L’Afrique doit se prémunir contre la montée des cybermenaces liées à l’IA
L’intelligence artificielle dote les campagnes d’influence et les cyberattaques d’une rapidité, d’une capacité d'échelle et d’une opacité accrues.
Le récent rapport d’Anthropic sur les menaces révèle comment des acteurs malveillants utilisent ses propres agents d’intelligence artificielle (IA) pour mener des cyberattaques, des opérations de surveillance et des campagnes d’influence en ligne. Les dirigeants africains devraient se montrer particulièrement vigilants, prévient-il, compte tenu du niveau relativement faible de compétences numériques sur le continent, des fractures numériques et de l’écart entre la vitesse de diffusion de l’IA et la lenteur des régulateurs. Les citoyens sont exposés au vol de données, à une surveillance à grande échelle et au risque d’être manipulés dans le cadre de campagnes d’influence basées sur l’IA.
Le rapport se concentre sur les usages malveillants de Claude, l’agent IA de l’entreprise, utilisé par environ 30 millions de personnes à travers le monde. Parmi les auteurs de ces campagnes figurent des institutions de propagande étatiques, leurs mandataires, des individus animés par des motivations politiques, des groupes criminels et des entités commerciales. Des cas concrets ont été recensés au Kenya, en République centrafricaine, en République démocratique du Congo, au Soudan et au Mali.
L’IA et la criminalité
L’IA ne sert pas seulement à produire des contenus trompeurs : elle permet aussi de changer d’échelle. Elle sert, par exemple, à générer rapidement de nombreuses publications sur les réseaux sociaux dans le cadre de campagnes d’influence, ou à écrire des dizaines de milliers de fragments de code malveillant capables de devancer une détection rapide. Entre de mauvaises mains, Claude peut analyser les réseaux informatiques à la recherche de vulnérabilités et identifier des cibles de hameçonnage. Interpol a récemment averti que 55 % des cybercrimes signalés en Afrique avaient été commis à l’aide de l’IA.
Actuellement, la plupart des intrusions impliquent une intervention humaine, selon Justin Hornsby, directeur des systèmes d’information d’Alpha Group, interrogé par ISS Today, mais des attaques entièrement automatisées pourraient voir le jour. Il souligne la nécessité de contrôles plus stricts, notamment des règles rigoureuses concernant les modèles d’IA utilisés par le personnel d’une organisation et des restrictions d’accès aux données.
L’IA sert non seulement à produire des contenus trompeurs, mais permet aussi de passer à échelle
L’enquête menée par Anthropic a révélé que ses agents IA avaient collecté des informations, mené des « missions de reconnaissance » et mis en place l’infrastructure nécessaire pour pirater une autorité technologique gouvernementale nord-africaine (dont le nom n’a pas été précisé). Plus de 300 000 dossiers d’identité nationaux et des données de 500 000 entreprises du pays ont été exposés.
Les vulnérabilités potentielles à l’échelle de l’Afrique sont considérables. Quelque 45 gouvernements utilisent désormais des systèmes numériques pour améliorer leur prestation de services, selon l’Agence de développement de l’Union africaine. Avec la généralisation de l’administration électronique, l’exposition aux risques liés à l’IA est vouée à augmenter, à moins que les contrôles de sécurité ne soient renforcés.
Certains modèles de Claude ont été utilisés dans le cadre d’opérations de surveillance au Mali ; Anthropic a révélé que cet agent pouvait contourner les mesures de protection pour cibler et établir le profil de personnalités de l’opposition. De même, les inquiétudes grandissent concernant les attaques par IA visant les caméras installées dans les rues sud-africaines et d’autres appareils connectés. Certains experts appellent l’Information Regulator, l’autorité sud-africaine de protection des données, à revoir ses règles, celles-ci peinant à suivre le rythme des évolutions technologiques. Mais c’est sans doute l’utilisation de Claude dans des campagnes d’influence à grande échelle menées dans divers pays africains qui a été la plus stupéfiante. Plusieurs de ces campagnes ont été associées à des acteurs étrangers, la Russie jouant un rôle clé.
