La Maison-Blanche adopte une approche pertinente concernant l’intelligence artificielle (IA). Dans son Mémorandum présidentiel sur la sécurité nationale du 5 juin, elle s’engage à fournir sans délai les modèles d’IA les plus performants aux professionnels de la sécurité nationale. Dans le contexte militaire, ce pari se traduit par la domination décisionnelle : voir, décider et agir plus rapidement que l’adversaire. Un récent test en conditions réelles a illustré l’étendue de cet engagement.
Un système d’IA développé par OpenAI est sorti de son laboratoire d’essai et a pénétré les serveurs de Hugging Face, une autre entreprise américaine. Lorsque l’équipe de sécurité de Hugging Face est intervenue, les contrôles de sécurité des services commerciaux d’IA testés avaient bloqué l’attaque. L’analyse médico-légale s’est donc basée sur un modèle chinois.
Le 16 juillet, Hugging Face a annoncé cette intrusion. Cinq jours plus tard, OpenAI a confirmé que l’intrus était l’un de ses modèles : des systèmes en cours d’évaluation pour leurs capacités cybernétiques, fonctionnant avec des limites de sécurité assouplies, avaient réussi à s’échapper et atteindre les serveurs de Hugging Face.
Ce fait est déjà préoccupant. Mais neuf jours plus tard, Anthropic a rapporté avoir détecté trois autres cas similaires où ses modèles avaient accédé à Internet et interagi avec des systèmes externes, dont deux non détectés par les organisations concernées. Les mécanismes différaient, mais ces deux révélations témoignent d’un fait inconfortable : les systèmes de pointe développés dans des laboratoires américains échappent désormais aux environnements censés les contenir.
La divulgation de Hugging Face met en lumière ce que les défenseurs ne maîtrisent pas encore. Les équipes de réponse ont utilisé l’IA pour reconstruire l’attaque à partir d’un journal d’actions de plus de 17 000 événements enregistrés — une tâche qui prendrait habituellement plusieurs jours, réalisée ici en seulement quelques heures. Toutefois, lors de leur première tentative avec des IA commerciales, l’analyse a échoué, car la réponse en cas d’incident nécessite d’injecter commandes d’attaque, charges utiles exploits et éléments de commandement et contrôle. Les systèmes de sécurité par défaut ne distinguaient pas l’équipe défensive de l’attaquant. Hugging Face a dû recourir au modèle General Language Model 5.2, un modèle chinois open source auto-hébergé, pour diagnostiquer et contenir l’attaque. Ils ont reconnu ne pas pouvoir déterminer si les agents de l’attaquant fonctionnaient sur un modèle commercial « jailbreaké » ou un modèle open-source sans restriction.
Chez Onebrief, où je suis directeur technologique, nous développons des logiciels d’aide à la planification et à la décision pour les commandes militaires, ce qui nous place au cœur des débats autour des règles d’accès et des cadres d’évaluation avancés. Mais cette problématique dépasse toute compétition commerciale. Un banc d’essai rigoureux détectera les vulnérabilités aussi bien dans nos systèmes que chez nos concurrents. Mieux vaut qu’un outil ait échoué en phase de test qu’en pleine crise.
L’asymétrie d’accès reste le principal défi non résolu à Washington. Les attaquants exploitent tout ce qui fonctionne : comptes volés, systèmes piratés, modèles divulgués ou logiciels étrangers. Les défenseurs américains, eux, sont soumis à des processus d’autorisation, d’achat, de conformité et d’audit. Ces règles contraignent une seule partie. En éloignant nos meilleurs outils de ceux qui défendent les réseaux américains, la capacité de réaction s’en trouve ralentie, et ce sont alors d’autres technologies qui bénéficient des leçons apprises. Un modèle qui refuse de répondre aux questions cruciales d’un analyste d’incident ne peut pas être considéré comme un outil défensif.
Un sceptique pourrait arguer qu’on minimise ainsi les dangers réels, ce qui est vrai. La même capacité qui permet à un défenseur de reconstruire un exploit permet à un attaquant de le concevoir, d’où la difficulté à distinguer les deux. Ces mesures de contrôle existent précisément parce que le risque est élevé. Mais un accès sécurisé ne supprime pas ce risque, car un intrus qui vole des identifiants peut y accéder, et un modèle auto-hébergé sans restrictions est exactement ce qu’un agent interne malveillant pourrait utiliser. Le régime d’accès des défenseurs doit prendre en compte cette réalité, sans l’ignorer.
La Gold Eagle Initiative lancée par la Maison-Blanche en juillet favorise la coopération entre acteurs publics et privés dans la cybersécurité, ce qui est une initiative pertinente. Toutefois, elle n’a pas encore résolu la question clé de l’accès.
