L'intelligence artificielle n'est pas encore prête pour la cybersécurité des systèmes de contrôle industriels

Quand Google Duplex a parlé pour la première fois sur une ligne téléphonique de restaurant, cela sonnait presque humain. La démo montrait ce que l'IA peut faire aujourd'hui : exécuter des conversations étroites et scriptées avec une fluidité déconcertante. Pourtant la même technologie, maintenant disponible dans 43 États US pour utilisateurs Google Pixel, souligne les limites de l'IA d'aujourd'hui — capable d'interactions routinières mais encore loin de gérer les complexités des systèmes de contrôle industriels (ICS).

D'autres projets IA médiatisés soulignent ce fossé. Le Project Debater d'IBM peut construire des arguments persuasifs, mais sa voix reste robotique et sa compréhension abstraite. Les deux exemples illustrent que l'IA la plus avancée vient d'entreprises aux poches profondes et jeux de données massifs — pourtant même elles avertissent que les algorithmes peuvent échouer, les données peuvent être biaisées, et des pratiques impropres peuvent éroder la confiance.

Les narratifs marketing peignent souvent l'IA comme remède universel aux défis business, promettant de donner du sens à d'énormes quantités de données industrielles et de fortifier la sécurité des systèmes de contrôle. L'analytique industrielle, appliquée aux données machine, drive la convergence OT-IT et alimente la Quatrième Révolution Industrielle, selon le Industrial Internet of Things Analytics Framework du Industrial Internet Consortium.

Le vétéran cybersécurité Jason Haward-Grau, CISO de PAS Global, note que « l'automatisation de processus robotique est probablement bien plus intéressante, d'une perspective IA, que l'IA en sécurité. » Il argue que les vendeurs peuvent clamer qu'ils offrent de l'IA pour chaque problème, mais les entreprises devraient d'abord demander « De quoi mon organisation a-t-elle besoin ? » et puis déterminer si l'IA est la réponse.

Les niveaux de menace restent élevés. Une étude Kaspersky 2018 a trouvé que 49 % de 321 répondants industriels rapportaient au moins une attaque par an — un sous-reporting sous-estimant probablement le vrai chiffre.

Définir l'IA est lui-même un défi philosophique. L'auteur tech Jaron Lanier a averti en 2016 qu'avec une baseline mesurable, « vous êtes au pays de la fantaisie. » En pratique, cela signifie que beaucoup de systèmes étiquetés « smart » manquent d'ancrage empirique.

Cas d'usage concret : détection malware/anomalies

Avec une baseline réseau fiable et des algorithmes machine-learning robustes entraînés sur données suffisantes, l'IA peut flaguer les menaces vite et réduire les faux positifs. C'est particulièrement précieux vu la pénurie de talents cybersécurité.

Cependant, le succès dépend de la pertinence des données. Si le système ignore certains processus business, il peut générer de fausses alarmes. De plus, l'entraînement sur données défectueuses peut causer la classification de malware comme bénin. Les adversaires peuvent même reverse-engineer les features du modèle pour échapper à la détection.

Obstacles des environnements industriels

Les appareils OT n'utilisent souvent pas les protocoles IT standards, et les bus de contrôle legacy (ex: système de 25 ans) sont difficiles à interpréter pour l'IA. Haward-Grau a illustré cela avec un exemple de raffinerie : pendant que les 500 appareils IT peuvent être monitorés avec tracking réseau, les 28 500 endpoints OT de multiples vendeurs (ABB, Schneider Electric, Siemens, Yokogawa, Philips, GE, Honeywell) présentent un paysage de données fragmenté qui complique la traduction IA et la définition du comportement « bon ».

Le passage de « ce n'est qu'une question de temps avant qu'on soit breached » à « nous sommes déjà compromis » amplifie la complexité d'établir un comportement réseau normal. Une étude IBM-backed 2018 a montré qu'il faut en moyenne 197 jours aux entreprises pour détecter une violation — temps qui peut éroder la fiabilité des modèles machine-learning entraînés sur des topologies réseau évolutives.

L'IA tient la promesse pour la cybersécurité industrielle, mais l'adoption devrait commencer par des cas d'usage bien définis qui limitent la complexité des données. Comme l'a dit E.F. Schumacher : « Il faut une touche de génie — et beaucoup de courage — pour aller dans la direction opposée. » Pour les leaders industriels, cela signifie commencer par de petits projets gérables avant de scaler l'IA à travers tout leur paysage OT.