Dans cette vague d’actualités sur les hackers IA à Taïwan, ce qui m’a le plus sidéré, ce n’est pas le mot « hacker », mais le fait que 12 agents aient travaillé en équipe, avec une répartition des tâches aussi précise que dans une équipe projet montée à la hâte : certains se chargeaient de repérer les actifs et les interfaces publiques, d’autres rédigeaient spécialement des messages d’hameçonnage, d’autres encore élevaient les privilèges, se déplaçaient latéralement, ou empaquetaient les données pour les exfiltrer et effaçaient les traces. Ils se transmettaient aussi mutuellement les résultats ; leur coordination était meilleure que celle de mon équipe au travail. J’ai entendu dire qu’ils avaient même osé toucher aux dossiers de régulation des urgences. On n’est donc plus dans le simple bourrage d’identifiants ou le vol de comptes : les dossiers de régulation des urgences contiennent généralement des champs comme l’adresse, la description de l’état du patient, le niveau de priorité, l’heure d’envoi des secours et les coordonnées des contacts. S’ils sont modifiés ou divulgués, le résultat peut aller d’une atteinte à la vie privée à des conséquences graves sur les décisions d’envoi des secours et l’allocation des ressources. Par exemple, si une adresse est mal modifiée, les opérateurs peuvent devoir passer plusieurs appels pour la confirmer ; si le niveau de priorité est ajusté de façon malveillante, les conséquences sont encore plus inquiétantes.

D’après la description des faits, cette opération était très personnalisée : il ne s’agissait pas de lancer un script générique sur toutes les cibles, mais d’adapter la méthode aux champs, aux autorisations et aux processus métier du système visé. Même les chaînes applicatives L3 devraient les appeler « maître ». En clair, cela ressemble à du « sur mesure, à la commande » : d’abord repérer les lieux, puis découper les tâches, et enfin faire intervenir les agents pour mener l’opération à son terme. Chacun des 12 agents s’occupait d’une partie ; prise séparément, chaque étape n’avait rien d’extraordinaire, mais, une fois assemblées, elles posaient un vrai problème.

Ça m’a aussi fait penser aux ordres stop-loss en trading. La dernière fois, j’avais placé mon stop-loss trop près, en me disant que je limiterais les pertes, mais je me suis fait sortir deux fois : une première fois à cause d’une fluctuation normale, et une deuxième juste avant le rebond. J’ai complètement perdu mes moyens. Maintenant, j’ai retenu la leçon : je le place plus loin, au moins pour éviter d’être pris à contre-pied par mon propre camp. Je ne dis pas qu’il faut renoncer à la gestion des risques, mais qu’il ne faut pas placer son stop-loss à un niveau trop facilement touché par le bruit du marché. Il faut d’abord laisser de l’espace à la stratégie, puis penser à son exécution. Les hackers IA misent sur la coordination ; en trading aussi, il faut un système : la taille de position, le stop-loss et l’analyse après coup doivent chacun jouer leur rôle. Ne laissez pas un stop-loss placé trop près faire dérailler tout votre plan. Qu’en pensez-vous ?