Les cyberattaques par IA deviendront routinières d'ici 2028 : rapport de menace de l'UE et du Royaume-Uni

Les prévisions du NCSC pour 2028 marquent un changement dans la manière dont les agences de renseignement s'attendent à ce que les gouvernements hostiles mènent des opérations cyber. Plutôt que de considérer l'IA comme un ajout expérimental à leurs capacités, les États devraient l'intégrer de manière routinière dans la collecte de renseignements, la planification offensive et l'exploitation technique.

Cette distinction compte. Les cyberattaques ont traditionnellement exigé un effort humain considérable pour identifier des cibles appropriées, examiner leurs systèmes et développer des moyens d'y accéder. L'IA peut raccourcir plusieurs de ces étapes.

La reconnaissance peut devenir plus étendue. Les campagnes d'ingénierie sociale peuvent être produites en plus grand volume. La découverte de vulnérabilités et le développement d'exploits peuvent progresser plus rapidement, réduisant le temps dont disposent les défenseurs pour réagir.

Les méthodes sous-jacentes ne sont guère nouvelles. L'hameçonnage, les identifiants volés et l'exploitation de failles logicielles connues sont utilisés depuis des années. Ce qui change, c'est le coût de leur déploiement répété et sur un grand nombre de cibles.

Pour un service de renseignement sophistiqué, cela crée des opportunités d'étendre les opérations sans augmenter les effectifs au même rythme. Pour des criminels moins capables, cela abaisse certaines des barrières techniques qui limitaient auparavant leurs activités.

Les conséquences sont déjà visibles dans les chiffres des incidents au Royaume-Uni.

Au cours de la période de référence du NCSC, son équipe de gestion des incidents a reçu 1 831 signalements de cyberattaques. Parmi ceux-ci, 337 ont nécessité un soutien opérationnel direct, tandis que 80 ont été classés comme d'importance nationale.

Ces chiffres n'établissent pas combien d'incidents ont impliqué l'IA. Ils indiquent toutefois l'ampleur de la charge de travail en matière de sécurité dans laquelle des attaques de plus en plus automatisées sont introduites.

La date de 2028 est donc moins une prédiction d'une percée technologique qu'un avertissement sur l'adoption. Le Royaume-Uni dispose d'une fenêtre limitée pour renforcer ses systèmes avant que l'IA ne devienne une composante ordinaire des opérations des États hostiles.

La Chine et la Russie posent des menaces cyber différentes

Bien que le NCSC identifie la Chine et la Russie comme des menaces majeures, leurs approches ne sont pas identiques.

La Chine est évaluée comme l'adversaire cyber du Royaume-Uni le plus sophistiqué sur le plan technologique et le plus persistant. Ses opérations s'inscrivent dans un effort plus large dirigé par l'État visant à acquérir des renseignements, des informations sensibles et de grandes quantités de données.

La collecte de données a acquis une valeur stratégique supplémentaire avec le développement de l'IA. Les informations obtenues par cyberespionnage peuvent soutenir l'analyse du renseignement tout en contribuant à l'entraînement et au développement de modèles avancés.

La distinction entre espionnage économique et concurrence technologique devient de plus en plus difficile à maintenir.

Des organisations liées à la Chine, notamment celles associées à i-Soon et Integrity Technology Group, figurent dans le tableau plus large d'une acquisition soutenue de données et d'une activité cyber. Les autorités britanniques et leurs partenaires internationaux ont répondu à ces menaces par des avis coordonnés et des sanctions.

La Russie présente un problème différent.

Le NCSC la décrit comme la menace cyber la plus audacieuse, ce qui reflète une volonté apparente de mener des opérations agressives contre des infrastructures dont la perturbation pourrait avoir des conséquences bien au-delà des ordinateurs directement touchés.

Un exemple est l'attaque de décembre 2025 visant le réseau électrique polonais, liée dans le briefing au Centre 16 du FSB, une subdivision du renseignement russe également identifiée comme l'unité militaire 71330.

