9 min de lecture - Attaques d’automates assistées par l’IA : auditez les accès distants avant d’acheter des outils

Le 27 août, plus de cent organisations technologiques, financières et de sécurité ont soutenu une lettre ouverte appelant à renforcer la cyberdéfense. Selon ce texte, les attaques assistées par l'IA deviendront plus répandues et plus élaborées dans les prochains mois. Les signataires demandent notamment de corriger les faiblesses les plus risquées, de vérifier l'efficacité des correctifs et d'appliquer des mesures compensatoires quand un système essentiel ne peut pas être corrigé sans danger.

Cet avertissement mérite l'attention, mais il ne constitue pas un bon de commande pour un produit de sécurité fondé sur l'IA. Dans son article du 27 août, Axios relève que la lettre ne contient ni engagement, ni échéance, ni investissement précis de ses signataires. Une PME doit encore décider quelle exposition mérite d'abord son budget et le temps de ses équipes.

Pour les industriels, un avis conjoint des autorités américaines indique où commencer. L'avis de la CISA du 19 août sur les automates Siemens S7 décrit une menace active contre des installations situées aux États-Unis. Les autorités indiquent que les attaquants utilisent des scripts d'exploitation générés avec l'IA, des informations publiques et la bibliothèque python-snap7 pour imiter des outils de supervision légitimes et atteindre des automates exposés à Internet ou mal segmentés.

Le rapport n'établit pas qu'un site en France ou au Maroc a été ciblé. Il montre cependant comment un vieux problème de technologies opérationnelles évolue lorsque les attaquants peuvent produire et adapter leurs scripts plus vite. La question immédiate pour l'acheteur est donc simple : pouvez-vous prouver qui peut atteindre chaque automate, par quel chemin, et comment vous détecteriez une modification non autorisée ?

Commencez par l'exposition, pas par l'étiquette IA

Un automate programmable industriel, ou API dans la terminologie française, commande un équipement physique. Il peut se trouver derrière un poste d'ingénierie, une passerelle fournisseur, un pare-feu d'usine ou un service de maintenance à distance. Il arrive qu'un dirigeant ne le voie jamais dans l'inventaire informatique habituel, alors que la production en dépend.

L'avis de la CISA cite les familles Siemens S7-200, S7-300, S7-400, S7-1200 et S7-1500. Il demande aux exploitants d'inventorier les automates, de supprimer leur exposition à Internet, d'appliquer les correctifs, de renforcer les contrôles d'accès, de surveiller l'activité et de vérifier l'intégrité de la logique de commande. Il désigne aussi un angle mort fréquent : le propriétaire peut ignorer qu'un intégrateur ou un prestataire a laissé un accès distant exposé.

N'en déduisez pas que tout automate Siemens est vulnérable ou compromis. Le modèle, le micrologiciel, la configuration et la connectivité modifient le risque. L'avis indique aussi que le ciblage dépasse Siemens, tout en limitant ses constats techniques à l'activité observée.

La première revue doit suivre le chemin dont un attaquant aurait besoin, et non l'organigramme. Retracez l'adresse publique, le VPN, le bastion, le poste d'ingénierie, le compte de maintenance et l'automate. Ajoutez les chemins indirects d'un prestataire de services ou du fournisseur de la machine. Tant que personne ne peut dessiner ce parcours, l'entreprise ne peut pas déterminer si un nouvel outil de détection le couvre.

Demandez à l'intégrateur des preuves que vous conserverez

Pour chaque chemin distant, consignez le responsable métier et l'opérateur technique. Posez ensuite les questions suivantes :

• qui autorise l'accès, et si cette autorisation expire après l'intervention ;
• quels comptes nominatifs, appareils et réseaux sources peuvent se connecter ;
• si l'authentification multifacteur protège le point d'entrée distant ;
• où sont conservées les traces de session, de configuration et de changement ;
• comment le propriétaire peut suspendre l'accès sans attendre le fournisseur ;
• quand le chemin a été testé pour la dernière fois depuis un réseau non fiable.

Le mot « sécurisé » n'est pas une preuve de test. Demandez le schéma, une revue datée des accès et le résultat d'un essai contrôlé. Conservez-les dans un dépôt accessible au propriétaire pendant un incident. Conservez ce dossier hors du portail du fournisseur. Le contrat peut répartir les responsabilités ; l'équipe a encore besoin d'un moyen de révocation et de traces exploitables.

Définissez le mot « corrigé » avant de toucher à la production

Les équipes industrielles reportent parfois un correctif parce qu'un arrêt ou une incompatibilité pourrait causer plus de dommages que la faille connue. La lettre ouverte reconnaît ce problème et demande aux organisations d'appliquer et de vérifier des mesures compensatoires quand un service essentiel ne peut pas être corrigé sans perturber son fonctionnement. La CISA demande également de tester les mises à jour dans un environnement de développement et de vérifier leur compatibilité avec l'environnement opérationnel et les intégrations tierces.

Le statut « correctif planifié » est donc trop vague. Utilisez une fiche de traitement qui survivra au changement d'équipe :

La vérification doit provenir d'une observation différente de celle qui a produit le changement. Un ticket de pare-feu clôturé ne prouve pas que l'automate est devenu injoignable. Testez depuis le réseau non fiable pertinent, examinez le chemin obtenu et confirmez que la maintenance nécessaire fonctionne encore. Après une mise à jour du micrologiciel, consignez la version déployée et exécutez le test fonctionnel approuvé sur le processus physique.

