Commission de la défense : Mme Christine Dugoin Clément, chercheuse à Paris 1 Panthéon Sorbonne, et M. Jean François Pelliard, chercheur et dir de la Fondation Méditerranéenne d'Études Stratégiques ; M. Vincent Strubel, dg de l'ANSSI
Legend
Transcript markers
- text Sentence being played
- text Search result
- text Intervention cited by the link you opened
Click a sentence to play the video from that moment. Select text to quote it with the speaker, timestamp and link.
More options
Offset
Transcript offset
Export
Live capture
Versions of this video
Transcripts may differ slightly from one version to another.
Défense (commission) Assemblée nationale
Christine Dugoin Clément
Mais depuis cette date, il y a dix ans maintenant, le paysage a profondément évolué. Les acteurs se sont multipliés, les méthodes se sont professionnalisées, les technologies ont considérablement abaissé le coût d'entrée pour ces acteurs. Et surtout, les opérations s'inscrivent désormais dans un contexte géopolitique, vous l'avez soulevé, qui est marqué par une montée des tensions internationales, qu'il s'agisse de conflits ouverts, nous en avons plusieurs exemples, ou d'actions qui vont être menées en dessous du seuil de confrontation directe. Là encore, nous avons énormément d'exemples et l'influence est un des leviers particulièrement utilisés dans ce genre de confrontation. Ce n'est donc pas un hasard si les campagnes d'influence et de désinformation se multiplient aujourd'hui.
Elles répondent à des objectifs géopolitiques, géoéconomiques ou idéologiques et elles prospèrent également parce que l'environnement technologique le leur permet et leur est favorable.
Non pas que la technologie soit bonne ou mauvaise, mais elle offre des opportunités qui seront alors saisies. Je structurerai donc mon propos autour de trois idées principales puisqu'il fallait choisir, mais je me tiendrai à votre disposition pour toute question. D'abord les effets des transformations technologiques que je traiterai assez rapidement, ensuite l'émergence d'un continuum d'acteurs qui a vraiment changé le paysage et qu'il faut prendre en compte, et enfin l'évolution des finalités recherchées par ces opérations d'influence. Si nous parlons de la transformation technologique et qui ont permis ce changement d'échelle, ce changement de vitesse des opérations, et bien les nouvelles technos, y compris les intelligences artificielles et particulièrement génératives, ont profondément transformé les capacités des actions d'acteurs de l'influence.
Elles permettent une montée d'échelle de ces opérations, un abaissement considérable des coûts par la démocratisation de ces outils et une contraction du temps et des distances. Produire des contenus manipulatoires, c'est désormais extrêmement rapide, ça peut être peu coûteux et accessible à des acteurs qui, finalement, hier encore, n'auraient pas disposé de ressources nécessaires. Il est aujourd'hui possible de réécrire automatiquement des articles, vous le savez, de générer des images crédibles, de produire des vidéos synthétiques, d'imiter des voix humaines avec un niveau de réalisme croissant, de plus en plus souvent indétectable à l'œil humain.
On peut même réaliser des cartes quasiment en temps réel, ce qui a un impact dans les cas de conflits. Dès lors, la production industrielle de contenu informationnel n'est plus réservée à des structures étatiques ou à des organisations fortement financées. Cette démocratisation des technologies constitue un changement majeur. Internet permet par ailleurs la diffusion quasi instantanée à l'échelle mondiale. Une opération lancée depuis l'étranger peut atteindre en quelques minutes des publics partout sur un territoire national, qu'il soit ici ou qu'il soit ailleurs.
À titre d'exemple, si vous voulez produire des contenus avec rapidité, et bien maintenant avec de l'IA générative, que vous voliez le matériel original, cela se fait, des articles, et que vous demandiez à un système d'en faire une réécriture tronquée, ou que vous le créiez ex nihilo à l'aide d'un prompt, et bien vous n'avez plus besoin de recruter ou de payer des journalistes ou des auteurs pour réaliser cette action.
Autre changement notable, elle se lit pour moi dans l'agilité acquise par les différents opérateurs d'influence. Je prendrai un exemple. Une opération connue sous l'appellation de Matriochka, il y en a eu beaucoup, hein, documentée ces dernières années. Le procédé était relativement simple, il s'agissait d'usurper l'identité de chercheurs et d'experts qui disposaient d'une crédibilité et d'une légitimité assez forte au niveau du public. La vidéo, diffusée sur les réseaux sociaux, commençait par une prise de parole apparemment authentique et puis on avait une voix off, des images diffusées, des contenus qui étaient alignés avec le narratif russe avant de revenir sur le visage usurpé de ce chercheur.
Ce qui a marqué les observateurs, ce n'est pas tant ce que je viens de vous décrire, qui est une action d'usurpation somme toute assez classique. Ce qui a été marquant par contre, c'est que cette action a été menée de manière simultanée sur deux plateformes, à savoir à l'époque X et BlueSky, au moment où beaucoup d'utilisateurs de X, et bien, faisaient une migration vers la plateforme BlueSky. Ce que cela démontre, c'est que les opérateurs d'influence ne sont pas dépendants d'un espace numérique unique et ils vont suivre les migrations des publics avec une extrême réactivité et une rapidité d'adaptation.
En outre, les plateformes ne doivent plus être pensées de manière isolée. Elles forment désormais un écosystème qui est interconnecté. Et cette interconnexion des plateformes produit un autre effet. Elle permet de déplacer progressivement les utilisateurs vers des espaces moins modérés qui vont aussi permettre et faciliter une monétisation de ces publications. C'est-à-dire que l'influence peut elle-même générer et bien de l'argent.
Alors certes, pas forcément sur des montants colossaux, mais le coût s'étant abaissé, et bien cela compte quand même. L'intérêt opérationnel, il sera triple car les interconnexions, elles permettent d'accroître non seulement la diffusion de discours plus radicaux quand on va muter sur ces plateformes moins modérées, la levée de fonds que j'ai évoquée et le recrutement d'agents jetables, j'y reviendrai.
Nous avons en effet, nous savons en effet que les plateformes permettent d'envoyer les internautes vers d'autres réseaux moins modérés et ces espaces deviennent facilitent la polarisation et peuvent même devenir des espaces d'incitation de passage à l'acte, y compris de sabotage, vous l'avez évoqué dans votre propos introductif Monsieur le Président. Je vais revenir maintenant sur le phénomène dit des agents jetables qui est une illustration assez préoccupante et qui montre aussi que l'influence n'est pas que numérique et qu'il faut aussi intégrer le monde tangible, le monde physique. Le principe des agents jetables est relativement simple : recruter, souvent pour des sommes modestes, des individus chargés de réaliser des actions assez simples dans le monde réel.
Ces actions peuvent être mineures, photographier un site sensible par exemple, coller des affiches, provoquer des dégradations ou allumer, déclencher un incendie. Elles peuvent également être beaucoup plus graves dans certains cas, allant jusqu'à des dépôts d'explosifs, rétribués par des sommes plus importantes. L'objectif n'est pas uniquement l'action elle-même. L'objectif est de produire un fait exploitable informationnellement. Autrement dit, de donner une matérialité visible à un narratif qui est déjà diffusé en ligne ou un narratif qui sera ensuite diffusé en ligne.
