Cyberattaques : Face à l’IA, les banques n’ont plus une minute à perdre

Découvrir une faille, l'exploiter puis enchaîner avec une intrusion. Les modèles d'intelligence artificielle les plus avancésaccélèrent désormais l'ensemble de la chaîne offensive . Dans une étude publiée le 9 septembre, l'Institut pour la stabilité financière(FSI) avertit que le délai séparant la découverte d'une vulnérabilité de son exploitation peut se réduire de plusieurs semaines à quelques minutes. Pour les banques, la difficulté n'est donc plus seulement de repérer les failles, mais d'autoriser et de déployer leurs correctifs suffisamment vite. Les auteurs appellent à revoir les procédures de validation, les calendriers de maintenance et les dispositifs de reprise après incident.

Points clés

• L'IA de frontière peut automatiser la découverte de vulnérabilités, la création d'exploits et plusieurs étapes d'une cyberattaque
• Le FSI estime que les cycles de correctifs planifiés deviennent insuffisants face à cette accélération
• Un incident impliquant des agents d'OpenAI et les systèmes de Hugging Face illustre les risques liés à l'autonomie accordée aux modèles
• Les superviseurs privilégient l'adaptation des règles existantes plutôt qu'un nouveau régime propre à l'IA

IA : De plusieurs semaines à quelques minutes pour exploiter une faille

L'< < IA de frontière > > désigne les modèles les plus performants disponibles à un moment donné. Contrairement aux générations précédentes, principalement utilisées pour améliorer des courriels de phishing ou produire du code malveillant, ces systèmes peuventrechercher des vulnérabilités et combiner plusieurs failles afin de construire une attaque plus complexe.

Le rapport ne prétend pas que toutes les vulnérabilités sont désormais exploitées en quelques minutes . Il souligne plutôt que cette fenêtre peut se contracter brutalement lorsque des agents disposent des outils, des autorisations et de la puissance de calcul nécessaires. Dans ce contexte, une faille laissée sans correctif devientrapidement une porte d'entrée.

L'étude revient notamment sur l'incident survenu en juillet 2026entre OpenAI et Hugging Face. Durant une évaluation interne, un agent utilisantGPT-5.6 Sol et un modèle expérimental plus puissant devait résoudre des exercices de cybersécurité. Il a finalement exploité une faille inconnue, quitté son environnement de test, obtenu des identifiants et exécuté du code non autorisé sur les systèmes de Hugging Face.

Les garde-fous habituels avaient toutefois été assouplis et d'importantes ressources avaient été accordées au modèle. L'incident ne démontre donc pas que les outils accessibles au public peuvent spontanément lancer de telles opérations. Il montre qu'un objectif légitime peut produire des conséquences imprévues lorsqu'un modèle performant est associé à un système lui permettant de planifier et d'agir avec une large autonomie.

Les autorités financières ne préparent pas, pour l'instant, un régime cyber entièrement consacré à l'intelligence artificielle. Elles cherchent plutôt à appliquer plus rapidement les principes existants : gestion des correctifs, contrôle des accès, segmentation des réseaux, tests de résistance et continuité des services critiques. Les banques doivent accélérer leurs correctifs et leur reprise

La Financial Conduct Authority britannique constate ainsi quela découverte des vulnérabilités accélère davantage que la capacité de réponse des entreprises. En Allemagne, la BaFin demande également aux établissements supervisés de raccourcir leurs processus de correction. À Hong Kong, l'autorité monétaire encourage les banquesà intégrer des attaques assistées par IA dans leurs exercices de crise.

L'Institute of International Finance , qui représente le secteur bancaire, va jusqu'à recommander l'application de correctifsen dehors des fenêtres habituelles de maintenance . Une interruption planifiée peut alors devenir préférable au maintien en production d'un logiciel vulnérable. Les recommandations volontaires duCross Market Operational Resilience Group britannique envisagent, de leur côté, des délais de réparation ramenés de plusieurs semaines à quelques jours, voire quelques heures.

En Europe, les tests de cyberrésiliencede la BCE et le règlement DORA (Digital Operational Resilience Act ) poursuivent la même logique : une institution doit pouvoir contenir une attaque, restaurer ses systèmes et continuer à fournir ses services essentiels. Le rapport insiste également sur les dépendances communes envers quelques fournisseurs de cloud, de logiciels ou d'IA, dont la défaillance pourrait toucher simultanément plusieurs établissements.

L'écosystème crypto connaît déjà cette exposition permanente, notamment avec des smart contracts accessibles sans interruption. Audits continus, bug bounties et surveillance on-chain peuvent offrir des enseignements utiles, mais ne constituent ni une pratique généralisée ni une garantie contre les piratages . La BRI ne présente d'ailleurs pas la cryptocomme un modèle : la comparaison montre surtout que, dans la finance comme dans les actifs numériques, la rapidité de détection et de réaction devient aussi importante que la prévention.

L'IA ne remplace donc pas les fondamentaux de la cybersécurité. Elle impose surtout de les exécuter beaucoup plus vite. Pour les banques, le prochain chantier sera autant organisationnel que technique : un correctif découvert en quelques minutes ne sert à rien si sa validation exige encore plusieurs semaines. Blockchain, crypto, stablecoin ou encore intelligence artificielle, les banques sont sur tous les fronts en ce moment.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.