Ne croyez pas les optimistes

En réponse à « Ne croyez pas les pessimistes », de Sam Clark et Pieter Haeck, POLITICO Europe, 24 septembre 2026.

En janvier 2026, le SGDSN publie la Stratégie nationale de cybersécurité 2026-2030. En avril, l'Agence nationale des titres sécurisés (ANTS) subit une fuite : environ 11,7 millions de comptes concernés. Le Gouvernement ajoute alors un plan d'urgence. Les 2 textes demandent à la cybersécurité de réparer un vice de construction et de pallier l'obsolescence des logiciels hérités. La stratégie nationale ne les nomme jamais.

L'État creuse des douves autour de systèmes conçus dans les années 1990, parfois bien avant. Aucune douve ne ramène à zéro la probabilité d'une pénétration. Les ministères empilent les protections, et le coût de la sécurisation explose. Cette hyper-sécurisation capte à son tour les budgets et retarde le remplacement des systèmes qu'elle protège. L'erreur reste invisible : chaque euro de cybersécurité ressemble à un euro de prudence. Il achète un sursis : la caution d'un système en sécurité provisoire, jusqu'à la prochaine attaque.

Le 24 septembre, POLITICO Europe titre : « Ne croyez pas les pessimistes ». Selon son chapeau, la peur masque « ce qui est en réalité un défi en matière de cybersécurité ». L'article oppose 2 camps.

Les pessimistes parlent surtout depuis la Silicon Valley et l'ONU. Jacob Coxon, ancien d'Anthropic, annonce une IA capable de « pirater n'importe quoi ». Elle pourrait même « tous nous tuer ».

Face à eux, les experts et les entreprises européennes de cybersécurité se disent réalistes. Leur mot d'ordre : concentrons-nous sur « le travail difficile de sécurisation du monde numérique ».

Chaque camp a raison sur un point. Les pessimistes mesurent bien la puissance de l'arme : l'IA sait désormais trouver et exploiter des failles logicielles. Les réalistes ont raison de refuser la panique : elle précipite des décisions mal pensées.

Ces réalistes sont pourtant des optimistes. Ils croient que l'IA offensive peut être contenue par leur arsenal. Il suffirait de sécuriser, de dépenser, d'ajouter des experts. Ce sont eux qui m'inquiètent.

En France, Vincent Strubel, directeur de l'ANSSI, soutient ce réalisme. Gérer les risques de l'IA « exigera un travail considérable, dans des délais très courts », écrit-il. Il a raison sur l'urgence.

Leur doctrine a reçu les budgets, les outils et les normes. Les compromissions persistent pourtant. Les registres de la CNIL en témoignent. En 2024 : 5 629 violations de données notifiées, 20 % de plus en un an. Plus de 33 millions d'assurés exposés par 2 opérateurs de tiers payant, Viamedis et Almerys. France Travail, puis l'ANTS. Les données des Français sont servies en buffet aux intrus.

Une arme qui traverse toutes les douves

POLITICO le reconnaît. Même les sceptiques voient dans les modèles d'IA de pointe des « outils cybernétiques d'une puissance exceptionnelle ». Selon Marcus Hutchins, OpenAI savait son modèle très performant pour exploiter les failles logicielles. Cet été, ses agents autonomes ont pénétré la plateforme Hugging Face lors d'un test.

Hutchins explique l'incident. OpenAI n'a pas créé de « barrières suffisantes entre les agents et Internet ». L'entreprise n'a pas non plus « suffisamment séparé les agents les uns des autres ». Le réaliste décrit ici un défaut de cloisonnement. Le défi que POLITICO nomme cybersécurité relève de l'architecture.

Une arme de cette violence perce, traverse, oblitère. Chaque défense qu'elle rencontre devient un point de passage.

Que lui opposent les réalistes de POLITICO ? Leur réponse, rapportée par l'article : « l'arsenal d'outils et de techniques de défense est déjà bien établi ».