Une ancienne copie de la logique de commande n'est pas un plan de reprise. Il faut aussi les outils et identifiants de restauration, un responsable autorisé et un essai prouvant que la procédure ne produit pas de comportement dangereux.

Surveillez les changements qui comptent pour le procédé

La CISA cite des signaux réseau et automate à rechercher : communications S7 inattendues, modifications de mémoire ou de logique, connexions depuis des emplacements inhabituels et activité sans ordre de travail correspondant. Une petite organisation ne dispose pas toujours d'un centre de supervision industrielle, mais elle peut relier quelques traces à forte valeur.

Rapprochez les sessions distantes des créneaux approuvés et les changements de l'automate d'un ordre de travail. Alertez lorsqu'un poste d'ingénierie emprunte un nouveau chemin ou qu'un automate change hors créneau. Une personne doit pouvoir recevoir l'alerte et savoir quelle action exécuter sans danger.

N'envoyez pas les journaux bruts des technologies opérationnelles vers un service d'IA avant d'avoir examiné, pour ce système, le chemin des données, les permissions, la conservation et l'accès du fournisseur. Un modèle défensif peut aider à regrouper les événements ou à préparer une enquête. Il ne sait pas si une modification est sans danger pour le procédé physique. Cette décision appartient à un opérateur qualifié.

Notre guide sur les garde-fous de cybersécurité pour le développement assisté par l'IA traite le logiciel généré. Dans l'industrie, l'acceptation exige aussi des preuves de sûreté du procédé et de reprise.

N'achetez une IA défensive que pour un écart mesuré

La lettre demande de rendre la défense assistée par l'IA plus accessible aux opérateurs d'infrastructures essentielles. L'acheteur doit malgré tout garder le contrôle du test.

Choisissez un écart révélé par la revue : actif inconnu exposé, sessions de maintenance sans changement associé ou file de faiblesses mal classée. Testez le produit sur des traces autorisées et assainies. Mesurez les cas à haut risque manqués, les fausses alertes et le temps d'analyse déplacé. Limitez les accès, gardez toute correction derrière une approbation et vérifiez l'export des constats si l'entreprise change de fournisseur.

Le guide du NIST sur le CSF 2.0 pour les petites entreprises relie gouvernance, inventaire, protection, détection, réponse et reprise. Le NIST le présente comme un point de départ. Il aide à repérer un achat qui absorberait le budget sans régler la responsabilité ou les accès fournisseurs.

Une séquence de 30 jours pour une PME industrielle

Pendant les 72 premières heures, désignez un responsable, trouvez les inventaires et demandez aux intégrateurs chaque chemin distant. Vérifiez l'exposition publique sans scanner agressivement la production. Faites remonter tout accès inconnu selon les procédures d'incident et de sûreté du site.

Dans la première semaine, classez les automates par conséquence physique et connectivité. Supprimez les accès sans objet, suspendez les identifiants orphelins et limitez les autres dans le temps. Préservez les traces avant tout changement si vous soupçonnez une compromission.

Testez ensuite les correctifs ou mesures compensatoires, la restauration et le rapprochement entre changements et ordres de travail. Le cahier d'achat vient après ; il nomme l'écart restant, la preuve attendue, la limite d'accès, l'opérateur et la condition de sortie.

Sources et limites

• L' appel collectif à renforcer la cyberdéfense, consulté le 28 août 2026, fournit l'avertissement actuel et les demandes sur la vérification des correctifs, les mesures compensatoires et le soutien aux défenseurs.
• L' avis conjoint AA26-231A de la CISA, publié le 19 août et consulté le 28 août 2026, documente la menace active visant des Siemens S7 aux États-Unis, les méthodes observées, les familles concernées et les mesures recommandées.
• L' article d'Axios du 27 août, consulté le 28 août 2026, date et rapporte indépendamment la lettre tout en relevant l'absence d'engagements, d'échéances ou d'investissements précis.
• Le guide du NIST sur le CSF 2.0 pour les petites entreprises, consulté le 28 août 2026, fournit la structure de risque métier utilisée pour examiner la gouvernance, la protection, la détection, la réponse et la reprise.

L'activité décrite par la CISA concerne des cibles américaines. Elle ne prouve ni compromission ni ciblage en France ou au Maroc. Les versions, l'exposition et les consignes des fournisseurs peuvent évoluer. La séquence d'audit et d'achat est une synthèse opérationnelle d'Exceev, pas une procédure approuvée par les sources ni un conseil juridique, réglementaire, de sûreté ou de réponse à incident. Toute modification industrielle doit suivre les validations habituelles du propriétaire en matière de sûreté, d'ingénierie et de gestion des changements.

Auditer le chemin d'accès

L'IA peut accélérer la production de scripts visant les systèmes industriels. Elle ne supprime pas le chemin d'entrée dans l'usine. Trouvez-le, nommez le propriétaire de l'accès distant, vérifiez chaque correction de l'extérieur et testez la reprise. Une IA défensive devient pertinente lorsqu'un écart mesurable subsiste.