L’avertissement britannique s’inscrit dans un calendrier serré. Le pays devrait faire face, d’ici 2028, à des cyberattaques facilitées par l’IA contre des infrastructures critiques, alors que criminels et acteurs étatiques intègrent de plus en plus cette technologie à leurs opérations. La Chine et la Russie figurent parmi les États identifiés dans le paysage des menaces.¹

L’évaluation du National Cyber Security Centre est plus précise : il prévoit que des logiciels malveillants propulsés par l’IA seront utilisés dans une attaque par rançongiciel contre des infrastructures critiques britanniques au cours des deux prochaines années. Son rapport annuel indique que l’IA agira presque certainement comme un multiplicateur de force pour les attaquants compétents, tandis que 88 % des incidents touchant de grandes organisations peuvent être attribués à quatre points d’entrée bien connus : les applications exposées au public, l’hameçonnage, les comptes valides et les services à distance.²

Cela crée un contraste inconfortable. Les voies d’attaque ne sont pas inédites, mais l’IA pourrait rendre leur exploitation plus rapide, plus étendue et plus convaincante. Richard Horne, directeur général du NCSC, a déclaré que la révolution de l’IA devait « contraindre les organisations britanniques à faire le point sur l’état actuel de leur cybersécurité ».²

La réponse officielle s’oriente vers des infrastructures défensives plus robustes, notamment un National Cyber Shield et un centre consacré aux vulnérabilités. Mais Heigor Freitas, de l’organisation professionnelle CREST, soutient que la résilience ne peut pas être déléguée à la législation. « Les dirigeants du secteur n’attendent pas la réglementation pour améliorer les choses », a-t-il déclaré, exhortant les organisations à se mesurer à des normes reconnues, à solliciter une assurance indépendante et à intégrer des compétences professionnelles.²

Son propos est sans détour : la conformité est un plancher, pas un bouclier. Les entreprises déployant l’IA doivent, selon lui, évaluer les risques et les contrôles au-delà des règles actuelles — et veiller à ce que leurs tests soient étayés par des normes spécialisées, vérifiées de manière indépendante.²