit pour bouger.

C’est exactement la lecture que l’autorité espagnole propose à la fin de son billet, et c’est pourquoi ce texte vaut plus que la chronique qu’il contient. L’AEPD demande aux responsables de traitement, aux sous-traitants et aux délégués à la protection des données d’intégrer explicitement les attaques assistées par l’IA dans les analyses de risque, de revoir les temps de réponse à la lumière de l’automatisation des attaques, de renforcer les contrôles sur les identités et les identifiants, et de se doter de mécanismes de détection et de confinement automatiques. Ce n’est pas une prévision sur l’avenir. C’est le constat que l’analyse de risque rédigée il y a trois ans, avec dedans un adversaire qui coûtait ce qu’il coûtait alors, décrit désormais un monde qui n’existe plus.

Qui détient une AIPD dont la section sur les menaces a été copiée d’un modèle de 2021 ferait bien de la relire cette semaine, non parce qu’une loi nouvelle est arrivée, mais parce que le dénominateur a changé.

Ce qu’il reste à défendre

L’erreur que je vois commettre le plus souvent dans cette discussion est d’anthropomorphiser l’adversaire. On parle d’agents qui « décident d’attaquer », et de là on glisse vers le film.

Un agent n’a pas besoin d’une intention criminelle propre. C’est un multiplicateur appliqué à un objectif que quelqu’un lui a assigné. Le problème n’est pas une machine qui veut quelque chose : c’est une fonction d’optimisation dotée d’outils, de mémoire, de retour d’information et de temps machine, braquée sur un objectif écrit par une personne qui reste pleinement responsable de l’avoir écrit. Qui cherche la volonté dans le logiciel regarde au mauvais endroit, et pendant ce temps ne regarde pas le bon, qui est le journal des accès.

La sécurité a toujours été un équilibre économique autant que technique. Nous n’avons jamais rendu l’attaque impossible : nous avons rendu la réussite peu rentable, limité ce qu’emporte celui qui réussit, et raccourci le temps de tout remettre debout. Quand le prix de l’une des activités en jeu change, l’équilibre se déplace, et il se déplace en silence, sans que personne n’annonce rien.

Si une machine rend économique le fait d’essayer mille fois, la défense doit rendre la réussite coûteuse, le dommage borné et la reprise rapide. Cela ressemble à une banalité, et c’en est une, sauf sur un détail : ce sont trois objectifs différents, financés de trois façons différentes, et la plupart des organisations que je connais n’en financent qu’un.

Pendant quinze ans, un centième de seconde par cible a été le mur qui protégeait tous ceux qui ne valaient pas la peine d’être attaqués. Ce n’était pas un contrôle de sécurité, cela ne figurait dans aucun audit, personne ne l’avait conçu. C’était un fait comptable, et comme tous les faits comptables c’est la chose la plus facile au monde à perdre sans s’en apercevoir.

Ce n’est pas l’intelligence de l’attaquant qu’il faut surveiller. C’est le prix de son attention.

La notification espagnole reste un cas isolé, à l’étude, raconté par celui qui l’a subi. La traiter comme la preuve d’une époque serait exactement le raccourci que j’ai tenté d’éviter tout au long de ce texte. Mais les signaux servent à cela : non pas à démontrer, à faire regarder. Et ce qu’on voit en regardant n’est pas un robot qui a appris à pirater. C’est un marché qui vient de changer son seuil d’entrée, et un ensemble d’organisations qui se tenaient jusqu’ici en dessous, et qui ne savent pas qu’elles y étaient.

L'auteur

Andrea MargiovanniIA

Je suis le rapport entre IA et régulation européenne comme un fait politique, pas comme un spectacle technique. Je travaille avec des équipes qui doivent la rendre compatible avec AI Act, CRA, NIS2 sans réduire la conformité à une liste à cocher.

Voir le parcours →