Elles permettront à tout un chacun d'observer dans le monde tangible des faits qui confortent un narratif qui sera largement diffusé, le rendant par la même particulièrement crédible et réaliste.
La temporalité peut être montante ou descendante. Je l'ai dit, l'action dans le monde réel peut être l'objet d'une médiatisation ultérieure qui passera par des réseaux organisés comme par exemple le Pravda, largement documenté par Viginum. Ou a contrario, l'action dans le monde réel pourrait être une illustration d'un narratif diffusé. C'est un point fondamental. Lorsqu'un des contenus numériques trouve une traduction tangible dans le réel, la crédibilité augmente considérablement aux yeux du public, particulièrement de celui qui en aura été témoin.
Nous entrons alors dans une logique où l'espace informationnel et le monde physique se renforcent mutuellement. Concernant la mécanique des agents jetables, elle touche aujourd'hui des publics particulièrement vulnérables, à savoir les mineurs. Des recrutements sont aujourd'hui observés via les messageries liées aux jeux vidéo et via les plateformes de trafic de stupéfiants et de médicaments contrefaits gérés par des groupes de crime organisé, complices de l'action de recrutement souvent menée par des services étatiques, ce qui signe par la même une forme de collaboration. Deux mécaniques sont utilisées : incitation et coercition.
Dans certains cas, les jeunes sont attirés par la promesse soit d'un gain financier, d'un petit travail, d'avantages dans le jeu, quand ils ne pensent pas réaliser une tâche qui prend un aspect de mission dans un aspect de gamification qui sera récompensée dans le même jeu. Dans d'autres cas, et bien c'est un mécanisme de coercition avec menace en utilisant des informations personnelles que le jeune aura diffusées sans réellement s'en rendre compte au fur et à mesure de ses échanges sur la plateforme.
Ces mécanismes ont de longue date été utilisés par le crime organisé pour leurs propres besoins, notamment pour l'organisation de points de deal. Mais ils permettent maintenant des passerelles avec le recrutement d'agents jetables pour des finalités géopolitiques. Là encore, outre l'impact dans le monde réel et l'action elle-même, les opérations informationnelles pourront récupérer ensuite ces événements pour nourrir le narratif servant des objectifs géopolitiques. Le phénomène est loin d'être anodin. En juin 2025, le SBU, le service de sécurité d'Ukraine, a rapporté que parmi les 700 individus arrêtés au cours des 18 mois précédents pour des faits d'espionnage et de sabotage, environ un quart étaient des jeunes âgés de moins de 18 ans.
Nous devons donc sortir d'une vision cloisonnée des menaces pour appréhender le phénomène comme un fonctionnement en écosystème, ce qui m'amène à parler du continuum d'acteurs qui est de plus en plus dense. Les évolutions que je viens de citer s'accompagnent d'une diversification importante des acteurs impliqués. Les services étatiques demeurent centraux, certains certains États disposent de structures dédiées aux opérations informationnelles. Mais ils ne sont plus les seuls. Autour d'eux gravitent désormais des structures para-étatiques, des sociétés privées, des petites officines d'influence, des groupes criminels et cybercriminels qui peuvent être instrumentalisés, des intermédiaires opportunistes et une multitude d'acteurs individuels.
L'influence est devenue un marché. Certaines entreprises proposent aujourd'hui des prestations d'influence comme d'autres vendraient un service de communication ou de cybersécurité.
Cette privation ouvre également, cette privatisation ouvre également un espace à des structures plus petites, des micro-entreprises, des indépendants ou des groupes opportunistes. Pour certains acteurs, participer à une campagne de désinformation devient un moyen de financement, mais aussi un moyen d'acquérir des compétences, voire de construire une réputation revendable ensuite à d'autres acteurs plus importants. Nous observons donc un véritable continuum d'acteurs où les frontières deviennent de plus en plus poreuses et cette porosité produit un autre effet majeur : la circulation rapide des méthodes. Les techniques et méthodes se diffusent de plus en plus vite au sein de cet écosystème, que ce soit par des contrats, par des accords, par imitation ou par simple observation. Nous assistons ainsi à une fertilisation croisée permanente des outils, des récits et des modes opératoires.
Autre effet du développement de ce continuum d'acteur, on observe une capacité, et il faut que je me dépêche, très rapide de rebond...
Christine Dugoin Clément
Le sujet est dense et déjà j'ai coupé dans les virages de partout et j'ai écrit pour la première fois de ma vie pour ne pas trop dépasser le temps.
Allez-y.
Christine Dugoin Clément
Donc on a observé dans ce continuum une capacité très très rapide de rebond sur tous les sujets, c'est-à-dire que tout va être sujet à être repris, notamment grâce à un pré-positionnement dans les réseaux de cette diversité d'acteurs du continuum. Une autre conséquence est l'apparition d'alliances contextuelles parfois surprenantes entre des acteurs n'ayant sur le principe pas d'accointance évidente mais qui bénéficieront par rebond du trouble induit par l'opération initiale.
Ces partenariats contextuels et volatils participent à complexifier la lecture des campagnes mais aussi à pouvoir renforcer certaines autres qui bénéficieront d'un soutien inattendu si ce n'est inespéré dans la diffusion. Mon dernier point, la finalité, on est passé du faux au doute puis du doute au désengagement total. Même si les mesures des effets des actions restent encore quelque chose de délicat à réaliser, notamment pour les chercheurs, il est important de s'interroger sur l'évolution des finalités qui sont poursuivies.
Dans une première phase, la désinformation poursuivait principalement un objectif qui était de faire de prendre du faux pour du vrai. On a notamment vu la diffusion de fausses informations pour tromper, pour manipuler, quelque chose de classique. Une seconde phase, qui ne s'est pas suppléée mais qui s'est ajoutée à la première, est apparue et l'idée était non plus de convaincre mais de désorienter. L'objectif devient alors de casser la confiance. La confiance dans les institutions, dans les médias, entre groupes sociaux, dans les individus.
Or une société qui ne partage plus un socle commun de confiance, et bien devient mécaniquement plus vulnérable aux fragmentations et aux radicalisations. Nous sommes aujourd'hui entrés dans une troisième phase, une phase dans laquelle le risque n'est plus seulement de croire de fausses informations, n'est plus de ne pas avoir confiance mais bien de ne plus croire en rien.
Les progrès en intelligence artificielle générative, qui permettent de créer des hypertrucages de plus en plus réalistes et de moins en moins détectables à l'œil nu, accélèrent ce phénomène. Dès lors, même des preuves visuelles ou sonores perdent progressivement leur valeur de référence. C'est un basculement profond. Dans un environnement qui devient saturé par les incertitudes, certains acteurs ne cherchent plus à imposer une vérité, mais vont travailler sur une vision du monde, souvent du monde de demain, une vision simple, une vision structurante. Et lorsqu'un individu adhère à cette vision, eh bien la vérification factuelle perd progressivement de son efficacité, ce qui représente un enjeu démocratique pour les années à venir.
J'ai largement étalé le temps et un petit peu dépassé le temps qui m'était imparti. D'autres sujets mériteraient d'être traités : la gamification, l'usage des IA, notamment en essaim, l'usage des IA dites compagnons. Et je me tiens à votre disposition si vous voulez creuser ces sujets. Merci pour votre attention et pardon pour le temps.