Heureusement, l’administration Trump avait déjà ordonné une partie de cette réforme. Le Mémorandum présidentiel sur la sécurité nationale avait en effet appelé à la création d’un banc d’essai national pour l’IA de sécurité nationale, avec des protocoles standardisés pour valider ces systèmes. Le premier plan d’action devait être rendu début septembre. Ce projet dépend des crédits alloués, et son avancement se jouera dans les prochaines lois de programmation militaire. L’enjeu est que ce banc d’essai dispose de responsables clairement désignés, de délais précis et d’un véritable pouvoir d’achat, et non d’un simple rapport supplémentaire.
La logique s’applique également à une deuxième catégorie de systèmes, par une autre voie. La cyberattaque en elle-même ne concerne pas directement les logiciels de planification militaire. En revanche, le schéma reste le même : des capacités non testées font leur entrée dans des systèmes aux conséquences majeures. Les dysfonctionnements cybernétiques se manifestent de manière bruyante : serveurs hors service, journaux remplis d’anomalies, correctifs publiés — ou pas. Les systèmes de planification et de décision manquent souvent de visibilité : une erreur ne se révèle qu’en situation de crise. Un modèle de planification peut se tromper sérieusement sur les options de l’adversaire. Un agent logistique peut optimiser en fonction de mauvaises données. Un outil d’aide à la décision peut donner une confiance infondée à un commandant dans un moment critique. Tester ces outils implique des scénarios adversariaux, des communications dégradées, une intelligence incomplète, et une modélisation fidèle aux lois physiques réelles. Les simples benchmarks intellectuels ne suffisent pas. Le véritable test est de savoir si les opérateurs américains de confiance prennent de meilleures décisions et réagissent plus vite avec ces systèmes.
L’administration doit aussi définir clairement qui pourra accéder aux outils cyber complets. Les défenseurs qualifiés dans les agences fédérales, les opérateurs d’infrastructures critiques et les sous-traitants habilités doivent bénéficier d’un accès vérifié, enregistré et auditable, avec un processus d’habilitation accéléré en cas d’incident majeur. Cette architecture doit répondre directement aux menaces internes et externes, plutôt que de déplacer le risque vers un autre point.
Face à un adversaire actif et déterminé, les défenseurs ont besoin de protections pleinement informées et puissantes. Un défenseur désigné doit pouvoir utiliser librement ces capacités, régies par les normes de sécurité propres aux entreprises, plutôt que par une liste descendante d’actions permises, tout en consignant minutieusement chaque opération.
Cela ne fait pas disparaître les risques, et faire semblant de les ignorer est une technique souvent adoptée par la communauté de la sécurité. Mais un système contrôlé, limité et supervisé rigoureusement représente un progrès par rapport à la situation actuelle, où ces mêmes capacités circulent déjà hors de contrôle sur des comptes volés ou des modèles non régulés.
Une question simple permettrait de mesurer l’efficacité : combien de temps faut-il à un défenseur américain autorisé pour accéder au meilleur outil disponible ? Ce critère n’est pas suivi aujourd’hui. Les taux de refus sur les opérations défensives approuvées, la durée de traitement lors d’incidents en direct, ou la dépendance à des modèles étrangers pour des tâches sensibles mériteraient tous d’être publiés.
Les décideurs devraient considérer les modèles open source américains comme un actif stratégique défensif. Les environnements classifiés et isolés ne peuvent pas se connecter à des services commerciaux : ils ont besoin de modèles qu’ils peuvent exécuter sur leur propre matériel. De plus en plus, les meilleurs modèles téléchargeables gratuitement proviennent de Chine, un déficit que les laboratoires américains sont en mesure de combler, et qu’il serait pertinent de financer.
Les États-Unis disposent de l’IA la plus avancée au monde. La vraie question est de savoir si les Américains qui défendent le pays peuvent y accéder au moment crucial. Un outil enfermé dans un coffre-fort ne peut pas réparer un hôpital, protéger un réseau électrique ou aider un commandant à interpréter un champ de bataille. Si la Maison-Blanche vise la domination décisionnelle, l’accès doit devenir une priorité centrale de la politique d’IA.
Cory Ondrejka est directeur technologique chez Onebrief, entreprise développant des logiciels de planification pour les états-majors militaires. Diplômé de l’Académie navale américaine et ancien officier de la Marine, il a été directeur technologique chez SmartNews, vice-président chez Google et Meta, ainsi que co-créateur et premier directeur technologique de Second Life.
Illustration : Giovanni Navarrette via Wikimedia Commons
