La Financial Conduct Authority (FCA), le régulateur financier britannique, a publié début septembre 2026 une analyse conjointe avec la Banque d’Angleterre et le Trésor britannique, alertant sur un phénomène inattendu : les modèles d’intelligence artificielle les plus avancés détectent désormais les failles de sécurité informatique plus vite que les établissements financiers ne parviennent à les corriger.
Une capacité qui dépasse déjà l’humain
Selon l’analyse publiée par la FCA, les capacités cyber des modèles d’IA de pointe dépassent déjà ce qu’un expert en sécurité qualifié pourrait accomplir seul, avec une rapidité, une échelle et un coût largement inférieurs. Un même modèle peut ainsi analyser en continu l’ensemble de l’infrastructure numérique d’une banque et identifier des dizaines de vulnérabilités potentielles là où une équipe humaine aurait mis des semaines à en repérer une poignée.
Un problème de capacité de traitement plutôt que de détection
Le paradoxe souligné par le régulateur ne concerne pas la détection elle-même, plutôt bénéfique en théorie, mais la capacité des équipes humaines à traiter le flux continu d’alertes ainsi généré. La FCA parle d’un phénomène de goulot d’étranglement des vulnérabilités, les entreprises se retrouvant submergées par un volume de failles identifiées largement supérieur à leur capacité réelle de correction, ce qui peut in fine créer une fausse impression de sécurité si les failles signalées restent non corrigées pendant des semaines.
Et du côté français
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) tient un discours plus mesuré sur le sujet. Dans ses publications de 2026, l’agence indique n’avoir connaissance d’aucune cyberattaque menée contre des acteurs français à l’aide d’une IA autonome capable de conduire seule une chaîne d’attaque complète. Elle reconnaît toutefois qu’il est plausible que ces technologies augmentent à terme le niveau, la quantité et l’efficacité des attaques contre les environnements mal sécurisés, un constat qui rejoint indirectement celui de la FCA sur le versant défensif. L’ANSSI rappelle par ailleurs que près de 29 % des vulnérabilités exploitées en 2025 l’ont été le jour même de leur publication, un chiffre qui illustre à quel point la fenêtre de réaction des entreprises est déjà réduite, avec ou sans intelligence artificielle.
Le risque d’instabilité opérationnelle
Le régulateur met en garde contre la tentation d’accélérer à tout prix les processus de correction pour absorber ce flux, un rythme trop soutenu pouvant lui-même créer de l’instabilité opérationnelle au sein des systèmes bancaires. Les équipes de remédiation, les ressources d’ingénierie et les processus de gestion du changement se retrouvent ainsi sous une pression nouvelle, directement causée par l’efficacité même des outils censés renforcer la sécurité.
Un signal qui dépasse le seul secteur bancaire
Cette alerte, bien que centrée sur le secteur financier britannique, fait écho à la lettre ouverte publiée récemment par une centaine d’entreprises technologiques et financières mondiales, dont OpenAI, Google, Microsoft et Visa, sur le risque grandissant des cyberattaques pilotées par IA. Les deux textes convergent vers un même constat : l’intelligence artificielle transforme aussi vite les moyens de défense que les moyens d’attaque, un enjeu qui touche aussi les agents IA autonomes du type de Muse, l’assistant personnel lancé par Meta, dont l’architecture de sécurité a justement été pensée pour limiter ce genre de dérive.
Source : FCA, Bank of England and Treasury joint statement on frontier AI models and cyber resilience