Il a fallu attendre 1998 pour que la loi fédérale impose des airbags dans chaque véhicule — plus d'un siècle après l'invention de l'automobile et environ trois décennies après le développement initial des airbags en tant que mesure de sécurité. Un schéma similaire se reproduit aujourd'hui avec les robotaxis et la cybersécurité, selon des experts du secteur.

Louay Abdelkader, directeur de la gestion de produits chez QNX — le fournisseur de logiciels automobiles propriété de BlackBerry dont les systèmes d'exploitation en temps réel sont intégrés dans plus de 215 millions de véhicules à travers le monde — considère qu'il s'agit d'un enjeu critique pour le secteur. « Bien sûr… gardez à l'esprit que pour la sécurité automobile, il a fallu un certain temps avant que cela ne soit adopté », a-t-il déclaré à Fortune. Abdelkader estime que les législateurs devraient élever la cybersécurité au même niveau de priorité que les airbags, en soulignant que chaque véhicule connecté introduit un certain degré de risque cybernétique.

Une grande partie du débat public entourant les robotaxis, cependant, s'est concentrée sur d'autres questions : les systèmes autonomes sont-ils suffisamment intelligents pour éviter les collisions, comment les compagnies d'assurance devraient-elles attribuer la responsabilité en cas d'accident, et comment les forces de l'ordre devraient-elles gérer les voitures sans conducteur qui commettent des infractions au code de la route.

Les robotaxis se déploient rapidement à travers les États-Unis. Zoox a récemment obtenu l'approbation réglementaire de la National Highway Traffic Safety Administration (NHTSA) pour une exemption commerciale, accordant au service payant un accès plus large pour opérer sans commandes manuelles. Tesla s'est lancée sur le marché des robotaxis avec son Cybercab opérant dans au moins sept villes. Waymo, propriété d'Alphabet, est passée de ses origines en Arizona à 11 grandes villes américaines, s'associant même avec la société de VTC Uber sur certains marchés.

Contrairement aux véhicules conventionnels, les robotaxis reposent sur des dizaines d'unités de contrôle électronique interconnectées, des réseaux à haut débit, une connectivité cloud, un GPS, des caméras, des lidars, des radars et des modèles d'IA qui interprètent en continu l'environnement autour d'eux. Chacun de ces composants élargit ce que les professionnels de la cybersécurité appellent la « surface d'attaque » — le nombre de points d'entrée possibles que les pirates peuvent exploiter. De manière cruciale, les robotaxis dépendent également de plateformes centralisées de gestion de flotte qui dépêchent les véhicules vers les lieux de prise en charge, ce qui signifie que l'infrastructure de commande de course elle-même devient une cible potentielle, pas seulement les voitures sur la route.

Tandis qu'Hollywood dépeint souvent des pirates prenant le contrôle distant d'un véhicule entier, les experts affirment que les attaques modernes sont plus susceptibles de cibler l'écosystème plus large entourant les voitures autonomes. Même si les attaquants ne peuvent pas diriger directement un véhicule, des communications perturbées pourraient dégrader la capacité d'un système autonome à naviguer en toute sécurité.

À San Francisco, le « farceur tech » autoproclamé Riley Walz a démontré cette vulnérabilité en organisant une attaque par déni de service distribuée (DDoS) contre les Waymo locales. Walz a documenté la farce sur X. La farce consistait à faire commander simultanément un Waymo par 50 personnes sur la même impasse, créant un embouteillage qui a contraint l'entreprise à suspendre les courses jusqu'au lendemain matin.

L'incident DDoS s'est produit malgré les réglementations de Californie — où Waymo opère à San Francisco et Los Angeles — exigeant que les fabricants de véhicules autonomes démontrent qu'ils peuvent surveiller, mettre à jour et maintenir leurs flottes en toute sécurité tout en se conformant aux directives fédérales en matière de cybersécurité des véhicules. Waymo et le DMV de Californie n'ont pas répondu aux demandes de commentaire.

L'essor de l'IA générative a amplifié les risques de cybersécurité. Historiquement, les pirates avaient besoin de beaucoup de temps, d'expertise technique et de ressources pour identifier et exploiter les vulnérabilités. L'IA a considérablement compressé ce délai, selon Abdelkader. Il a averti que des acteurs malveillants peuvent désormais utiliser l'IA pour identifier les vulnérabilités, automatiser les attaques et développer des exploits bien plus rapidement — et avec une intention malveillante plus grande — que la farce de Walz.

Abdelkader a déclaré que la cybersécurité des robotaxis relève de la responsabilité partagée des fabricants et des législateurs. Il a soutenu que les fabricants doivent intégrer la sécurité dans les véhicules autonomes dès le départ, plutôt que de la traiter comme un complément. « Quand vous développez un système de cybersécurité, vous partez des fondations. C'est comme construire une maison », a-t-il dit. « Si vos fondations ne sont pas solides, il devient très difficile de construire une maison robuste et sécurisée. »

Certaines juridictions ont déjà commencé à traiter la cybersécurité comme une partie intégrante de la réglementation des véhicules autonomes plutôt qu'comme une réflexion après coup. L'Arizona a intégré la planification de la cybersécurité dans ses politiques plus larges de déploiement de véhicules autonomes, tandis que des États comme le Michigan ont établi des initiatives de cybersécurité via des partenariats avec l'industrie et les institutions de recherche.

Les régulateurs internationaux sont allés encore plus loin. Le Règlement ONU n° 155 des Nations Unies exige désormais que les constructeurs automobiles sur de nombreux marchés maintiennent des systèmes certifiés de gestion de la cybersécurité tout au long du cycle de vie d'un véhicule, tandis que la norme ISO/SAE 21434 établit des standards d'ingénierie pour la cybersécurité à travers le développement des véhicules. Les États-Unis ne disposent d'aucun mandat fédéral équivalent, laissant place à un patchwork d'exigences au niveau des États.

À New York, en revanche, où le maire Zohran Mamdani a refusé de renouveler la licence de Waymo, la cybersécurité a été absente du débat sur les robotaxis. Le maire s'est plutôt concentré sur la protection du travail, citant les chauffeurs de taxi comme sa principale préoccupation. « Si une entreprise comme Waymo s'installe à New York, ce qu'elle trouvera également, c'est un gouvernement municipal engagé à œuvrer pour les travailleurs qui font fonctionner la ville », a déclaré Mamdani lors d'une conférence de presse. « Ces travailleurs comprennent également nos chauffeurs de taxi à qui, depuis trop longtemps, on a vendu le rêve de pouvoir accéder à la classe moyenne par leur travail. » Le bureau de Mamdani n'a pas répondu à une demande de commentaire.

Abdelkader maintient que les législateurs à travers le pays devraient s'appuyer sur les cadres existants plutôt que d'attendre qu'un incident cybernétique révèle une faille. Il a déclaré que les responsables politiques séparent trop souvent la sécurité de la cybersécurité, bien que les deux soient « intimement liées ».

« Les législateurs et les politiciens doivent travailler avec eux pour s'assurer qu'à l'avenir, s'il y a des améliorations à apporter, on détermine le type de soutien nécessaire », a-t-il déclaré à Fortune. « Il faut pouvoir échanger et partager ces retours. C'est la seule manière pour l'industrie de croître efficacement et de bénéficier à la société. »