Le Royaume-Uni se prépare à une hausse sans précédent des cyberincidents dans les prochains mois, car l'IA facilite la recherche et l'exploitation de faiblesses anciennes. Richard Horne, directeur général du NCSC, doit en faire part lors de son discours annuel, le 3 novembre. The Record rapporte que cette allocution placera au cœur des risques pour les organisations et les services essentiels les correctifs de sécurité tardifs et les systèmes vieillissants.
Dans son annonce officielle, le Centre national de la cybersécurité appelle à investir de toute urgence dans la résilience. Il met en garde contre des années de « technologie au rabais », qui ont laissé les organisations britanniques exposées. Les opérateurs d'infrastructures critiques font face à une prévision précise : l'agence juge « très probable » qu'un logiciel malveillant fondé sur l'IA soit utilisé dans une attaque par rançongiciel contre les infrastructures critiques britanniques d'ici 2028.
Il s'agit donc d'une prévision sur l'usage de logiciels malveillants basés sur l'IA, et non du compte rendu d'une attaque déjà survenue. Selon The Record, le NCSC s'attend aussi à ce que la Chine et la Russie utilisent l'IA de façon systématique dans leurs opérations cyber d'ici cette date.
Les anciennes faiblesses, une découverte plus rapide
L'argument central de Richard Horne est que l'IA accélère la découverte et l'exploitation de failles de sécurité déjà existantes. Le rapport annuel attribue ces faiblesses à la dette technique accumulée, c'est-à-dire au fardeau de sécurité laissé par une maintenance reportée, ainsi qu'à l'absence de protections élémentaires.
Les responsables citent le nombre croissant de vulnérabilités découvertes par les éditeurs de technologies comme preuve que ce changement est en cours. Les experts n'ont toutefois pas encore observé de hausse correspondante des exploitations. Richard Horne devrait affirmer que les grands fournisseurs corrigent désormais des centaines de vulnérabilités dans des mises à jour distinctes, et que le projet Linux kernel en a corrigé plus de 1 000 le mois dernier.
Cet avertissement fait suite à une alerte publiée en juin par l'alliance de renseignement Five Eyes, qui affirmait que l'IA transformerait en profondeur, dans les mois à venir, les capacités offensives et défensives en matière de cyber.
Pour les organisations, le danger est connu. Le rapport indique que même les attaques liées à des acteurs soutenus par des États passent souvent par des applications accessibles depuis Internet, c'est-à-dire des logiciels joignables depuis l'extérieur de l'organisation, et exploitent des failles pour lesquelles des correctifs existent déjà, mais n'ont pas été installés rapidement.
Richard Horne devrait critiquer l'usage persistant de systèmes en fin de vie et les mises à niveau reportées pour réaliser des économies. Il avertira les dirigeants que les conséquences peuvent dépasser leurs propres réseaux et toucher la perturbation des approvisionnements alimentaires, de l'électricité et des activités commerciales.
Le discours intervient alors que le gouvernement prévoit, dans son projet budgétaire, une consultation sur la responsabilité des entreprises technologiques en cas de failles causées par des produits non sécurisés. Il ne s'agit encore que d'une consultation envisagée. Le NCSC avait réclamé l'an dernier un agenda politique stratégique. Son directeur technique, Ollie Whitehouse, affirmait en 2025 que les organisations savaient concevoir des produits et services sécurisés, mais que les incitations commerciales ne suffisaient pas à en assurer l'adoption.
Le gouvernement élargit ses projets de défense fondés sur l'IA
Le gouvernement teste également la capacité de l'IA à aider les défenseurs à repérer plus tôt les faiblesses. Selon The Record, le rapport annuel décrit des essais de systèmes d'IA de pointe, c'est-à-dire de modèles de dernière génération, sur les réseaux gouvernementaux.
Le projet DROMOS a commencé comme un projet pilote de quatre semaines avant de s'étendre à des environnements gouvernementaux en production. Selon le rapport, il a permis de repérer des centaines de failles de sécurité potentielles, dont des vulnérabilités critiques.
La prochaine extension prévue est le National Exposure and Real-Time Vulnerability Centre, ou NERV Centre, doté de 70 millions de livres sterling (93 millions de dollars). Il doit utiliser l'IA pour prolonger les travaux existants du NCSC en matière d'identification des vulnérabilités, dans les infrastructures critiques et, plus largement, dans l'économie.
Par ailleurs, 60 millions de livres sterling (80 millions de dollars) ont été alloués à la première phase de Cyber Shield, un réseau national d'agents IA dévoilé en avant-première en juillet. Il s'agit de systèmes conçus pour accomplir des tâches avec un certain degré d'autonomie. Selon ce plan, le NCSC fournira la plateforme et le renseignement sur les menaces, tandis que des entreprises de sécurité et des développeurs open source conçoivent des agents destinés à fonctionner au sein des organisations. La phase initiale se concentrera sur la détection et le blocage des attaques.
Le NCSC, qui fait partie du service de renseignement GCHQ, estime que les défenseurs peuvent conserver un avantage structurel, car ils contrôlent leurs environnements, peuvent les surveiller et les modifier, et définir les comportements acceptables. Son rapport affirme que concrétiser cet avantage suppose une orientation claire, des investissements et une adoption rigoureuse.
Pour les dirigeants et les équipes de sécurité, l'appel immédiat de l'agence est d'investir dans la résilience, de traiter les mises à niveau reportées et d'installer rapidement les correctifs disponibles. Le guide d'accompagnement du NCSC invite aussi les organisations à se préparer dès maintenant à une vague de correctifs visant des décennies de dette technique accumulée.
