Le National Cyber Security Centre (NCSC) du Royaume-Uni a averti mardi que les infrastructures critiques du pays devraient se préparer à une attaque de ransomware impliquant un malware dopé à l'IA d'ici 2028.

Les infrastructures critiques nationales désignent les systèmes et services essentiels — énergie, eau, transport et santé notamment — dont la défaillance ou la perturbation aurait de graves conséquences pour le pays.

Dans son bilan annuel 2026, le rapport State of the Cyber Nation, l'agence estime « hautement probable » que l'usage de l'intelligence artificielle par des acteurs hostiles accroisse l'ampleur et l'efficacité de leurs opérations au cours des deux prochaines années, notamment via des ransomwares, l'ingénierie sociale et l'exploitation de vulnérabilités logicielles. Le NCSC, qui dépend du GCHQ, le service britannique de renseignement électronique, a déclaré que le pays « fait face à un moment de choix » et que « l'avenir de la résilience cyber n'est pas figé ». Le rapport intégral est disponible sur le site du NCSC.

L'agence a annoncé la publication du rapport dans une publication sur X :

Today, we've published our 2026 annual review: The State of the Cyber Nation. The UK faces a moment of choice. The future of cyber resilience is not set. Read the report now: @GCHQ @DanJarvisMBE pic.twitter.com/mIFWrBB5Yt
— NCSC UK (@NCSC) November 3, 2026

La menace provient moins de nouvelles techniques d'attaque que de faiblesses anciennes, a déclaré Richard Horne, directeur du NCSC, dans des remarques préparées pour un discours de lancement du rapport.

« Dans les prochains mois, nous faisons face à une perspective réelle d'une hausse sans précédent du nombre d'incidents cyber », a affirmé Horne. « Mais nous devons être clairs : ce n'est pas parce que l'IA a inventé de nouvelles façons de nous attaquer. C'est parce que des vulnérabilités tolérées depuis bien trop longtemps peuvent désormais être découvertes et exploitées à une échelle autrefois inimaginable. »

« Pendant des décennies, nous avons collectivement pris des libertés avec une technologie à bas coût », a-t-il ajouté.

Horne a appelé les organisations à investir correctement dans leur technologie, à cesser de connecter inutilement des systèmes à internet, et à considérer la certification Cyber Essentials du gouvernement comme un point de départ en matière de sécurité plutôt que comme un objectif final. Il a averti que les dirigeants qui n'agiraient pas pourraient devoir expliquer à leurs investisseurs, employés et clients pourquoi « les étagères sont vides, les lumières sont éteintes et des entreprises ont fait faillite ».

Cet avertissement est survenu quelques jours après l'annonce par le gouvernement de 60 millions de livres sterling (environ 80 millions de dollars) pour la première phase d'un Cyber Shield national et de 70 millions de livres (93 millions de dollars) pour un nouveau National Exposure and Real-Time Vulnerability Centre, qui identifiera les faiblesses des infrastructures critiques. Un nouveau AI Cyber Security Centre of Excellence, dirigé par le NCSC, sera basé à Manchester. Les deux calendriers avancent désormais en parallèle, et la rapidité avec laquelle le nouveau centre et le Cyber Shield plus large prendront forme — de même que l'adoption par les organisations de mesures comme Cyber Essentials — figurera parmi les indicateurs visibles à mesure que se rapproche l'horizon 2028 décrit par le NCSC.

IA et cyberattaques

Cet avertissement fait suite à des indices croissants que les attaquants utilisent déjà l'IA. En mai, le Threat Intelligence Group de Google a indiqué que des cybercriminels avaient utilisé un modèle d'IA pour découvrir et armer une faille jusque-là inconnue — un zero-day — leur permettant de contourner l'authentification à deux facteurs d'un outil d'administration open source populaire. L'entreprise a précisé qu'il s'agissait de la première confirmation de développement d'un zero-day assisté par IA dans la nature.

Une étude de l'Université de Cambridge portant sur plus de 90 000 fils de forums de cybercriminalité, publiée le même mois, a toutefois révélé que la plupart des criminels utilisaient l'IA pour le spam et le phishing plutôt que pour des attaques sophistiquées.

Les responsables britanniques avaient déjà tiré la sonnette d'alarme sur les risques posés par l'intelligence artificielle. En juillet, la ministre des Affaires étrangères Yvette Cooper a averti que les gouvernements devaient s'accorder sur des garde-fous pour l'IA avant que les systèmes de frontière ne transforment la guerre, la criminalité et la société.

« Nous ne pouvons pas nous permettre d'attendre un équivalent d'Hiroshima de l'IA avant d'agir », a-t-elle écrit.