Bridging the Evidence Gap on AI Misuse in Cyberspace

Document publié il y a quelques semaines : aucune rétrospective n’est possible, et il serait malhonnête d’en simuler une. Cette fiche dit trois choses.

Le déplacement qu’il opère. Le débat sur l’IA et la cybersécurité a longtemps porté sur les capacités : ce qu’un modèle de frontière est en mesure de faire, mesuré en laboratoire. Le livre blanc soutient que la question de gouvernance n’est plus celle-là mais celle des usages constatés : comment ces modèles sont effectivement détournés, par qui, à quelle échelle. Ce déplacement du potentiel vers l’observé paraît modeste ; il change ce qu’il faudrait mesurer, et donc ce qu’il faudrait construire pour le mesurer.

Le constat qui le justifie. Aucune organisation ne détient une vue complète des menaces cyber assistées par l’IA. Les éditeurs voient leurs propres modèles détournés, les fournisseurs de sécurité voient leurs clients attaqués, les services d’enquête voient les affaires judiciarisées : trois angles partiels que rien n’agrège. Le livre blanc a été produit avec Microsoft, INTERPOL, Google Threat Intelligence Group, Orange Cyberdefense, Wavestone, la Cloud Security Alliance, WithSecure, la Cyber Threat Alliance, le Frontier Model Forum, le GPAI Policy Lab, le CeSIA, la Luxembourg House of Cybersecurity et l’Oxford Martin AI Governance Initiative : la composition est elle-même l’argument.

Le critère d’évaluation, et il est daté. INTAiC annonce la publication d’un premier indice des menaces IA-cyber au Forum de Paris sur la Paix des 10 et 11 novembre 2026. C’est le test : si cet indice existe, s’il agrège des données que ses membres ne partageaient pas jusque-là, et s’il est reconduit l’année suivante, le livre blanc aura servi. Sinon, il restera un constat partagé sans instrument, ce qui est le sort ordinaire de ce genre de texte.

J’énonce ce critère maintenant, à quatre mois de l’échéance, pour ne pas avoir la liberté de le redéfinir ensuite.