Jean-Michel Jacques
Merci beaucoup, ne vous inquiétez pas pour le temps, mais vous nous avez mis en appétit. Je pense que vous allez être rattrapée par les questions. En tout cas, votre propos me rappelle les travaux de la Red Team, je ne sais pas si vous vous souvenez, je ne sais pas si vous connaissez la Red Team, avec ses bulles de vérité ou ses citadelles de vérité qu'on va devoir construire. Enfin, c'est incroyable, mais votre description est tellement vraie en plus. C'est passionnant et sans plus tarder, Monsieur, je vous cède la parole.
Speaker 4
Merci, monsieur le président. Mesdames et messieurs les députés, l'Observatoire Marine 2040 confié à la Fondation Méditerranéenne d'Études Stratégiques aborde chaque année une thématique d'étude au profit de la Marine nationale. La thématique de l'année écoulée portait sur les outre-mer. C'est à ce titre que j'interviens aujourd'hui devant cette commission pour évoquer les enjeux de la guerre hybride sur ces territoires, et je vous remercie de me donner l'occasion de le faire. Je vais m'efforcer de répondre à deux questions simples.
Premièrement, pourquoi les outre-mer français sont-ils particulièrement exposés à la guerre hybride ? Ensuite, comment les protéger ? Quelles orientations prendre pour protéger ces territoires contre ces attaques ? Je ne m'attarderai pas sur la nature de la guerre hybride qui a déjà été fort bien exposée par ma voisine et dont l'étude n'était pas au cœur de nos travaux.
Mais en premier lieu, je ferai un constat : le monde change. On ne peut plus aborder les outre-mer comme on le faisait il y a quelques années. Le monde se déseuropéanise, mais la France, grâce aux outre-mer, n'est pas seulement européenne. Les outre-mer sont aujourd'hui une chance pour la France. Ils ont la capacité à rebondir à partir de ce que leur non-européanité peut apporter à la France : une compréhension du monde, une capacité autonome d'influence, d'action et de développement économique.
Ce sont des enjeux stratégiques pour notre pays et à ce titre la FMES, qui d'ailleurs changera de nom au 1er juin pour devenir la Fondation pour la maîtrise des enjeux stratégiques, à ce titre donc la FMES s'y intéresse. Nous avons donc à la FMES cette vision résolument optimiste pour ces territoires, pour autant nous sommes tout à fait conscients de leurs faiblesses actuelles et ceci m'amène à la première question à laquelle je me propose de répondre : pourquoi les outre-mer sont-ils exposés à la guerre hybride ? La réponse pour moi tient en deux mots : la facilité et la volonté. La facilité d'abord : les outre-mer sont vulnérables, ils donnent prise à la guerre hybride et ces vulnérabilités sont nombreuses. Tout d'abord, ils sont fortement exposés à des événements naturels extrêmes d'origine tellurique ou météorologique.
Ces risques sont amplifiés par le dérèglement climatique.
Ils connaissent une plus grande fragilité sociale que la France continentale, liée à des difficultés économiques, à la difficulté d'accès à certains services essentiels et parfois à une désunion issue de visions divergentes au sein de la population concernant l'avenir du territoire au sein de la République. Presque tous sont insulaires, les outre-mer ont donc en commun une forte dépendance aux ressources extérieures. Ils sont largement tributaires, pardon, de liaisons commerciales à longue distance, essentiellement maritimes pour leurs approvisionnements. Enfin, ils sont sensibles à l'instabilité des régions du monde auxquelles ils appartiennent. Trafic, violence, pauvreté sont importés des pays voisins des outre-mer vers ces derniers.
Ces vulnérabilités sont donc un terreau fertile pour certaines formes de guerres hybrides. Elles offrent de nombreuses occasions d'attaques.
Le simple constat des vulnérabilités est une occasion de mettre en cause les autorités françaises. Plus encore, les manifestations de ces vulnérabilités sont propices à plusieurs actions. Il est aisé de rajouter du chaos au chaos, madame vous avez exposé de quelle manière. La fracturation de la société, les tensions entre l'État et les outre-mer sont également d'excellentes prises. L'utilisation par l'Azerbaïdjan de mouvements indépendantistes est un bel exemple avec le groupe de Bakou.
J'aimerais insister un moment sur la question des dépendances logistiques. Il est tout à fait imaginable qu'un État s'en prenne spécifiquement aux flux desservant un territoire d'outre-mer, mais même sans être ciblé, le niveau de dépendance des outre-mer les expose à des guerres hybrides éloignées qui ne les concernent absolument pas en première approche. Le contournement de l'Afrique décidé par les armateurs de porte-conteneurs en raison de l'insécurité créée en mer Rouge par les Houthis a perturbé l'approvisionnement en produits frais de la Réunion. C'est un exemple. Il n'est donc pas nécessaire que les outre-mer soient ciblés pour être victimes de guerres hybrides.
Cela étant, les outre-mer peuvent être des cibles, et j'en viens après la facilité à la volonté de s'en prendre à eux. Les outre-mer peuvent faire figure de cibles en effet, pour eux-mêmes et parce qu'ils sont la France.
Pour eux-mêmes d'abord parce qu'ils sont convoités. Ils font en effet l'objet de revendications de souveraineté de la part de plusieurs pays, ce qui est un motif d'agression. Les outre-mer sont ensuite convoités également pour leurs richesses dont une large partie se trouve dans les espaces maritimes sous juridiction française. Ils sont d'autant plus convoités pour cela que ces richesses sont de plus en plus rares et de plus en plus nécessaires et que la France ne les exploite pas elle-même. L'exploitation illégale de ces richesses par des ressortissants d'un pays tiers peut constituer les prémices d'une attaque hybride visant à mobiliser des moyens et laissant le champ libre à une autre forme d'agression.
Enfin, les outre-mer sont convoités pour leur position. Le potentiel qu'ils donnent à la France de comprendre, d'influencer et d'agir intéresse en premier lieu les grandes puissances.
Ils sont des postes d'observation d'importantes routes maritimes, des capteurs de signaux faibles sur l'évolution des rapports internationaux. Les outre-mer sont également des points d'appui souverains, donc non soumis à des revirements d'alliance et ouverts sur l'océan, donc non tributaires de la liberté de navigation dans un détroit. Qu'en est-il aujourd'hui de la base navale d'Abou Dabi ? Et que serait l'autonomie européenne d'accès à l'espace sans la Guyane française, proche de l'équateur et permettant de lancer des satellites avec 25 à 30 % de puissance en moins qu'à partir de Baïkonour ? Mais sans le faire directement pour ce qu'ils sont, s'attaquer aux outre-mer, c'est une manière de s'attaquer à la France car la présence souveraine française en dehors de l'Europe peut gêner, perturber des ambitions et des actions de puissances mondiales.
À titre d'exemple, la Nouvelle-Calédonie peut être vue comme un verrou de l'extension de l'influence chinoise vers le sud du Pacifique. Le discours français, le droit de cité conféré par les outre-mer sur les trois principaux océans mondiaux peut déranger en proposant une alternative à l'alignement derrière une des deux grandes puissances mondiales. Pour de plus petits pays, la souveraineté française sur des territoires non européens interroge une mémoire encore récente de l'époque coloniale. C'est pour une question de principe, ces pays sont enclins à soutenir des actions dirigées contre la présence française outre-mer. Il résulte de ce que je viens de vous exposer que le lien entre la France et ses outre-mer est une cible particulièrement visée.
