Le Royaume-Uni annonce un ensemble de mesures contre les risques liés à l’IA et prolonge ses projets pilotes de cyberdéfense

Le gouvernement britannique a annoncé un ensemble de mesures le 12 octobre 2026 afin de protéger le Royaume-Uni contre les risques posés par des systèmes d’IA toujours plus puissants. Ces mesures comprennent la prolongation d’un programme de cyberdéfense consacré à l’IA de pointe, qui, selon le gouvernement, a déjà contribué à détecter et à corriger plus de 1 000 vulnérabilités potentielles dans les systèmes gouvernementaux.

L’annonce a été faite par le Cabinet Office, l’AI Security Institute (AISI), le National Cyber Security Centre (NCSC) et le Department for Digital, Culture, Media and Sport. Le ministre chargé de l’IA, Kanishka Narayan, a présenté les mesures à Base One, l’incubateur scientifique et technologique de l’Imperial College London, en plaidant pour une approche de la résilience mobilisant l’ensemble de la société. Il a averti qu’à mesure que les systèmes d’IA de pointe deviennent plus puissants et capables d’agir de manière autonome, les conséquences potentielles de défaillances ou d’utilisations malveillantes pourraient être bien plus graves.

« Je veux que le Royaume-Uni devienne l’un des pays les plus difficiles au monde à attaquer au moyen de l’intelligence artificielle », a déclaré Narayan. Il s’est engagé à légiférer chaque fois que nécessaire et à s’appuyer sur l’expertise scientifique, les capacités technologiques et les institutions britanniques pour comprendre des systèmes toujours plus puissants, contrer les menaces émergentes et réagir en cas de problème. Il a déclaré que les entreprises qui développent les systèmes d’IA les plus puissants au monde devraient tenir compte des avertissements de leurs scientifiques concernant les graves dangers, enquêter sur les comportements inattendus et s’abstenir de déployer tout système dont les risques ne peuvent être maîtrisés de manière adéquate.

Selon l’annonce, cette initiative s’appuie sur deux projets pilotes qui ont contribué à détecter et à corriger les vulnérabilités, ainsi qu’à repérer les cybermenaces potentielles. La prolongation du programme, a indiqué le gouvernement, contribuera à protéger les services publics dont la population dépend chaque jour, à réduire les risques à court terme et à favoriser une adoption à plus long terme dans l’ensemble du secteur public.

Modifications législatives en matière de cybersécurité et préparation aux incidents liés à l’IA

Le gouvernement a indiqué qu’il étudierait la possibilité de renforcer certaines dispositions du Cyber Security and Resilience Bill ainsi que le cadre réglementaire dans son ensemble, afin de mieux protéger les services essentiels, tels que les hôpitaux et les services publics, contre les risques émergents liés à l’IA, notamment le risque de perte de contrôle de l’IA, lorsque des systèmes autonomes échappent à la surveillance humaine. Il examinera également comment les incidents graves liés à l’IA et les quasi-accidents devraient être détectés et signalés, et comment en tirer rapidement des enseignements afin de réduire le risque de préjudices futurs. Les détails des éventuelles mesures seront définis avec les parlementaires, les experts techniques et les opérateurs chargés de leur mise en œuvre.

Des travaux sont également en cours avec le NCSC et l’AISI pour définir la réponse aux incidents impliquant des agents d’IA, c’est-à-dire des systèmes capables d’accomplir des tâches complexes avec peu de supervision humaine. Selon l’annonce, un tel incident pourrait se dérouler plus rapidement et avoir des répercussions plus étendues que d’autres incidents majeurs auxquels les gouvernements sont préparés à faire face. Relever ce défi nécessitera de nouvelles compétences et capacités.

Le programme s’étend également à la vérification de l’IA, un domaine émergent qui, selon l’annonce, consiste à vérifier si les affirmations concernant le développement, les tests et l’évaluation des systèmes d’IA résistent à un examen approfondi. Le gouvernement a indiqué que le Royaume-Uni était bien placé pour jouer un rôle de premier plan dans ce domaine et que de plus amples informations sur le soutien aux initiatives britanniques de vérification de l’IA seraient communiquées dans les mois à venir.

La ministre chargée de la cybersécurité, Liz Lloyd, a déclaré que les incidents cyber continuaient de perturber des organisations de toutes tailles, dans les secteurs privé et public, créant selon elle un impératif essentiel pour les activités des entreprises : garder une longueur d’avance en matière de cybersécurité. « En développant les projets pilotes qui mettent l’IA à l’essai pour protéger les services publics et en faisant avancer un projet de loi sur la cybersécurité afin de renforcer nos défenses, le gouvernement place la cybersécurité et la préparation à l’IA au cœur de l’avenir numérique du Royaume-Uni », a déclaré Lloyd.

