Les dirigeants financiers du G7 ont convenu d'organiser des exercices sur table pour se prémunir contre les cyberattaques basées sur l'IA, a déclaré le ministre japonais des Finances, Satsuki Katayama, selon Reuters. La décision engage les sept plus grandes économies avancées du monde à répéter ensemble leur réponse à une catégorie de menaces qui, selon les responsables de la sécurité, croissent plus rapidement que les défenses traditionnelles.

L’accord, annoncé vendredi, intervient alors que les décideurs politiques cherchent de plus en plus à coordonner les réponses aux risques croissants de cybersécurité liés à l’intelligence artificielle. Les exercices sur table – des simulations structurées dans lesquelles les responsables traversent étape par étape une crise hypothétique – sont devenus l’outil privilégié pour tester la manière dont les gouvernements, les banques centrales et les institutions financières privées communiqueraient réellement et réagiraient en cas d’attaque. Pour le G7, les exercices se concentreront sur le secteur financier, où une intrusion réussie grâce à l’IA pourrait faire bouger les marchés avant même que les défenseurs ne comprennent ce qui se passe. Pour plus de contexte sur cette histoire, consultez notre plus d'articles sur l'IA.

Un avertissement du FMI a rendu les exercices urgents

Cette décision fait suite à un avertissement du Fonds monétaire international cette semaine selon lequel une attaque basée sur l'IA pourrait saper la confiance dans une institution financière et avoir des répercussions sur la stabilité du système. Le message du FMI, tel que résumé par les médias couvrant la décision du G7, était que l’IA réduit le coût et augmente la sophistication des attaques contre les banques, les systèmes de paiement et les infrastructures de marché – alors que la même technologie donne également de nouveaux outils aux défenseurs, l’offensive a actuellement la tâche la plus facile.

C’est cette asymétrie que les exercices sur table sont conçus pour sonder. Plutôt que de tester si un logiciel antivirus bloque une charge utile, les simulations posent des questions plus difficiles : qui décide de mettre une grande banque hors ligne ? Comment les régulateurs communiquent-ils avec les marchés pendant les premières heures d’un incident ? Quand un cyber-événement devient-il un événement de stabilité financière nécessitant des liquidités de la banque centrale ? Ces décisions ont rarement été répétées en gardant à l’esprit des scénarios d’attaque spécifiques à l’IA.

S'appuyer sur un cyber-framework existant

Les exercices se dérouleront au sein du G7 Cyber Expert Group, le groupe de travail qui coordonne la politique de cybersécurité au sein des autorités financières du G7. Le groupe a des années d’expérience dans les exercices de coordination transfrontalière et a publié cette année des lignes directrices sur les nomenclatures de logiciels liés à l’IA. Donner au CEG un mandat d’attaque par l’IA formalise ce que les membres avaient déjà commencé à discuter bilatéralement à mesure que les outils d’intrusion basés sur l’IA se répandaient.

Le rôle du Japon dans l'annonce de l'accord souligne à quel point le débat est passé du risque abstrait à la préparation concrète. Plus tôt cette année, le ministère japonais des Finances avait déjà signalé que le G7 discuterait des normes de défense en matière d'IA pour les institutions financières – l'annonce de vendredi convertit cette discussion en un programme engagé d'exercices conjoints.

Une année de préparation intensive

L'accord de vendredi est l'aboutissement de mois de travail préparatoire. En juillet, le ministère japonais des Finances a déclaré que le G7 discuterait des normes de cyberdéfense IA pour les institutions financières, et en août, le Trésor américain a publiquement appelé à approfondir la coopération pratique en matière de cybersécurité au sein du G7. Les cyber-autorités du groupe ont organisé cette année un exercice formel de coordination transfrontalière – rendu public par la Banque du Canada et le Trésor britannique – pour pratiquer le partage d'informations lors d'un incident simulé. L’ajout d’attaques basées sur l’IA à ce manuel constitue une escalade naturelle, et l’avertissement du FMI cette semaine a fourni le catalyseur.

Ce calendrier reflète également un balayage réglementaire plus large de l’IA dans la finance. Le Conseil de stabilité financière a finalisé ce mois-ci un ensemble de bonnes pratiques pour l’adoption responsable de l’IA par les institutions financières, et les superviseurs de plusieurs membres du G7 ont averti que la fraude et le risque de modèle induits par l’IA dépassent les règles existantes. Les exercices sur table étendent ce travail des normes papier à la réponse pratique.

Pourquoi la finance est le premier acteur

Le secteur financier a des raisons d’agir en premier. Il s'agit de l'industrie critique la plus numérisée des économies du G7, elle fonctionne à la vitesse d'une machine et c'est le secteur dans lequel la recherche du profit d'un attaquant s'aligne le plus directement sur les dommages causés à la sécurité nationale. L’avertissement du FMI cette semaine était précisément centré sur cette exposition : une attaque basée sur l’IA, a prévenu le fonds, pourrait miner la confiance dans une institution financière – et la confiance est la matière première sur laquelle repose le secteur bancaire.

L’IA modifie également la forme de l’incident lui-même. Une attaque basée sur l’IA peut s’adapter en cours de campagne, générant de nouveaux leurres lorsqu’un leurre est bloqué et sondant les défenses plus rapidement que les opérateurs humains ne peuvent répondre. C’est pourquoi les exercices sur table – qui obligent les humains à prendre des décisions à leur rythme – sont considérés comme essentiels : ils montrent où s’arrête l’automatisation et où le jugement doit commencer.

Que se passe-t-il ensuite

L'annonce du G7 n'a pas fixé de calendrier public pour le premier exercice, mais le format d'exercice transfrontalier existant du Cyber Expert Group offre aux membres une structure toute faite sur laquelle s'appuyer. Les scénarios plausibles pour de telles simulations incluent la désinformation générée par l’IA autour d’une panique bancaire, les attaques automatisées contre l’infrastructure de paiement et la fraude par deepfake contre les opérations de trésorerie – les classes d’incidents que les régulateurs financiers ont signalées le plus systématiquement cette année.

Pour les banques et les assureurs, le signal pratique est d’attendre des attentes plus strictes de la part des autorités de contrôle. Les exercices de coordination de ce type précèdent historiquement les nouvelles orientations réglementaires, et les membres du G7 ont déjà montré cette année leur volonté de réglementer l’IA dans la finance. Le format de table est peut-être informel, mais son résultat – une carte documentée de qui fait quoi lorsqu’une attaque d’IA atterrit – tend à devenir le manuel de jeu que les régulateurs appliqueront plus tard.

---

Restez à la Pointe de l'IA

Les dernières actualités, analyses et percées en IA — au même endroit.

Lire plus d'actualités IA →