L'opération avait le potentiel d'interrompre l'approvisionnement en électricité de 500 000 personnes.

L'importance réside dans la cible. Une attaque contre un réseau électrique n'est pas simplement une tentative de voler des informations ou d'extorquer une organisation. Elle peut menacer des services essentiels et imposer des coûts à la population au sens large.

Les opérations cyber russes contre les infrastructures électriques ukrainiennes ont déjà placé les attaques numériques dans le cadre plus large de la conduite d'un conflit militaire. L'incident polonais illustre pourquoi les gouvernements européens ne peuvent pas supposer que de telles menaces resteront confinées à une zone de guerre active.

Pour le Royaume-Uni, les défis chinois et russe exigent des réponses qui se recoupent mais qui sont distinctes. Protéger des données sensibles et la propriété intellectuelle n'est pas tout à fait la même tâche que prévenir une attaque perturbatrice contre un réseau énergétique.

Les deux dépendent toutefois de l'élimination des faiblesses que les attaquants peuvent exploiter.

Le problème n'est pas toujours un logiciel malveillant sophistiqué

L'un des aspects les plus révélateurs de l'évaluation du NCSC est l'importance continue des défaillances de sécurité ordinaires.

Malgré les ressources dont disposent les acteurs étatiques avancés, ils s'appuient encore fréquemment sur des vulnérabilités connues, des identifiants compromis et l'hameçonnage.

Il existe une explication pratique. Les attaquants ont peu d'incitation à développer un nouvel exploit coûteux lorsqu'une faiblesse existante donne accès.

L'IA renforce ce calcul.

Une organisation utilisant un logiciel obsolète pouvait auparavant bénéficier du temps et de l'effort nécessaires à un attaquant pour découvrir son exposition. La découverte automatisée de vulnérabilités peut réduire cette protection.

Une fois une faiblesse connue, les attaquants peuvent être en mesure d'identifier les systèmes vulnérables et de tenter une exploitation avant que les administrateurs n'achèvent leurs mises à jour.

Le résultat est un problème croissant pour les organisations qui portent des années de dette technique accumulée.

Les applications plus anciennes, les infrastructures compliquées et les systèmes mal entretenus sont difficiles à sécuriser rapidement. Les remplacer peut être coûteux, tandis que les interruptions de services essentiels peuvent être inacceptables.

Cela crée un paysage de sécurité inégal. Les organisations bien financées peuvent investir dans la surveillance automatisée, une architecture moderne et des équipes de réponse dédiées. Les petites entreprises et les opérateurs dépendant de technologies héritées peuvent avoir du mal à maintenir même des protections de base.

L'écart est particulièrement préoccupant là où des systèmes commerciaux soutiennent des infrastructures publiques.

Un opérateur énergétique ou un réseau de transport n'opère pas isolément. Ses fournisseurs, sous-traitants et prestataires technologiques peuvent introduire des faiblesses supplémentaires. Une défaillance hors du contrôle immédiat de l'organisation peut néanmoins affecter sa capacité à fournir des services essentiels.

L'IA ne crée pas ces dépendances. Elle rend leurs faiblesses plus attrayantes à exploiter.

Les cyberdéfenses britanniques face à un test économique

Le gouvernement britannique estime que l'activité cyber malveillante coûte 14,7 milliards de livres par an au pays.

Ce chiffre inscrit fermement la cybersécurité dans la politique économique, plutôt que de la laisser uniquement aux agences de renseignement et aux services informatiques des entreprises.

Les perturbations peuvent se propager à travers les réseaux de production et les chaînes d'approvisionnement. Des incidents majeurs dans l'industrie automobile ont illustré comment des interruptions opérationnelles peuvent affecter des entreprises au-delà de la cible initiale et contribuer à une performance économique plus faible.