Le projet pilote à l’origine des chiffres sur les vulnérabilités

Pour étayer ses chiffres, l’annonce cite une étude de cas publiée le 12 juin 2026 par le Department for Science, Innovation and Technology (DSIT) et le NCSC. Elle décrit un projet pilote dans le cadre duquel le Government Cyber Coordination Centre (GC3), un partenariat entre le NCSC et le DSIT, a organisé chaque semaine des hackathons en présentiel qui ont utilisé l’IA de pointe pour analyser des dépôts de code public dans l’ensemble de l’administration. En collaboration avec des spécialistes de l’AISI et du NCSC, les équipes ont cherché à détecter et à atténuer des vulnérabilités jusque-là inconnues avant qu’elles ne puissent être exploitées. Le GC3 n’a imposé aucune méthode unique : les équipes ont eu accès à des modèles et ont créé leurs propres outils.

L’étude de cas décrit plusieurs chaînes de traitement. Une équipe a soumis chaque dépôt public à une chaîne d’agents d’IA en six étapes (triage, validation, audit, traçage, évaluation et synthèse), où chaque étape lit le travail de la précédente et le remet en question, avec une procédure d’escalade manuelle : un membre de l’équipe vérifiait chaque ligne, contrôlait à nouveau l’exposition et traitait les faux positifs. Une autre équipe a d’abord utilisé des outils d’analyse classiques, notamment Gitleaks, Trivy, Semgrep et Hadolint, puis leur a ajouté trois étapes faisant appel à des modèles, consacrées à la détection, à l’analyse des chaînes d’attaque et au triage. Un troisième ministère a condensé un audit couvrant l’ensemble d’une organisation et des centaines de services en cinq Claude Skills spécialisées par domaine.

Les participants ont recensé 407 constats au total, notamment des failles critiques exposant des services au contournement de l’authentification, à l’exposition de données et à l’exécution de code à distance, indique l’étude de cas. Toutes les failles critiques ont été corrigées et aucun indice d’exploitation n’a été détecté pour aucun des constats, pour un coût de 13 000 £ en jetons dans neuf organisations gouvernementales au cours du mois. Les auteurs ont indiqué que les modèles avaient suivi des vulnérabilités au-delà des limites entre services, ce que les outils d’analyse traditionnels ne peuvent pas faire, et relié la logique métier aux détails techniques.

Un constat critique concernait d’anciennes GitHub Actions dans un dépôt prenant en charge un service numérique essentiel du gouvernement. Un commentaire spécialement conçu sur une demande de fusion ouverte pouvait permettre à un utilisateur externe de déclencher une chaîne de workflows, entraînant l’exécution de code à distance arbitraire sur l’exécuteur GitHub Actions et ouvrant potentiellement la voie à l’extraction des secrets et des jetons accessibles à ce workflow. GC3 lancera une deuxième phase du projet pilote avec davantage de ministères, des modèles supplémentaires et une extension du code public aux environnements à code source fermé.

Évaluations des modèles et programme élargi du gouvernement

Narayan a confirmé que les scientifiques de l’AISI mènent des évaluations rigoureuses de la dernière génération de modèles d’IA avancés, après avoir travaillé avec de grands développeurs d’IA et le gouvernement américain.

L’annonce renvoie également à une lettre ouverte aux chefs d’entreprise publiée le 15 avril 2026, dans laquelle la secrétaire d’État du DSIT, Liz Kendall, et le ministre de la Sécurité, Dan Jarvis, ont exhorté les entreprises à prendre la cybersécurité au sérieux au plus haut niveau de leur organisation, à appliquer correctement les mesures de base au moyen du programme Cyber Essentials du gouvernement et à suivre les conseils du NCSC, notamment en s’inscrivant à son service gratuit Early Warning, qui avertit les organisations des cyberattaques potentielles afin qu’elles puissent agir avant qu’un incident ne s’aggrave.

Selon l’annonce, ces mesures constituent les premières étapes d’un parcours plus long, et les travaux de plus grande ampleur sont pilotés par le groupe de travail du Premier ministre sur l’IA. L’annonce a rappelé l’engagement pris par le Premier ministre lors de l’Assemblée générale des Nations unies en septembre : faire tout le nécessaire pour protéger la population britannique contre les risques liés à l’IA à mesure qu’ils se présentent. Elle a également indiqué que l’IA sera au cœur de la présidence britannique du G20. Au cours des prochains mois, le groupe de travail se concentrera sur les domaines les plus touchés par l’IA, notamment la sécurité nationale, la croissance économique ainsi que l’avenir des services publics et de la main-d’œuvre.