Enfin, on en revient à la facilité. Il est plus difficile de protéger matériellement les outre-mer que la métropole. Les forces de souveraineté y sont modestes. La métropole d'où viendraient les renforts sont est éloignée et un doute peut exister sur le fait que la dissuasion couvrirait les outre-mer. Cet éloignement n'est pas simplement géographique, il est aussi culturel et intellectuel, ce qui donne encore d'autres prises aux actions hybrides.
Loin de l'Europe qui est elle-même ciblée, les outre-mer sont en première ligne. Alors comment les protéger ? La première orientation que je vous propose est de donner moins de prise aux attaques, d'abord en prévenant les risques naturels.
C'est le rôle de l'État et des collectivités et je ne préjuge pas de l'efficacité de ce qui est entrepris, mais c'est important. Mieux prévoir les événements soudains dont nous savons qu'ils sont inéluctables sans être capables d'en préciser le moment, je pense notamment aux risques telluriques. C'est également prendre en compte très en amont d'autres phénomènes inéluctables mais moins soudains, et je pense cette fois-ci au risque de submersion et à l'érosion du littoral. Donner moins de prise aux attaques, c'est également disposer d'une organisation et de moyens permettant d'intervenir rapidement, à la bonne échelle, en cas d'événement majeur.
L'organisation existe. La question des moyens peut être posée face à l'accroissement de certains risques. Faut-il déplacer le curseur entre les capacités d'intervention locale et les renforts différés venant de métropole ? C'est cela fait partie des questions à se poser. Enfin, donner moins de prise aux attaques, c'est, je crois, restaurer la confiance entre l'État d'une part, les collectivités et les populations d'autre part.
Une confiance que le traitement d'autres crises m'a semble-t-il, me semble-t-il, a érodé. Il est aisé pour un adversaire de jouer sur les désaccords. Le manque de confiance alimente le complotisme, les rumeurs, aisément suscitées ou amplifiées par des acteurs malveillants. Donner donc moins de prise aux attaques, mais aussi les anticiper, c'est une deuxième orientation sur laquelle je ne m'attarderai pas.
Cela passe par la connaissance, le renseignement, la construction anticipée de contre-discours. Je n'ai pas identifié de spécificités des outre-mer en la matière. Il me semble plus intéressant d'insister sur une troisième orientation : être dissuasif. Avec trois idées complémentaires. La première est issue de la notion de continuum : dissuader, c'est d'abord réagir dès les plus bas niveaux d'attaque, ne pas montrer de faiblesse.
Ceci suppose d'être capable d'identifier ces attaques et donc de surveiller tous les espaces. Compte tenu de l'orientation de mes études, je pense bien sûr aux espaces maritimes, aux ZEE, espaces où la capacité de la France à réagir aux intrusions ou à des agressions discrètes peut être testée.
Toute absence de réaction serait alors un encouragement à aller plus loin. Améliorer la permanence et la couverture de cette surveillance doit donc être un objectif, mais cela ne s'arrête pas bien sûr aux espaces maritimes, cela concerne tous les espaces, y compris les champs immatériels. La deuxième idée, dans la continuité de la première, est de disposer de moyens crédibles pour intervenir rapidement face à un niveau d'agression significatif. Alors que le monde se brutalise, de quelles capacités de réaction doivent être équipées les forces de souveraineté outre-mer pour être en mesure de contrôler une situation qui n'aurait pas été anticipée et pour qu'elle reste réversible dans l'attente de renforts métropolitains ? Le dernier mode de dissuasion potentiellement efficace auprès des pays voisins consiste à susciter chez eux un intérêt pour la présence française, un intérêt plus fort à son maintien qu'à sa disparition.
Alors que les outre-mer ont souvent du mal à s'intégrer dans leurs espaces régionaux, le développement de toute forme de coopération apparaît comme un bouclier contre certaines formes de guerre hybride. Les coopérations relèvent généralement de la responsabilité de l'État, mais nous avons la conviction à la FMES que l'acceptation de la présence française, et donc la moindre prise aux attaques, quelles que soient leurs formes, mais aussi le développement économique des outre-mer qui en réduirait les vulnérabilités, passent par une coopération notamment économique pilotée par les territoires et permettant une plus grande intégration dans leur environnement régional. Ce qui m'amène à mon dernier point : donner une plus large autonomie aux outre-mer contribue à les préserver de la guerre hybride.
Pourquoi ? Je l'ai dit, leur intégration régionale est limitée. C'est un constat. Parmi les facteurs qui expliquent cette situation, l'application des lois et d'une réglementation d'essence européenne qui ne prend pas en compte ou peu en compte les spécificités régionales est un point important. Déseuropéanisons donc les outre-mer pour mieux les arrimer à leur environnement régional, pour leur permettre de s'y adapter.
Et nous avons la conviction que cette reconnaissance du caractère non européen des outre-mer contribuera à renforcer leur francité. Cela peut paraître paradoxal, mais en contribuant à leur développement, elle permettra de tenir plus facilement la promesse de la réduction du décalage économique et social avec le continent. Et pour revenir au sujet qui nous intéresse aujourd'hui, en multipliant les liens avec les pays voisins, ce qui ne peut se faire sans un certain niveau d'autonomie, l'intérêt de ces pays de s'attaquer directement aux liens qui unissent les outre-mer à la France ou de céder à l'influence des pays compétiteurs de la France en sera considérablement amoindri.
Je vous remercie pour votre attention.
Jean-Michel Jacques
Merci beaucoup madame, monsieur pour votre propos liminaire et nous allons donc maintenant avoir de nombreuses questions qui vont arriver. Alors on va commencer par les questions formulées par les groupes politiques et nous commençons par le Rassemblement National et je passe la parole à José Gonzalez.
José Gonzalez
Merci monsieur le président. Madame, monsieur, la guerre hybride prospère précisément là où nous avons longtemps refusé de porter le regard.
Nous avons pensé la menace en termes de front, de force, de seuil franchi. Or cette conflictualité se déploie sous ces seuils, dans les marges de notre attention. Pourtant l'hybridité n'est pas une invention du 21ème siècle. Ce qui est nouveau en revanche, c'est la surface d'exposition. Jamais nos sociétés n'ont fait reposer autant de leur fonctionnement économique, numérique, financier sur des infrastructures aussi concentrées et aussi peu défendues.
Cette réalité, elle prend corps chez moi dans les Bouches-du-Rhône, à Marseille, qui est devenue silencieusement l'un des principaux nœuds d'atterrissage, d'atterrissement pardon, de câbles sous-marins en Méditerranée.
Ces câbles assurent plus de 98 % des flux des données mondiaux. Mais ce qui mérite d'être dit ici et qui m'interroge, c'est que parmi ces câbles figure le PEACE Med connectant directement Marseille à l'Égypte et dont la fourniture a été assurée par une entreprise chinoise. Et il y a une conséquence concrète derrière cette réalité. Les entreprises chinoises opérant ces infrastructures sont soumises à l'article 7 de la loi sur le renseignement national de 2017 qui les contraint légalement à collaborer aux activités de renseignement de l'État chinois. Cette extraterritorialité, comme toutes les autres, doit être au centre de notre attention.