Face aux armes à feu, les armuriers ont épaissi les plaques jusqu'à immobiliser le chevalier qu'elles protégeaient.

Cet arsenal est en grande partie importé. En décembre 2025, une étude pour le Parlement européen constate la domination des éditeurs américains et israéliens.

Je connais cet arsenal, y compris ses solutions françaises, de Stormshield à HarfangLab. Je sais fabriquer un système d'information, le démonter pièce par pièce et le remonter les yeux fermés. Je réponds de chaque mot de ce texte.

Tous ces outils servent la même doctrine. Ils protègent des applications conçues il y a 30 à 50 ans, pour quelques dizaines d'utilisateurs. Nombre d'entre elles ont été pensées pour un réseau fermé, réservé aux agents de l'administration. Chaque machine y faisait confiance à sa voisine, et cette confiance était raisonnable. Une donnée consultée restait sur un écran ou sur une feuille. Aucun réseau ne permettait de la copier et de la diffuser en masse.

Depuis, chaque besoin nouveau s'est greffé sur l'ancien, ajout après ajout, sans plan d'ensemble. Ces applications servent aujourd'hui des dizaines de milliers, parfois des millions d'accès. Citoyens et administrations y échangent leurs données. Les administrations le font pour exercer leur noble métier : appliquer les lois de la République, pour le bon fonctionnement de la nation.

Beaucoup ressemblent à un vieux château fort agrandi pendant des décennies : des tours, des ailes, des passages, peu de portes intérieures. Qui franchit le pont-levis circule d'une salle à l'autre. Plus personne n'ose toucher aux murs porteurs : la moindre modification peut tout faire s'effondrer. Ces murs abritent pourtant des décennies d'intelligence métier, dans un état de fragilité extrême. Chaque accès ouvert réclame sa protection. On creuse une douve de plus, et on remet de l'eau dans les anciennes. L'architecture applicative, l'architecture technique et l'architecture des données restent celles d'un autre siècle.

L'industrie de la cybersécurité regarde ce problème par son propre prisme : chaque faille appelle une protection de plus. Aucune protection ne ramène une application à l'usage pour lequel elle a été conçue.

Je nomme ce mécanisme l'Acharnement Thérapeutique Numérique. L'Acharnement Thérapeutique Numérique est la dépense de sécurité engagée pour maintenir en service des applications dont l'architecture ne correspond plus à leur exposition. Il offre à ces applications une fin de vie éternelle, avec des traitements toujours plus sophistiqués et des anesthésistes toujours plus nombreux, aux tarifs toujours plus opulents.

Un mal structurel soigné en urgence

Le 15 avril 2026, l'ANTS détecte un incident sur son portail. Environ 11,7 millions de comptes seraient concernés. Le 30 avril, le Premier ministre pose le diagnostic sur place : « beaucoup de systèmes datent des années 90 ». Puis : « le problème, il est structurel ». Il réclame « des solutions structurelles ».

La suite finance la cybersécurité. 200 millions d'euros pris sur France 2030. 40 actions prioritaires dans tous les ministères. Dès 2027, 5 % de chaque budget numérique ministériel réservés au cyber. La ministre du Numérique qualifie elle-même l'enveloppe de « mesure d'urgence ».

Le Gouvernement a fourni les 2 mots de ma thèse : un diagnostic structurel, suivi d'un budget d'urgence.

Chaque fuite déclenche le même réflexe. La méthode qui n'a pas empêché la fuite reçoit les fonds de la suivante. La protection de l'Existant dispose désormais d'une mécanique budgétaire explicite, fléchée et reconduite. Aucun mécanisme équivalent ne finance sa sortie.

