Contexte et mise en garde
Dans une lettre adressée aux ministres des Finances du G20 et aux gouverneurs de banques centrales, Andrew Bailey, gouverneur de la Banque d'Angleterre et président du Financial Stability Board, a souligné que l'intelligence artificielle avancée constitue une nouvelle source de fragilité pour l'infrastructure financière. Il cite notamment les valorisations d'actifs étirées du marché IA et les mécanismes de dette circulaire entre les start‑ups IA et les hyperscalers comme des points de tension susceptibles de déclencher une correction du système.
Mécanismes de vulnérabilité
Bailey rappelle que les grandes institutions d'investissement réalisent chaque jour des milliers de transactions, souvent via les mêmes fournisseurs technologiques. Cette interdépendance crée un vecteur de propagation : une compromission d'un fournisseur tiers peut simultanément affecter plusieurs banques. Il met également en avant la capacité des modèles de langage de nouvelle génération à identifier rapidement des failles logicielles, ce qui accélère la découverte d'exploits mais impose aux banques de déployer des correctifs à un rythme inédit. Le processus traditionnel de test de correctifs, majoritairement manuel, devient alors un goulot d'étranglement critique.
Recommandations et limites
Pour contrer ces risques, Bailey propose plusieurs mesures concrètes. Il recommande aux décideurs de préparer des scénarios de perturbation impliquant plusieurs institutions ou fournisseurs simultanément, et d’instaurer des procédures de restauration « bare metal », c’est‑à‑dire la capacité à réinstaller les systèmes à partir de serveurs dépourvus de système d’exploitation après un incident majeur. Il insiste également sur la nécessité d'accélérer le cycle de mise à jour en automatisant les tests de correctifs, tout en soulignant que les outils d'IA dédiés à la cybersécurité peuvent renforcer la défense. Toutefois, la lettre ne fournit pas de métriques chiffrées sur la probabilité d'attaque ni sur le temps de récupération cible, ce qui limite l'évaluation précise de l'efficacité des mesures proposées. De plus, la mise en œuvre dépend largement d'une coopération volontaire entre banques, fournisseurs cloud et acteurs réglementaires, sans cadre contraignant clairement défini.
