Le Conseil de stabilité financière, l’organisme qui coordonne les régulateurs des grandes économies, place désormais l’usage offensif de l’intelligence artificielle au premier rang de ses préoccupations technologiques immédiates. Dans une lettre adressée aux ministres des Finances et aux gouverneurs de banques centrales du G20, son président Andrew Bailey estime que les modèles d’IA de pointe peuvent modifier en profondeur la vitesse, l’échelle et le coût des cyberattaques. Une attaque suffisamment grave pourrait alors dépasser l’établissement directement visé et ébranler la confiance dans l’ensemble du système financier.
Le message ne décrit pas une crise en cours et ne prétend pas qu’une IA autonome menace déjà de faire tomber les marchés. Il formule un risque prospectif à partir de capacités qui progressent vite : automatisation de la recherche de failles, adaptation des attaques, génération de leurres crédibles et coordination d’opérations à grande échelle. Pour le FSB, l’urgence consiste à préparer les banques, les infrastructures de marché et leurs fournisseurs communs avant qu’un incident ne révèle une dépendance mal maîtrisée.
Pourquoi une cyberattaque peut devenir un risque systémique
Une banque piratée subit d’abord un problème de sécurité informatique. L’incident prend une dimension systémique lorsqu’il empêche plusieurs acteurs de payer, de régler des transactions ou d’accéder à une donnée essentielle au même moment. Les établissements financiers sont reliés entre eux par des réseaux de paiement, des chambres de compensation, des plateformes de négociation et des prestataires informatiques. Une panne longue ou une information devenue suspecte peut provoquer des réactions en chaîne, même si les pertes techniques initiales restent limitées.
L’IA change surtout l’économie de l’attaque. Un groupe malveillant peut lui confier une partie du repérage, du développement de code ou de l’ingénierie sociale. Les outils ne garantissent pas le succès et produisent encore des erreurs, mais ils permettent de tester davantage d’approches avec moins de travail humain. KultureGeek a déjà suivi l’utilisation d’un assistant de code dans des attaques au rançongiciel et une opération menée par des agents IA autonomes contre Taïwan. Le FSB élargit ici l’analyse aux conséquences possibles pour la finance mondiale.
Le scénario redouté ne repose pas nécessairement sur un système qui inventerait seul une attaque inédite. La multiplication d’opérations assez bonnes peut suffire : courriels de fraude mieux personnalisés, tentatives plus fréquentes sur des accès distants, logiciels malveillants adaptés à la configuration rencontrée ou faux messages imitant un dirigeant. Les défenseurs utilisent eux aussi l’IA pour détecter les anomalies et accélérer la réponse. Le risque dépend donc de la capacité des deux camps, de la qualité des contrôles et du temps nécessaire pour contenir l’incident.
Les fournisseurs communs concentrent une partie du danger
Andrew Bailey insiste sur la résilience des prestataires technologiques critiques. La finance a externalisé une part importante de ses systèmes vers quelques fournisseurs de cloud, de logiciels, de données et de cybersécurité. Cette concentration apporte des gains de coût et de qualité, mais elle crée aussi des points communs de défaillance. Une vulnérabilité dans un composant largement partagé peut atteindre plusieurs banques simultanément, tandis qu’une indisponibilité du prestataire complique leur reprise.
La résilience ne se réduit donc pas à empêcher toute intrusion, objectif irréaliste. Elle suppose de continuer les fonctions vitales en mode dégradé, d’isoler rapidement une partie compromise, de restaurer des données vérifiées et de communiquer sans aggraver la panique. Les exercices doivent tester les dépendances réelles, y compris les sous-traitants d’un fournisseur principal. Un contrat promettant une disponibilité élevée ne remplace ni une solution de repli ni la connaissance des délais de restauration.
Dans son communiqué officiel, le FSB demande aussi aux autorités de favoriser des mises à disposition et des déploiements responsables des modèles à l’échelle mondiale. La formulation reste générale : l’organisation ne propose pas encore une norme technique, un seuil de capacité ou une procédure d’autorisation. Elle annonce examiner les mesures compatibles avec son mandat, ce qui pourrait déboucher sur des recommandations communes plutôt que sur une réglementation directement applicable.
Un avertissement qui vise aussi l’euphorie financière autour de l’IA
La lettre ne s’arrête pas à la cybersécurité. Elle relève que l’optimisme lié à l’IA se combine à des valorisations élevées, à une concentration des marchés et à un recours accru à l’endettement. Si les anticipations de revenus étaient brutalement revues, ces facteurs pourraient amplifier une correction. L’avertissement ne signifie pas que toutes les entreprises d’IA sont surévaluées ni qu’un krach est imminent ; il rappelle que des positions similaires et financées à crédit peuvent se dénouer en même temps.
Ces deux dimensions se rejoignent. Une attaque majeure contre une infrastructure d’IA, un fournisseur de cloud ou une institution financière pourrait déclencher une réévaluation du risque technologique. À l’inverse, une correction de marché pourrait réduire les budgets disponibles pour sécuriser des systèmes pourtant devenus plus complexes. Le FSB cherche précisément à éviter que sécurité opérationnelle et stabilité financière soient traitées dans deux silos séparés.
Plus de cent entreprises ont récemment appelé à une défense collective contre les cyberattaques assistées par IA. Le nouvel avertissement ajoute le poids des régulateurs financiers à cette mobilisation. Sa portée concrète dépendra des prochaines étapes : inventaire des dépendances, tests de reprise transfrontaliers, exigences imposées aux prestataires et règles de diffusion des modèles les plus capables. Pour les banques, le signal est déjà net : un outil d’IA ne doit plus être évalué uniquement par sa productivité, mais aussi par la façon dont il modifie l’exposition au risque et la capacité de récupérer après un incident.
