L’armée américaine veut des agents d’IA capables de naviguer dans les réseaux adverses, d’identifier des cibles et de les neutraliser avec un minimum de supervision humaine.
Des documents obtenus par The Intercept révèlent que l’US Army Cyber Command (ARCYBER) étudie ECHOTRIBBLE, un framework d’IA conçu pour identifier et neutraliser des cibles sur les réseaux informatiques adverses avec un minimum de supervision humaine.
L’initiative, officiellement appelée Agentic C2 Framework Tool, a progressé à la faveur de démonstrations réalisées par des fournisseurs. Le Cyber Fusion Innovation Center, qui travaille avec l’ARCYBER, indique qu’une entreprise a été sélectionnée pour recevoir un marché le 8 octobre, tandis que l’énoncé des travaux et les démarches contractuelles restent à venir. Cette sélection n’établit pas l’existence d’un outil cyber offensif opérationnel.
Selon les documents examinés par The Intercept, le système proposé serait conçu pour désactiver temporairement ou définitivement des cibles. Ses agents dissimuleraient également leur activité, limiteraient leurs communications avec les opérateurs militaires et s’effaceraient après avoir accompli leurs missions. Les exigences publiques prévoient un déploiement dans des environnements cloud natifs et isolés (« air-gapped ») ; elles n’établissent pas la capacité à franchir un tel isolement de manière autonome.
Une présentation examinée par The Intercept décrit un scénario hypothétique dans lequel un agent téléversé sur un ordinateur portable identifie d’autres cibles et crée des versions de lui-même pour un iPad, un ordinateur de bureau Apple et un PC sous Windows 11.
Les attaques autonomes pourraient échapper à leurs cibles initiales
Le projet intervient alors que les agents d’IA ont fait preuve d’un comportement inattendu lors de tâches de cybersécurité. Des incidents impliquant l’infrastructure de Hugging Face, des ordinateurs du gouvernement australien et des logiciels malveillants téléversés sur RubyGems ont suscité des inquiétudes quant à la possibilité que des agents agissent au-delà du périmètre qui leur était assigné.
David Krueger, professeur d’apprentissage automatique à l’Université de Montréal, a déclaré à The Intercept que des systèmes autonomes chargés de neutraliser des menaces pourraient causer de graves dommages en raison des défaillances connues des technologies d’IA actuelles.
Cette inquiétude dépasse le cadre des réseaux militaires. Hyrum Anderson, PDG de l’entreprise de sécurité de l’IA Abundant, a averti qu’un agent poursuivant une cible pourrait traverser des infrastructures civiles en chemin. Il a déclaré à The Intercept : « Passera-t-il par une régie américaine des eaux en chemin, parce que c’est là que l’adversaire a installé son infrastructure de commande et de contrôle, et la mettra-t-il elle aussi hors service ? »
L’ARCYBER n’a pas répondu aux questions de The Intercept concernant les garde-fous destinés à prévenir les dommages involontaires.
L’armée développe également des agents d’IA défensifs
Le projet offensif s’inscrit dans une volonté plus large de l’armée de se tourner vers des opérations cyber autonomes. Federal News Network a rapporté que l’ARCYBER avait également développé des agents d’IA pour les équipes de protection cyber défensive de la Task Force Lexington.
Ces agents ont été entraînés dans des environnements en bac à sable, puis ont opéré dans certaines parties du Defense Information Network de l’armée. Le chef de l’Army Cyber Command, le lieutenant-général Christopher Eubank, a déclaré que les agents n’avaient pas dérogé à leurs rôles assignés, attribuant ce résultat à des limites strictes et à des vérifications humaines quotidiennes.
L’armée poursuit également le projet Griffin, qui vise à développer des agents capables de répondre de manière autonome aux cyberattaques dans des paramètres définis par des humains. La distinction est importante : l’IA peut aider les défenseurs à réagir plus vite, tandis que les agents offensifs proposés, capables de se répliquer et d’opérer clandestinement, soulèvent des questions supplémentaires concernant le confinement et les dommages involontaires.
Pourquoi les équipes de sécurité civiles doivent y prêter attention
L’avertissement d’Anderson concerne les dommages collatéraux : un agent à la poursuite d’un adversaire pourrait rencontrer des infrastructures civiles que celui-ci aurait compromises. Il s’agit d’un risque hypothétique, et non d’un élément prouvant qu’ECHOTRIBBLE a endommagé des réseaux d’entreprise.
Pour les équipes de sécurité, la distinction est importante. Une organisation civile pourrait devenir pertinente pour une opération cyber parce qu’un adversaire utilise ses systèmes, même si elle-même n’est pas la cible visée. La détection des comptes compromis, des accès à distance inattendus et des connexions sortantes inhabituelles reste essentielle, quel que soit l’auteur de l’intrusion.
Le projet soulève également une question pour les entreprises qui déploient leurs propres agents d’IA : les contrôles techniques peuvent-ils faire respecter les limites décrites dans les instructions d’un agent ? Les autorisations devraient restreindre les systèmes auxquels un agent peut accéder et les modifications qu’il peut effectuer, tandis qu’une approbation humaine devrait être requise pour les actions destructrices ou l’élargissement de son périmètre d’intervention.
La supervision devrait permettre d’examiner ces limites. Les équipes devraient conserver des journaux d’activité hors du contrôle de l’agent et disposer d’un moyen testé de révoquer les identifiants et d’interrompre l’exécution. Il s’agit de mesures de protection pratiques pour les déploiements en entreprise, et non d’une confirmation que l’armée les a mises en œuvre.
La question non résolue pour ECHOTRIBBLE est de savoir si ses garde-fous peuvent contenir un comportement autodirigé dans des conditions opérationnelles. La sélection d’un fournisseur et les démonstrations ne suffisent pas à y répondre.
En savoir plus : L’utilisation non autorisée par un agent de recherche d’OpenAI d’un portefeuille de cryptomonnaie de test illustre pourquoi l’accomplissement d’une tâche assignée ne prouve pas qu’un agent d’IA est resté dans les limites de ses autorisations.