Moins d'attaques graves au Royaume-Uni, mais son agence cyber craint une vague liée à l'IA

Quatre-vingts. C'est le nombre d'incidents « d'importance nationale » que le NCSC, l'agence britannique de cybersécurité, a traités entre le 1er septembre 2025 et le 31 août 2026. L'année précédente, il en avait compté 204. Sur le papier, la tendance est rassurante. Pourtant, en présentant sa revue annuelle le 3 novembre, le directeur de l'agence, Richard Horne, a tenu un tout autre discours.

Selon The Record, il a évoqué la « perspective réelle d'une hausse sans précédent du nombre de cyberincidents » dans les mois à venir. En cause : l'intelligence artificielle. Elle n'invente pas de nouvelles attaques, mais permet de trouver et d'exploiter à grande échelle des faiblesses tolérées depuis trop longtemps.

Pourquoi le nombre d'incidents graves a baissé

Le NCSC donne ses chiffres. Son équipe de réponse aux incidents a reçu 1 831 signalements d'attaques. Après tri, 337 incidents ont nécessité son aide, dont 80 jugés d'importance nationale. L'agence dit aussi avoir prévenu 8 500 organisations de signes laissant soupçonner une compromission, grâce à son service d'alerte précoce.

Elle se garde de crier victoire. Les signalements « ne suivent pas une tendance simple d'une année sur l'autre », écrit-elle, et les pics passés tenaient souvent à quelques incidents particulièrement lourds. Selon elle, ces alertes envoyées en amont ont probablement évité que certains incidents ne s'aggravent.

L'IA ne crée pas les failles, elle les révèle

Dans son avant-propos, Richard Horne reconnaît que la menace a progressé plus vite que les défenses du pays. Sa phrase clé : l'IA « n'a pas créé ces faiblesses de cybersécurité, elle les a révélées ». Il désigne une dette technique accumulée et des investissements trop souvent reportés.

Selon The Record, il a été plus direct à l'oral : « Pendant des décennies, nous nous en sommes tous tirés en faisant de l'informatique au rabais. » Il vise les systèmes en fin de vie maintenus pour économiser et les mises à niveau repoussées. Toujours selon The Record, le NCSC juge « très probable » qu'un logiciel malveillant piloté par l'IA serve à une attaque par rançongiciel contre une infrastructure critique britannique d'ici 2028. Il s'attend aussi à ce que la Chine et la Russie utilisent l'IA « couramment » dans leurs opérations d'ici là.

Le gouvernement mise sur la même technologie pour se défendre. The Record cite un centre doté de 70 millions de livres, chargé de chercher les failles des infrastructures critiques avec l'IA, et un réseau d'agents d'IA défensifs, financé à hauteur de 60 millions de livres pour une première phase.

Les sept leçons de l'année, et ce qu'elles disent aux entreprises

Le diagnostic rejoint celui de l'ANSSI, qui constatait récemment que la plupart des vols de données se passent de toute faille technique. Le NCSC tire sept leçons de l'année. La première : les attaquants exploitent les bases. Les équipements exposés sur Internet restent « une voie principale de compromission ». La dernière : même les acteurs sophistiqués n'ont pas besoin de moyens sophistiqués pour entrer, et leur savoir-faire ne se voit qu'ensuite.

Concrètement, la revue invite à :

• corriger les vulnérabilités connues et sécuriser les systèmes exposés sur Internet ;
• conserver et surveiller les journaux, et tenir à jour un plan de réponse aux incidents ;
• vérifier la résilience de ses fournisseurs.

Reste une inconnue : l'afflux de failles découvertes par l'IA se traduira-t-il vraiment par davantage d'attaques réussies ? Selon The Record, les responsables britanniques constatent une forte hausse des découvertes, pas encore de hausse correspondante de l'exploitation. La prochaine revue annuelle dira si la courbe des 80 incidents s'est inversée.