Cette logique d'influence par l'infrastructure, on la retrouve partout : Cosco au Pirée, les tentatives sur Haïfa et dans chaque port méditerranéen où les entreprises publiques chinoises sont légalement tenues de soutenir les forces armées chinoises sur demande.
Ma question sera double. Comment répondre à cette mainmise d'acteurs étrangers, quels qu'ils soient, imposant leur logique d'extraterritorialité grâce à notre affaiblissement global ? Et s'agissant des territoires ultramarins dont l'exposition est d'une autre nature, quels mécanismes de résilience vous paraissent aujourd'hui prioritaires à court terme ? Je vous remercie.
Jean-Michel Jacques
Merci cher collègue. Madame, Monsieur, je vous laisse répondre comme vous souhaitez, vous répartir ou répondre tous les deux. Je vous en prie.
Speaker 4
Monsieur le député, pour répondre à votre dernière question, alors sur les outre-mer, les territoires concernant les câbles sous-marins sont à la fois, je dirais, plus sensibles et moins sensibles que le continent. Plus sensibles parce qu'il n'y a pas de redondance technique, il y a peu de redondance technique de ces câbles. Donc il y a la question que vous soulevez est une question de comment dire, de protection de l'information, d'accès à l'information.
Il y a aussi la question technique de fonctionnement, de bon fonctionnement de ces câbles et d'éventuelles attaques contre l'intégrité physique de ces câbles. Et en cela, les outre-mer sont particulièrement fragiles. Et la solution, la solution c'est la redondance. Alors aujourd'hui, quelques territoires dont je ne serais plus capable de vous donner la liste disposent de cette redondance, mais il en reste beaucoup encore qui mériteraient des compléments, des raccordements complémentaires. Je souligne peut-être pour renforcer, alors plus que de solutions, pour renforcer peut-être votre inquiétude, c'est que ces territoires sont également reliés, par exemple pour les territoires atlantiques, au continent américain où le même type de question peut se poser.
Maintenant, pour ce qui concerne la sensibilité des informations qui passent par ces câbles, je ne suis pas certain que la, comment dire, aujourd'hui en l'état actuel des technologies, le fait d'installer, de mettre en place un câble, qu'une entreprise mette en place un câble lui donne la possibilité ultérieurement d'accéder aux informations.
Je serais plus inquiet là-dessus sur les équipements de raccordement, les équipements des réseaux à terre qui effectivement peuvent être chinois ou pas, que sur les câbles eux-mêmes. La maintenant voilà, c'est un point de vigilance. Pour moi le plus grand risque vraiment sur les câbles porte vraiment sur l'intégrité physique de ces derniers. En particulier vous avez parlé des points d'atterrissage ou d'atterrissement. C'est là que je pense qu'ils sont le plus sensibles.
Christine Dugoin Clément
Peut-être juste rapidement en complément. Alors on a évidemment les câbles sous-marins, vous l'avez souligné, qui sont l'objet de sabotage de manière assez récurrente.
Sabotages qui sont assez démonstratifs et qui permettent un petit peu de montrer les muscles dans une certaine mesure avec un déni plausible : "Oh, on a laissé traîner une ancre malencontreusement, pas de chance". Cela dit, la problématique des ce qu'on appelle les backdoors, c'est-à-dire des systèmes qui vont pouvoir permettre de rentrer dans les technologies, ne se pose pas que sur les câbles. Ils peuvent se poser sur d'autres technologies. Derrière, reste à nous déjà d'avoir une question d'acculturation, de connaissance, de le savoir puisque finalement ce que vous déclinez, l'outil, ce n'est que la matérialisation dans le monde physique d'une volonté de surveillance qui est, elle, poussée par des approches idéologiques et géopolitiques. Et ça pose aussi la question de soutenir des entreprises qui soient nationales ou européennes et qui soient en capacité soit de compétiter dans une certaine mesure, soit de s'inscrire dans la guerre d'après.
C'est-à-dire que est-ce qu'il faut essayer d'aller recréer des dorsales, ce qui a un coût qui est colossal et cetera, ou alors d'être en capacité de mettre un chiffrement, par exemple, pour les données qui soit beaucoup plus difficile à casser pour des compétiteurs, par exemple. C'est une idée que je pose ici, mais je crains de devoir constater que les budgets ne sont guère extensibles et que parfois il ne faut pas se tromper de combat et peut-être aller sur le pas d'avant plutôt que sur le pas d'après.
Jean-Michel Jacques
Merci.
Je passe à présent la parole à Yannick Chenevard pour le groupe Ensemble pour la République.
Yannick Chenevard
Merci Monsieur le Président. Madame, Monsieur. Treize outre-mer français dans trois océans. Treize milliards d'euros dans la loi de programmation militaire d'abord. C'est intéressant de le rappeler aussi.
Et ma question sera plus dirigée vers Monsieur le Directeur de l'Observatoire des Outre-mer de la Fondation pour la maîtrise des enjeux stratégiques.
Les enjeux stratégiques dans votre publication du mois de février, vous expliquez que, j'ouvre les guillemets, que les outre-mer souffrent néanmoins d'une marginalisation dans les réflexions politiques ou stratégiques. Alors est-ce qu'on peut faire un zoom sur deux territoires, un département et un territoire, la Nouvelle-Calédonie dans sa position géographique au sein du Pacifique Sud avec les derniers événements ? Est-ce qu'il y a des tentatives hybrides d'infiltration, de manipulation ? Et de l'autre côté, dans la partie canal du Mozambique, Mayotte, notamment avec les Comores juste à côté et l'importance sur les flux maritimes avec le canal du Mozambique et les îles Éparses.
Est-ce que vous pourriez nous faire un zoom sur ces deux secteurs ? Je vous remercie.
Speaker 4
Monsieur le député, alors il y a deux cas très différents. La Nouvelle-Calédonie d'abord, comment dire, mise en difficulté, qui se trouve d'abord en difficulté interne avec un mouvement indépendantiste et des, comment dire, un mouvement indépendantiste dont on n'arrive pas à, enfin une solution, une solution pardon, excusez-moi, je perds mes mots, une solution qu'on n'arrive pas à trouver au conflit interne à la Nouvelle-Calédonie depuis des années et qui peut donner prise à effectivement à des attaques.
Et du côté de Mayotte, Mayotte qui est plutôt d'une part soumise à effectivement un fort mouvement d'immigration en provenance des Comores et de l'Afrique et en plus qui subit si je peux dire les revendications des Comores dans un espace qui lui-même dans lequel la souveraineté française est contestée de manière un peu plus générale, les îles Éparses du canal du Mozambique par Madagascar et les îles Éparses de comment dire de l'est de Madagascar pour certaines pour les îles Glorieuses par encore à nouveau par les Comores et pour Tromelin par l'île Maurice.
La Nouvelle-Calédonie, je l'ai dit dans mon propos liminaire, elle peut être considérée comme un blocage, comme un point de blocage de l'expansion de l'influence chinoise vers le sud du Pacifique. Alors très clairement, nous n'avons pas étudié, recherché précisément quelles pouvaient être les attaques hybrides.
