Nouveaux fronts : IA et menace quantique

Deux fronts, une même vigilance

Les chapitres précédents ont posé les bases : reconnaître les menaces, comprendre pourquoi l’humain reste une cible privilégiée, choisir une bonne phrase de passe, activer la double authentification, entretenir une hygiène numérique régulière.

Ce dernier chapitre ouvre sur deux évolutions qui redessinent, chacune à sa façon, ce paysage :

1. l’intelligence artificielle générative, déjà à l’œuvre dans les usages professionnels et personnels ;
2. et l’informatique quantique, encore en devenir mais dont les conséquences se préparent dès aujourd’hui.

Ce que l’IA générative change, pour l’attaque et pour la défense

Les grands modèles de langage permettent de produire des messages d’hameçonnage mieux rédigés, débarrassés des fautes d’orthographe et des tournures maladroites qui trahissaient auparavant certaines tentatives.

Cela fragilise un signal d’alerte auquel beaucoup se fiaient encore récemment, sans qu’aucune donnée chiffrée ne permette aujourd’hui d’en mesurer précisément l’ampleur : la prudence reste de mise face à toute affirmation trop catégorique sur ce sujet en mouvement.

Les mêmes technologies profitent aussi à la défense : détection d’anomalies dans les journaux systèmes, analyse de volumes de données plus importants qu’un humain ne pourrait traiter seul.

L’ANSSI a d’ailleurs publié des recommandations de sécurité dédiées aux systèmes d’IA générative, preuve que ces outils, en se généralisant, appellent une vigilance spécifique, aussi bien du côté de celles et ceux qui les déploient que du côté de celles et ceux qui les utilisent.

La fuite de données par les prompts

Saisir une information confidentielle, un secret professionnel ou une donnée personnelle dans un service d’IA générative tiers, pour rédiger un courriel ou résumer un document, expose cette information à un traitement dont on ne maîtrise plus les conditions.

La CNIL consacre un espace dédié à l’intelligence artificielle, qui rappelle les précautions à prendre avant de confier des données à ce type d’outil.

Ce risque de fuite par les prompts, et la manière de s’en prémunir dans un contexte professionnel, est traité en détail dans notre cours L’IA sans filtre, qui prolonge ce chapitre.

Ce qu’un ordinateur quantique menacerait

Un ordinateur quantique suffisamment puissant, encore à un stade de recherche avancé aujourd’hui, pourrait un jour exécuter l’algorithme de Shor, capable de résoudre efficacement certains problèmes mathématiques (comme la factorisation de grands nombres) sur lesquels reposent les algorithmes de cryptographie à clé publique les plus utilisés aujourd’hui pour sécuriser nos échanges en ligne, hors de portée d’un ordinateur classique en un temps raisonnable.

Ce n’est donc pas l’ordinateur d’aujourd’hui qui est visé, mais la solidité, à terme, des mécanismes qui protègent actuellement une grande partie de nos communications chiffrées, de la banque en ligne à la messagerie professionnelle.

Récolter maintenant, déchiffrer plus tard

Cette perspective nourrit une stratégie que la cryptographie post-quantique cherche à devancer : intercepter et conserver dès aujourd’hui des données chiffrées, dans l’attente d’un futur ordinateur quantique capable de les déchiffrer.

Cette stratégie ne menace pas n’importe quelle donnée de la même façon : elle représente un risque particulier pour les données dont la confidentialité doit être garantie sur une longue durée (secrets industriels, données de santé, documents d’État), bien davantage que pour une information dont la valeur s’éteint rapidement.

C’est précisément la question que pose l’ANSSI : identifier les données dont la confidentialité ou l’authenticité doivent encore être garanties après 2030.

La réponse : la cryptographie post-quantique

Face à cette menace, l’ANSSI considère la cryptographie post-quantique comme « la voie la plus prometteuse pour se prémunir contre la menace quantique ». Elle rappelle que « la transition post-quantique durera plus d’une dizaine d’années » et constitue l’un des enjeux majeurs de la décennie à venir.

Son premier avis sur cette migration date de 2022 ; il a été mis à jour et enrichi fin 2023.

L’agence promeut une approche par hybridation, qui combine un algorithme pré-quantique reconnu et un algorithme post-quantique, le temps que ce dernier fasse ses preuves et que la confiance s’installe.

Le NIST organise, depuis 2016, un concours international de standardisation de ces nouveaux algorithmes, dont les résultats successifs nourrissent les choix de l’ANSSI.

Concrètement, l’ANSSI :

• déconseille d’acheter, après 2030, des produits n’intégrant pas de cryptographie post-quantique ;
• et invite toutes les entités, quel que soit leur secteur, à inclure la menace quantique dans leur analyse de risque et à démarrer, dès maintenant, un inventaire de leurs usages de la cryptographie : savoir où, dans son organisation, la cryptographie est utilisée est un préalable indispensable avant de pouvoir en faire évoluer les briques les plus exposées.

En guise de conclusion

À travers ces six chapitres, une même idée se confirme : la cybersécurité n’est pas un produit qu’on installe une fois, mais une hygiène qui s’entretient, geste après geste, veille après veille.

Les menaces évoluent, les outils qui les combattent aussi : rester attentif, plutôt que de chercher une protection définitive, reste la meilleure des postures.