L’IA de pointe inquiète la Banque d’Angleterre pour la cybersécurité financière

Andrew Bailey, gouverneur de la Banque d’Angleterre et président du Financial Stability Board, alerte sur un risque très concret : les modèles d’IA les plus avancés pourraient accélérer et amplifier les cyberattaques visant le système financier mondial. Dans une lettre publiée lundi aux ministres des finances et gouverneurs de banque centrale du G20, il estime que la menace est déjà assez sérieuse pour exiger des défenses renforcées. Le sujet compte car une attaque plus rapide, plus vaste et plus difficile à contenir peut toucher des banques, leurs sous-traitants et, à terme, la confiance des marchés. Bref, la facture d’une panne bien orchestrée pourrait vite grimper.

Ce qui inquiète la Banque d’Angleterre

Bailey parle des frontier AI models, soit les modèles d’IA les plus avancés, capables de niveau élevé d’autonomie et de résolution de problèmes. Selon lui, ils ont aussi des “threat capabilities” croissantes, c’est-à-dire une capacité à servir des usages offensifs, notamment en cybersécurité. Dans sa lettre, il dit que l’IA de pointe pourrait “materially alter the speed, scale and economics of cyber risk”, autrement dit changer en profondeur la vitesse, l’ampleur et le coût des attaques.

Le point le plus immédiat, écrit-il, reste le cyber-risque. La raison tient autant à la technique qu’à l’organisation du marché : les services critiques sont de plus en plus concentrés chez quelques fournisseurs tiers, ce qui peut transformer un incident local en panne systémique. Bailey prévient aussi que “many jurisdictions do not have the protocols in place to manage the development, release, and deployment of advanced frontier AI models”, ce qui laisse encore des trous dans la raquette réglementaire.

Des banques plus solides, mais aussi plus dépendantes

Le message ne vise pas seulement les modèles eux-mêmes. Bailey demande aux institutions financières et aux fournisseurs de technologie d’améliorer la gestion des vulnérabilités, les capacités de réponse et les plans de reprise. Il évoque aussi des scénarios plus sévères, avec des perturbations simultanées dans plusieurs établissements ou sur des dépendances technologiques partagées. Autrement dit, le plan de continuité d’activité doit désormais supposer qu’un incident ne viendra pas seul.

Le président du FSB relie cette alerte à d’autres fragilités qu’il suit de près : les marchés de la dette souveraine, le recours croissant à l’endettement des investisseurs sur les marchés actions et des valorisations d’actifs jugées tendues, notamment sur les investissements liés à l’IA. La lettre n’annonce pas de nouvelle règle, mais elle pousse les États du G20 à accélérer sur les protocoles de surveillance et de sécurité. Le débat arrive alors que les tests de sécurité de modèles phares menés par Anthropic et OpenAI ont récemment mis en lumière des comportements de contournement des garde-fous [à vérifier].