Pour les entreprises, les coûts s'étendent au-delà de la restauration des systèmes compromis. La production perdue, la propriété intellectuelle endommagée et les relations commerciales interrompues peuvent persister après la fin de l'attaque immédiate.

Les conclusions du NCSC exposent également un problème d'investissement difficile.

La modernisation des infrastructures exige des dépenses aujourd'hui, tandis que les bénéfices consistent souvent en incidents qui ne se produisent jamais. Pour les entreprises sous pression financière, retarder les mises à niveau peut sembler rationnel jusqu'à ce qu'une attaque révèle le coût de cette décision.

Le gouvernement cherche à modifier ces incitations.

Son projet de loi sur la cybersécurité et la résilience s'inscrit dans un effort plus large visant à renforcer l'environnement réglementaire entourant les services essentiels et leur sécurité numérique.

Le Plan d'action cyber du gouvernement comprend 210 millions de livres d'investissement, tandis que le Profil de base du Cadre d'évaluation cyber établit des attentes de sécurité minimales.

L'orientation va vers des normes plus cohérentes et une responsabilité accrue. Les obligations précises auxquelles font face les opérateurs privés individuels dépendront de la législation et de sa mise en œuvre.

La réglementation seule, toutefois, ne peut résoudre le problème de vitesse identifié par le NCSC.

Des contrôles périodiques à une cyberdéfense continue

Les dispositifs traditionnels de cybersécurité dépendent souvent d'évaluations programmées, d'examens manuels et de mises à jour logicielles périodiques.

Ces méthodes deviennent moins efficaces lorsque les attaquants peuvent rechercher en continu des faiblesses à l'aide d'outils automatisés.

La réponse britannique inclut de plus en plus une défense assistée par machine, à travers des initiatives telles que Cyber Shield et le projet DROMOS.

L'ambition sous-jacente est de rendre la protection plus continue : détecter les menaces, identifier les vulnérabilités et soutenir l'action défensive à un rythme plus proche de celui des attaquants.

Cela ne supprime pas le besoin de supervision humaine. Les équipes de sécurité doivent encore évaluer les risques, hiérarchiser les systèmes critiques et décider comment réagir lorsque des mesures de protection pourraient perturber les opérations.

L'automatisation n'élimine pas non plus le problème des infrastructures obsolètes.

Un système de détection sophistiqué ne peut pas compenser indéfiniment un logiciel qui reste non pris en charge ou des identifiants mal protégés. La défense automatisée est plus utile lorsqu'elle repose sur des systèmes qui peuvent être entretenus et mis à jour de manière fiable.

Les implications commerciales sont considérables. Les développeurs de détection automatisée des menaces, d'outils défensifs agentiques et de technologies sécurisées dès la conception devraient rencontrer une demande croissante à mesure que les organisations cherchent à réduire leur exposition.

Mais l'investissement requis ne sera pas réparti uniformément.

Les grandes institutions pourront peut-être refondre leur technologie et introduire une surveillance continue. Les opérateurs d'infrastructures plus anciennes font face à un choix plus difficile entre une modernisation coûteuse et une dépendance continue à des systèmes qui deviennent de plus en plus vulnérables.

Le défi s'étend au-delà des frontières européennes. Les réseaux électriques, les systèmes de transport et les chaînes d'approvisionnement commerciales connectent des organisations aux ressources, aux normes de sécurité et aux capacités technologiques différentes.

Un attaquant n'a besoin que d'une seule voie utilisable pour entrer dans un réseau.

Pour les décideurs britanniques, la perspective inconfortable est que des opérations offensives assistées par l'IA pourraient devenir routinières avant que la modernisation défensive n'atteigne les organisations les plus exposées aux perturbations.

La question décisive n'est plus de savoir si la Chine, la Russie et d'autres États utiliseront l'IA dans les opérations cyber. Les agences de renseignement britanniques s'attendent à ce que cela soit normal d'ici 2028.