Cela dit je constate une chose les attaques hybrides menées par la Chine. Cela dit je constate une chose c'est que l'intérêt de la Chine pour la Nouvelle-Calédonie a sans doute baissé depuis que la Chine a massivement investi en Indonésie pour développer l'industrie du nickel. Et donc le nickel qui intéressait au premier plan la Chine en Nouvelle-Calédonie revêt maintenant moins d'intérêt dans cette région-là. Là où la Nouvelle-Calédonie pourrait déranger la Chine c'est dans l'action que peut avoir alors d'abord la Chine a intérêt à soutenir le mouvement kanak pour éloigner la France de la zone.
Je vous donnerai simplement un exemple d'une action française qui peut gêner le gouvernement chinois. La France, en coopération avec la Nouvelle-Zélande et l'Australie, soutient, coopère avec les micro-États du Pacifique. Et cette coopération, elle est là, elle est de nature à contrer, et elle est faite pour ça d'ailleurs aussi, pour contrer l'influence chinoise dans la région.
Elle est, cette coopération, elle est assez, d'abord l'action de la France en la matière renforce l'efficacité, la crédibilité de l'action de nos voisins, nos grands voisins de la région, je vais citer l'Australie et la Nouvelle-Zélande. Et elle, je dirais, elle fait pencher la balance favorablement, la balance de, comment dire, des pays, des micro-États qui d'un côté sont attirés par les promesses d'investissement chinois, mais de l'autre se méfient beaucoup des conséquences que ça peut avoir sur leur souveraineté. Donc en la matière, dans cette zone-là, la France, je pense, a un rôle, je ne vais pas dire stabilisateur, mais un rôle de contre-influence qui est, qui me semble assumé, qui me semble assumé et qui met, mais l'action de la Chine reste quand même très discrète dans cette région-là à ce stade, à ce stade.
Du côté de Mayotte, moi je serais plutôt inquiet. Alors certes, la Chine est également très présente. La Chine investit beaucoup à Madagascar. Donc elle a déjà une place dans la région.
A-t-elle un intérêt à évincer la France de la région ? Je n'en suis pas certain. Là où il y a un scénario que je vous propose et qui pourrait être un scénario qui deviendrait inquiétant, c'est le jour où nous verrons les flottes de pêche chinoises s'approcher peut-être d'un peu trop près des ZEE françaises, voire pourquoi pas venir pêcher dans les ZEE françaises contestées par Madagascar en se revendiquant de l'accord de Madagascar. Et dans ce cas, je ne sais vraiment pas ce que pourrait faire la France.
C'est vraiment ce type de mouvement, imaginez des flottes de dizaines, parfois de centaines de gros chalutiers. Si on n'anticipe pas un tel mouvement, je ne sais pas comment on peut récupérer une situation comme ça sans affrontement. Et comment affronter une flotte de pêche qui dispose de sa propre autodéfense quand on dispose à la Réunion de deux frégates et de deux patrouilleurs ? C'est un type d'événement dans lequel le traitement pour moi doit être d'abord dissuasif, c'était le cœur de mon propos. Mais s'il devait intervenir, je n'imagine pas un autre traitement qu'un traitement diplomatique avec les moyens dont on dispose, sauf à vouloir envisager vraiment une dégradation de la situation et une montée de l'usage de la force.
Là où je suis plus inquiet quand même, je reviens sur Mayotte, c'est plus de l'attitude russe. L'attitude russe qui profite des situations, qui sait rebondir sur les situations chaotiques. Et là, je pense que Mayotte propose de belles prises, expose de belles prises.
La Russie commence déjà même si la Chine est déjà là l'influence russe commence à descendre en Afrique. La Russie s'intéresse à Madagascar. La Russie nous a évincés d'Afrique cela dit la Françafrique c'était pas la France. Ce serait peut-être plus difficile de nous évincer de de Mayotte surtout quand la population française de l'île est attachée à la République.
Christine Dugoin Clément
Oui, peut-être quelques éléments complémentaires, notamment sur la présence russe sur la zone. Alors il y a une implantation qui est de longue date. Peut-être vous rappelez-vous notamment de la société militaire privée à l'époque connue sous le nom de Wagner, devenue aujourd'hui politiquement Africa Corps, qui avait notamment mené des raids au Mozambique avec des résultats tout à fait chaotiques, comme quoi les résultats n'étaient pas toujours aussi beaux que annoncés. Mais néanmoins, cette présence date maintenant depuis plusieurs années. Ça avait d'ailleurs donné lieu à énormément de reprises médiatiques, notamment un opus créé par Aurum, qui était une société de production médiatique tenue par Evgueni Prigojine, mort dans un accident d'avion comme chacun sait.
Chacun jugera la nature de l'accident, probablement un mal des transports qui l'a poussé à ouvrir le hublot. Cela dit, si vous voulez, on a eu notamment un opus qui s'appelle Granite et qui vous met en exergue les faits d'armes d'un mercenaire d'un musicien, comme ça qu'on appelle les wagnériens, qui a d'ailleurs probablement existé, on en a retrouvé la trace. Concernant Madagascar, là aussi on a un intérêt qui est de très longue date de la Russie, il y a plus de dix ans maintenant, avec des implantations y compris des structures qui faisaient partie de la galaxie Prigojine et qui a utilisé Madagascar notamment comme étant une plateforme de diffusion d'un certain nombre d'éléments de narratifs, notamment panafricanistes, depuis maintenant un temps assez certain.
Évidemment, la stratégie russe est une stratégie du chaos, c'est-à-dire on va vous démultiplier une montée de pression, on va vous démultiplier des crises, ce qui fait que ça va raccourcir votre horizon de prévisibilité. Ce qui forcément, bah, complexifie fortement fortement la donne. Et peut-être un autre point par rapport à ce déploiement russe parce qu'il n'y a pas non plus que des nouvelles catastrophes, je ne voudrais pas avoir l'air d'être une Cassandre ou un oiseau de mauvais augure même si.
Mais ce que l'on peut observer, c'est une forme de conflictualité, malgré les déclarations d'affection et d'amitié éternelle sino-russes, notamment sur le continent africain pour une raison qui est extrêmement pragmatique, si ce n'est même mercantile. Traditionnellement, les sociétés militaires privées russes, Wagner et autres, c'est un petit milieu qui est éminemment concurrentiel, se développent et au fur et à mesure font une captation notamment des ressources principales qu'on appelle à haute valeur ajoutée, ce qui permet aussi le contournement de sanctions. Je pense au pétrole, je pense aux bois précieux, je pense aux diamants, je pense à l'or, etc. Il se trouve que la Chine, elle, de son côté, développe des sociétés de sécurité civile.
C'est à peu près le même concept mais avec des résultats qui sont beaucoup moins importants, beaucoup moins efficaces. Le seul problème, c'est qu'à partir du moment où ces sociétés se développent, et bien ça contrarie non seulement, et bien la capacité de grignoter d'autres structures, mais aussi d'un point de vue de business. Ça crée des tensions avec l'Inde notamment, qui y voit et bien tout simplement un moyen de capter un marché où ils peuvent rentrer de manière moins, moins facile en tout cas. Et au niveau de la Russie, cela est pris avec une certaine inquiétude, un regard un petit peu tendu en estimant que c'est peut-être un moyen de faire ses armes, sans vilain jeu de mots, avant un déploiement sur la partie de l'Asie centrale qui est considérée par la Russie comme étant une forme d'arrière-cour.