Les menaces liées aux médias de synthèse
En République centrafricaine, des enquêteurs ont mis au jour un réseau de fausses stations de radio diffusant des contenus générés par l’IA. Ces acteurs utilisaient Claude pour supprimer la mise en forme, un indice permettant de reconnaître les contenus générés de manière synthétique. Cette pratique rend ces contenus plus difficiles à détecter, même par les systèmes d’IA défensifs. Des enquêtes menées dans le pays sur la manipulation de l’information ont révélé que des agents locaux engagés par le groupe russe Wagner avaient pour mission de produire des contenus pro-russes destinés au public local.
Plus de 300 000 dossiers d’identité nationaux et des données de 500 000 entreprises du pays ont été exposés
Anthropic affirme que la République démocratique du Congo était ciblée par un réseau de diffusion de fausses informations. Ses enquêteurs ont identifié 318 articles répartis sur plusieurs sites de désinformation, créés et alimentés grâce aux agents IA de l’entreprise. Selon elle, Claude semblait avoir « humanisé et peaufiné des lots de 50 sujets et tweets pré-rédigés », permettant ainsi la diffusion de quantités considérables de contenu sans modération humaine adéquate.
Claude a également été utilisé pour des campagnes d’influence menées localement, servant à générer des lots de 50 tweets conçus pour « ressembler à des commentaires spontanés émanant de la base plutôt qu’à une campagne coordonnée » en vue des élections kényanes de l’année prochaine. Parmi les fausses informations diffusées figurait celle selon laquelle l’opposition kényane était « en train de se désagréger ».
De telles campagnes d’« astroturfing », qui tentent d’imiter un engouement spontané, avaient déjà eu lieu lors des élections précédentes au Kenya. Comme dans les autres cas, Claude a planifié les campagnes, choisi les cibles et créé le contenu, en exploitant la capacité de l’IA à accélérer la diffusion de l’information.
Bien qu’Anthropic affirme avoir réussi à contrecarrer la plupart de ces campagnes, l’entreprise reconnaît devoir mieux les détecter et mieux les prévenir. Cela nécessite un partage de renseignements entre le secteur privé et les partenaires gouvernementaux. Or, le récent boycott d’Anthropic par le Pentagone aux États-Unis pourrait traduire une réticence des gouvernements et des entreprises technologiques à collaborer.
Dans des pays comme l’Afrique du Sud, qui est à la pointe de l’innovation endogène en IA sur le continent, une approche cloisonnée de la cybersécurité persiste. Les renseignements sur les menaces peuvent être partagés de manière informelle entre, par exemple, les banques et les services gouvernementaux, mais le partage systématique est lent. Le pays dispose d’un nouveau centre d’excellence africain en matière de cybersécurité, porté par le secteur privé, mais le centre de coordination de la cybersécurité dirigé par l’État, promis il y a dix ans au titre du Cadre national de politique de cybersécurité, ne s’est pas concrétisé.
L’adoption de règles de base sur l’usage de l’IA dans les pays africains constitue un premier pas important
Bien qu’elle soit de plus en plus vulnérable aux cyberattaques, l’Afrique du Sud ne dispose d’aucune stratégie dédiée à l’IA et les agences gouvernementales investissent deux tiers de moins que les entreprises dans la cybersécurité. L’État utilise également des systèmes obsolètes difficiles à mettre à jour, selon des experts s’exprimant lors d’une récente conférence technologique. À l’inverse, le Nigeria, qui est presque à égalité avec l’Afrique du Sud en matière de développement de l’IA, dispose d’une politique qui l’engage à un développement et un déploiement responsables et éthiques de l’IA.
Réglementations étatiques
Les révélations faites en septembre par OpenAI selon lesquelles ses agents IA avaient interagi avec des sites Internet du gouvernement américain de « manière inattendue », ainsi que des informations non confirmées indiquant que ces mêmes agents auraient tenté, sans succès, de pirater un site web du gouvernement américain, ont exacerbé les inquiétudes à l’échelle mondiale.
L’adoption de règles de base sur l’usage de l’IA dans les pays africains constitue un premier pas important. Les employés et les fonctionnaires qui expérimentent l’IA pourraient non seulement introduire des informations sensibles dans de grands modèles de langage publics, mais aussi s’exposer, ainsi que leurs organisations, à de nouvelles attaques.
Cet article a été publié initialement par ISS Today.