La rareté aggrave le mécanisme. Selon l'OPIIEC, 71 % des entreprises peinent à recruter ces profils, et 15 000 postes devront être créés d'ici 2030. Les anesthésistes-réanimateurs du numérique sont rares. Selon le cabinet Morgan Philips, un RSSI expert en mission coûte de 1 100 à 1 300 euros par jour en Île-de-France. Ces tarifs reflètent un métier d'exception. L'expertise est rare, les missions longues, la disponibilité totale, de jour comme de nuit. C'est un métier d'urgence. Une faille ou un combat perdu peut y laisser de lourdes séquelles psychologiques. Ces équipes paient elles aussi le prix de l'architecture : elles protègent des systèmes qu'elles n'ont pas conçus et qu'elles ne peuvent pas remplacer. J'ai une pensée pour toutes les forces vives qui tiennent ces systèmes debout. Agents publics et prestataires, en exploitation, en maintenance ou en cybersécurité, tous vivent un stress extrême.

À la DGFiP, la Cour des comptes dénombrait en 2019 700 applications, dont certaines couches remontent aux années 1970. L'exploitation et la maintenance absorbaient 82 % de la dépense informatique. La Cour jugeait ces systèmes « globalement robustes ». La robustesse d'un système peut masquer l'usure de son architecture. Les équipes les tiennent debout, et le budget suit.

À mesure que l'architecture vieillit, une part croissante de la cybersécurité devient une mesure compensatoire. Les référentiels de sécurité nomment ainsi un contrôle ajouté quand le mécanisme principal manque. La cybersécurité compense alors en permanence les faiblesses d'une architecture d'un autre siècle.

Dans une architecture saine, la cybersécurité joue un autre rôle : une couche de durcissement, de détection et d'alerte, posée sur un cœur sûr par construction. Construire ce cœur relève du structurel. Ce chantier doit disposer de sa propre mécanique budgétaire.

Que faut-il donc financer ?

Renvoyez les douves

Dans les années 80, Frederick Jelinek dirige chez IBM les recherches sur la reconnaissance vocale. Une phrase lui est attribuée : « Chaque fois que je renvoie un linguiste, la performance du système augmente. » Son équipe cesse d'écrire des règles de grammaire. Les données enseignent la langue à la machine. Les modèles de langage d'aujourd'hui descendent de ce choix.

Âmes sensibles s'abstenir. Pour sécuriser les logiciels de l'État, renvoyez les douves, gardez leurs bâtisseurs et confiez-leur la maison suivante.

Les ingénieurs en cybersécurité accomplissent un travail considérable. Je vise la place que leur métier a prise. La cybersécurité dispose désormais d'une stratégie, de budgets fléchés et d'obligations mesurables. La sortie de l'Existant attend encore un appareil équivalent. Chaque euro de cybersécurité au-delà du durcissement risque de retarder la seule décision qui compte.

Cette décision porte un nom : la refonte.

Qui construit la maison ?

Le 30 avril, le Premier ministre trace une frontière. L'ANSSI, dit-il, ce sont « des pompiers et des policiers », là pour détecter, attribuer et réparer. Construire « la maison sécurisée » relèverait d'un autre métier.

ARIANE naîtra avant le 1er janvier 2027, avec une mission de standardisation et de sécurisation des infrastructures ministérielles. Son mandat dira si la refonte dispose enfin de son institution.

Ce qu'il faut retenir

Face à une IA devenue arme, la cybersécurité seule entretient une illusion. Elle promet une IA contenue par des douves toujours plus larges, autour d'architectures d'un autre siècle. L'Acharnement Thérapeutique Numérique consomme les budgets qui devraient financer la refonte. La cybersécurité doit redevenir une couche de durcissement, de détection et d'alerte, et la refonte disposer de sa propre mécanique budgétaire.

3 signaux doivent alerter un décideur. Le premier : un diagnostic structurel suivi d'un budget d'urgence. Des accès multipliés sur une application conçue pour quelques dizaines d'utilisateurs forment le deuxième. Le troisième tient à une institution qui sait sécuriser un système, sans que personne ne possède le pouvoir de décider sa fin.

Chaque année de réanimation coûte des années de refonte.

Qui, dans l'État, possède le pouvoir de décider qu'un système doit mourir, et de construire le suivant ?

Lis la tech avant qu'elle t'enlise.