Donc on a aussi des approches qui vont être de tension à ce niveau-là et qui vont se jouer à différents niveaux. Et puis si on veut rentrer dans les sociétés militaires privées, et bien il y a d'autres acteurs qui rentrent dans le domaine avec beaucoup d'efficacité dont on parle beaucoup moins et qui viennent rentrer dans ce dans ce jeu-là. Mais l'implantation russe sur le continent, elle se fait de longue date et avec une approche extrêmement opportuniste. Vous avez une crise, je l'ai je l'ai je l'ai évoqué très rapidement dans mon propos liminaire, c'est-à-dire le pré-positionnement des acteurs qui permet de rebondir sur tout et n'importe quoi. Sur tout sujet qui sera un urticant à un endroit ou à une société.
Cette montée de crise, vous allez l'avoir et plus vous avez ce continuum d'acteurs vivace, divers et réactif, plus ça permet d'aller extrêmement vite avec beaucoup d'adaptabilité.
Et puis les technologies permettent encore de raccourcir ce temps. Donc on a vraiment cette approche qui est importante, je pense, à souligner et qu'il faut réellement garder à l'esprit.
Jean-Michel Jacques
Merci. Vous venez d'évoquer d'autres acteurs qui viennent à bas bruit, mais vous ne les avez pas cités. Ça nous intéresse peut-être.
Christine Dugoin Clément
La Turquie notamment déploie des acteurs qui sont extrêmement bons. En Libye, c'est plus qu'un mythe, c'est quand même assez... Comment ? Non non, je disais c'est beaucoup... Non non, Sadat notamment, qui est pour le coup beaucoup plus efficace que ne le sont les structures chinoises.
Jean-Michel Jacques
Merci. La parole est à Arnaud Saint-Martin pour le groupe La France Insoumise - Nouveau Front Populaire.
Arnaud Saint-Martin
Merci Monsieur le Président. Madame, Monsieur, merci pour vos éclairantes explications au pas de course. Je sprinterai également pour expliquer la position de notre groupe. La notion à la mode de guerre hybride s'est imposée dans la prose des think tanks et des commentateurs des conflits contemporains par la force d'une évidence sémantique modérément questionnée. En lieu et place du triptyque paix-crise-guerre, la revue nationale stratégique abonde aussi via la détermination d'un continuum compétition-contestation-affrontement.
On n'est pourtant pas certain que le glissement soit si significatif ou à tout le moins encore faudra-t-il l'étayer encore et en jauger les conséquences pratiques.
En effet, assumer l'hypothèse d'une guerre hybride ne fait-il pas courir le risque de verser dans l'illusion d'une conflictualité permanente, latente et larvée, en conditionnant notamment les possibilités de paix à la seule capacité à contre-influencer, alors même que ces stratégies ont toujours existé ? On le sait, et vous l'avez dit, les opérations d'influence, de propagande, d'espionnage, les ingérences diverses et variées, les barbouzeries clandestines, les manipulations de l'information, les concurrences entre nations, etc., ne sont pas apparues avec la Russie de Poutine, pas plus qu'avec la guerre en Ukraine. Les puissances dites occidentales, les démocraties qui avaient parié sur la fin de l'histoire, ont, elles aussi, mené des stratégies d'influence offensive massives, en particulier dans leurs anciennes régions d'emprise coloniale, à l'exemple de la France.
On peut citer aussi les méthodes des Nord-Américains, de la déstabilisation brutale à distance du Chili d'Allende aux mensonges sur les armes de destruction massive en Irak, le financement d'organisations politiques ou syndicales à l'étranger ou encore, plus récemment et entre autres agressions, l'ensemble des actions et des menaces de Donald Trump sur Cuba. La coupe hybride est pleine. Dès lors, comment éviter que l'usage de la notion obus de guerre hybride ne soit réservé que pour désigner les États parias hors puissances occidentales et à opposer une partie du monde à l'autre de façon manichéenne, alors que l'ensemble des États utilisent ces procédés depuis des décennies, quand bien même l'augmentation de la puissance et de l'inventivité technologique, notamment numérique, a donné corps à une espèce de nouveauté à cette panoplie de méthodes qui constituent une aubaine marchande pour les mercenaires et marchands d'influence dopés à l'IA ? Autre point, les stratégies d'influence étrangères et les attaques hybrides touchent les nouvelles frontières de l'humanité que sont le cyber, l'espace et les fonds marins. Aujourd'hui, on a l'impression que la résilience est la seule réponse possible face aux attaques dites hybrides, ce qui laisse à accroire que l'on devrait encaisser quoi qu'il arrive.
A-t-on des exemples de contre-mesures autres que le déni d'accès via des stratégies de rétorsion asymétriques ? Et une ultime question pour Madame Dugoin-Clément...
Allez-y, et je ferai pas de question brève.
Arnaud Saint-Martin
Vous avez mis en évidence une guerre cognitive russe en Ukraine. Pourriez-vous expliciter cette notion ? L'incluez-vous dans les stratégies hybrides possibles ? Merci.
Speaker 10
Merci. Désolé, j'essaie de faire respecter le temps pour tout le monde pareil. Je vous en prie, Madame, Monsieur.
Christine Dugoin Clément
Alors beaucoup de questions dans votre question et vous avez suivi le pas de course que j'ai malheureusement impacté et impliqué au début. Je me sens légèrement coupable. Je plaide coupable. Je vais essayer de répondre à au moins ce que je peux. Quand vous dites que la guerre hybride ça a été modérément questionné, c'est pas tout à fait exact.
Je vous renverrai notamment à des textes depuis 2016 qui mettent réellement en doute dans des publications notamment de l'OTAN d'un de nos collègues chercheurs sur la terminologie. C'est une terminologie qui comme beaucoup, je pourrais vous parler de l'intelligence artificielle, a été extrêmement pratique pour faire passer un message et du coup s'est imposée j'allais vous dire quasiment plus par le monde extérieur que par le milieu. Mais pour vous dire à quel point ça a été un sujet de débat, je me rappelle de discussions à Chatham House qui est quand même un think tank honorable, vous me l'accorderez, où un chercheur éminent se levant parce que la terminologie de guerre hybride avait été utilisée, on était à l'époque en 2015 si ma mémoire ne me trompe, en disant écoutez tant qu'il n'y aura pas des hommes-cochons en première ligne je ne verrai pas de guerre hybride donc soit on discute entre adultes soit je sors.
Pour vous dire la nature des débats. Donc on ne peut pas dire que ça n'a pas été un sujet de débat, ça l'est encore à ce niveau-là. Donc je vous fais cette petite quote que je garderai en Chatham House, mais comme il convient. Mais voilà. Il y a plusieurs choses.
Ce que l'on voit aujourd'hui, c'est que nous avons des puissances qui sont de plus en plus désinhibées dans leurs actions et dans leurs discours.
