L’essentiel
- La NSA, la CISA et le FBI signent un avis conjoint : des attaquants utilisent l’IA pour produire des scripts d’exploitation visant les automates Siemens S7.
- Secteurs concernés : énergie, eau, chimie, industrie manufacturière. Les agences classent la menace comme active et publient des mesures d’atténuation.
- Dans les simulations de l’AI Safety Institute britannique, les modèles échouent encore à compromettre seuls un système industriel, mais ils butent sur la couche informatique en amont, pas sur les équipements.
La NSA, la CISA (l’agence américaine de cybersécurité) et le FBI ont signé le même avis, ce qui n’arrive pas pour un risque de laboratoire : des attaquants se servent de l’IA pour écrire des scripts d’exploitation contre les automates Siemens S7, ceux qui pilotent l’eau potable, les réseaux électriques et les procédés chimiques. La menace est classée active, mesures d’atténuation à l’appui.
Ce qui bascule ici, c’est le prix d’une compétence. Attaquer un automate programmable industriel (PLC) exigeait jusqu’ici un savoir rare, long à acquérir, concentré dans quelques milliers d’ingénieurs. Il se loue désormais à l’heure.
La pénurie d’automaticiens faisait office de pare-feu
Un Siemens S7 ne s’attaque pas comme un serveur web. Il faut connaître un protocole propriétaire, la programmation en langage à contacts, les chaînes de sécurité, et surtout la physique du procédé : à quel moment une consigne plausible devient destructrice. Cette connaissance ne se trouve pas dans un tutoriel, elle s’acquiert sur site, chez un intégrateur, en dix ans de carrière.
C’est cette rareté, bien plus que les pare-feu, qui a protégé les infrastructures industrielles pendant vingt ans. Stuxnet avait coûté à ses auteurs un effort d’État. Les agences américaines décrivent aujourd’hui la situation inverse : la génération de scripts par IA réduit « drastiquement » l’expertise technique et le temps nécessaires pour obtenir un outil fonctionnel, et permet d’enchaîner de nouveaux vecteurs en s’adaptant aux défenses rencontrées.
Le renseignement préalable suit la même pente. Recenser les vulnérabilités publiées, chercher les automates joignables depuis Internet dans les moteurs qui indexent les équipements connectés, comme Censys ou ZoomEye, puis produire le script correspondant : trois tâches qui demandaient trois profils différents tiennent maintenant dans une seule session de travail.
La couche informatique tient encore, pas les automates
Dans les simulations conduites par l’AI Safety Institute britannique, l’institut public qui évalue les modèles pour le gouvernement, aucun modèle n’est parvenu seul à compromettre un système industriel. L’échec ne s’est pas joué sur les équipements, mais sur les systèmes informatiques placés devant eux.
La marge de sécurité qui subsiste ne vient donc pas de la robustesse des automates. Elle vient de la couche d’accès : annuaire, postes d’ingénierie, VPN de prestataires, passerelles de télégestion. Or c’est exactement le terrain où les modèles progressent le plus vite, parce qu’il est massivement documenté et reproductible en laboratoire. La protection qui reste est aussi la plus périssable.
Les éditeurs de modèles observent la même pente depuis l’autre bout de la chaîne : Anthropic a cartographié un an d’usages offensifs de son assistant, de la reconnaissance au vol d’identifiants, et Google dit avoir déjoué la préparation d’une campagne d’exploitation de masse assistée par IA. Ces dossiers portent sur des systèmes d’information ordinaires, c’est-à-dire sur la porte d’entrée décrite ici.
Un automate qu’on ne redémarre jamais ne se corrige pas
Reste la partie que l’avis traite en annexe, et qui n’a rien à voir avec l’IA. Un automate pilote un procédé continu. L’arrêter, c’est arrêter une chaîne de production, une station de traitement, une boucle de vapeur. Mettre à jour son firmware suppose une requalification et une fenêtre d’arrêt : celle-ci revient une fois par an, parfois moins.
L’asymétrie devient intenable. D’un côté, un attaquant qui itère en quelques heures avec un assistant. De l’autre, un exploitant dont le cycle de correction se compte en trimestres et se négocie avec la production. Les agences rappellent que tout automate exposé directement à Internet court un risque élevé d’exploitation : sur un parc qu’on ne peut pas corriger au rythme des publications de failles, l’exposition reste la seule variable réellement pilotable.
Les quatre secteurs cités par les agences sont aussi ceux où l’arrêt de production coûte le plus cher. La contrainte industrielle et la contrainte de sécurité tirent dans des directions opposées, et c’est la première qui gagne depuis vingt ans.
Quatre chantiers qui ne réclament aucune fenêtre d’arrêt
Pour un responsable industriel, l’ordre des priorités se déduit de ce déséquilibre. Puisque le correctif est lent, le travail utile porte sur ce qui reste rapide.
- Recenser ce qui répond depuis Internet (automates, passerelles de télégestion, interfaces de supervision) et couper les accès directs hérités d’un projet ancien.
- Faire passer tout accès distant de prestataire par un rebond authentifié à double facteur, ouvert sur fenêtre limitée plutôt qu’en permanence.
- Surveiller les écritures et les changements de mode sur les automates : une intervention légitime est planifiée, une intervention malveillante ne l’est pas.
- Traiter les postes d’ingénierie comme des équipements critiques, puisque c’est par eux que passera l’attaque que les modèles ne savent pas encore mener seuls.
Un dernier réflexe, moins technique. La documentation d’une installation (schémas d’architecture, listes de points, plans d’adressage) est précisément la matière qui manque à un assistant pour passer d’un script générique à un exploit ciblé. Elle circule aujourd’hui dans des assistants IA, et personne n’a encore écrit la règle interne qui l’encadre.
Rien de tout cela n’était inconnu des équipes de terrain. Ce qui vient de tomber, c’est l’argument du savoir rare, celui qui permettait de repousser la fenêtre d’arrêt d’un exercice budgétaire au suivant. Le calendrier de maintenance d’un exploitant d’eau ou d’électricité est devenu un paramètre de sécurité.
Mon avis
La ligne budgétaire qui décidera de tout ici s’appelle fenêtre d’arrêt, et personne ne veut la financer avant d’y être contraint. J’attends le premier incident marquant du côté d’un automate joignable via le VPN d’un prestataire, avec un script écrit en une soirée par quelqu’un qui n’avait jamais ouvert un programme en langage à contacts. Le jour où ça arrivera, on parlera d’IA offensive pendant que le rapport d’enquête pointera un accès distant oublié depuis 2019. Je préfère de loin un régulateur qui imposera un inventaire d’exposition à un régulateur qui financera un énième centre de veille.