Et là où on a un floutage par rapport à ce que vous disiez préalablement, c'est entre la nature d'une action qui sera assumable et d'une action qui sera non assumable. C'est-à-dire qui va relever de quelque chose que l'on va mettre sur la place publique et qu'on accepte d'assumer, et d'une action qui sera clandestine et qui pourra par exemple être menée dans des approches de conflictualité ouverte. On pourrait penser à différentes opérations de déception, par exemple dans la Seconde Guerre mondiale. On en a eu un certain nombre. Là, vous êtes dans un cadre où finalement on floute non seulement ce qui est assumable et pas assumable par un certain nombre de puissances.
On a une approche qui est éminemment désinhibée et on a des puissances étatiques qui finalement vont déployer des actions qui normalement devraient relever, ou en tout cas dans ce que l'on pourrait espérer, du temps de guerre et qu'ils déploient en temps de paix.
Et quand on parle notamment d'actions de sabotage qui vont jusqu'à venir viser les personnes par agression sur des territoires étrangers, on est sur une action qui est très clairement belliqueuse. Donc on a on a vraiment ce genre de chose. Et pour revenir sur ce que vous disiez sur la guerre cognitive, alors typiquement j'aime pas beaucoup la terminologie de guerre hybride. Je fais partie de ceux qui n'en sont pas un grand fan. Il il se trouve que bah parfois pour faire passer des messages et en règle générale je le décline, ce qui m'amène à parler au pas de course, mais pour moi on est sur quelque chose de beaucoup plus global que cela et c'est ce que j'essayais de faire un peu transparent en filigrane dans mon propos.
C'est-à-dire que ça se joue à plusieurs niveaux. Vous allez avoir une approche politique avec une volonté d'aller mener, d'aller créer, et qui peut émaner de différents groupes. Quand je parle d'une volonté politique, elle n'est pas forcément que d'une structure étatique. Un groupe para-étatique peut avoir une vision politique, soyons clairs, voire même un groupe social. Vous allez avoir la traduction et l'usage d'outils : intelligence artificielle, réseaux sociaux, etc., qui peuvent être mis en place, voire même d'outils de ce qui va relever du monde tangible, créer une manifestation plus ou moins de toutes pièces.
Mais derrière, vous allez essayer de toucher les perceptions.
Vous êtes sur trois niveaux. À mon avis, et c'est là où la chose est délicate, c'est que vous ne pouvez répondre à ce genre d'actions qu'en opérant des mesures, qu'elles soient anticipatives d'ailleurs ou correctrices, que sur un de ces niveaux-là. Et c'est là que ça devient extrêmement délicat. Et il est évident que quand vous êtes dans un État ou dans une structure, dirons-nous, à démocratie perfectible, et bien le débat étant un tout petit peu plus bref, et bien c'est beaucoup plus facile d'arriver à avoir une direction unique, surtout si vous estimez que l'éthique est quelque chose dont à peu près comme un Tic Tac de mois avant l'été de calories, c'est pas très grave, ça ne se verra pas. Donc si vous voulez, on est à mon avis globalement dans cette question-là et dans cette approche.
Pourquoi je parle donc de cette approche cognitive ? Puisque ce sont les perceptions, les cognitions, les usages qui sont visés et qui vont être visés par différents niveaux. La technologie bien sûr, mais on a des actions qui vont dans le monde tangible, j'ai essayé de l'évoquer certes rapidement et encore une fois je présente mes excuses les plus plates, et dans le monde des idées.
Donc pour moi on est sur quelque chose qui est beaucoup plus ontologique, qui est beaucoup plus global, qui va quasiment toucher à essayer de modifier la façon dont vous pensez, la façon dont vous envisagez votre environnement. Donc on est vraiment pour moi dans cette strate-là, dans ce niveau-là. Je ne sais pas si j'ai répondu à votre question.
Jean-Michel Jacques
Merci beaucoup. Je vais passer à la question suivante d'Anna Pic pour le groupe socialiste et apparentés.
Anna Pic
Merci, Monsieur le Président. Ma question va s'adresser plus particulièrement à Monsieur Pelliard puisqu'il s'agit des outre-mer. La dernière revue nationale stratégique est construite autour d'un scénario central, celui d'une guerre de haute intensité aux portes de l'Europe couplée à des actions concomitantes déstabilisatrices de nature hybride pour la sécurité intérieure de la France. Cette dernière forme de confrontation qui opère sous le seuil de la guerre n'est pas nouvelle mais se caractérise dans sa configuration contemporaine par une professionnalisation certaine. En témoigne notamment l'augmentation massive de ces attaques, plus 85 % en cinq ans selon le ministère de l'Intérieur, dans une tendance qui devrait rester à la hausse.
S'agissant particulièrement des outre-mer, les vulnérabilités relèvent de plusieurs catégories que vous avez rappelées et sont désormais connues : l'instrumentalisation informationnelle des tensions politiques et sociales, la vulnérabilité liée à la dépendance des outre-mer aux câbles sous-marins, des tests sur les capacités d'affirmation de la souveraineté française par l'intermédiaire d'incursions des flottes de pêche étrangères dans notre zone économique exclusive et la convoitise, les convoitises sur les ressources des fonds marins dans un contexte mondial de concurrence pour les ressources critiques. Paradoxalement, nos capacités de surveillance, et vous avez dit que c'était un levier majeur, et de défense sont notoirement sous-dimensionnées au regard de la menace, et à ce sujet votre fondation est sans appel. La frontière floue entre menace géopolitique et activités illégales ouvre la porte à certaines actions hybrides qui, combinées à des actions plus classiques, pourraient conduire à une saturation des forces disponibles pour y faire face.
En résumé nos capacités militaires aujourd'hui aussi compétentes soient-elles pourraient être rapidement dépassées et vous l'avez dit qu'il faudrait combiner avec une action diplomatique dans un contexte de montée en puissance des armements anti-navires et de prolifération des drones navals un domaine où la France est encore en retrait. Lors de l'examen du projet de loi d'actualisation de la programmation militaire en commission de la défense la ministre des armées a indiqué qu'une note industrielle sur les drones navals était en cours d'élaboration.
D'après vous, est-ce une des solutions pour améliorer ce levier de surveillance et réaction que la dronisation dans pour la protection des territoires ultramarins ?
Speaker 4
Merci pour votre question. Alors pardon, Madame la députée. Une réponse courte d'abord, oui. Mais je ne m'arrêterai pas là. Non, je pense que l'amélioration de la à la fois de la couverture et de la permanence de la surveillance de nos espaces maritimes, elle passe pour moi par une diversification des moyens de surveillance, étant donné que bien je dirais on ne peut pas on ne peut pas imaginer une surveillance suffisamment complète, suffisamment permanente avec des moyens classiques qui coûteraient extrêmement cher alors que je dirais les les forces métropolitaines également ont besoin d'être renforcées.
Alors, c'est qu'est-ce que c'est cette diversification, diversification des moyens de surveillance ? C'est le recours, bien sûr, alors à des drones, mais pas seulement des drones navals. Il me semble qu'en la matière de surveillance, les drones aériens sont sans doute plus adaptés que les drones navals, bien sûr, drones aériens en milieu maritime. Aussi également des radars de surveillance.
alors des radars de surveillance à terre qui peuvent pourquoi pas des radars HF qui peuvent avoir des portées jusqu'à 200 nautiques ça tombe bien 200 nautiques c'est la limite de la ZEE les avec une une couverture relativement large en en angle de surveillance à partir de la terre mais ces radars ils peuvent être également emportés par des ballons pourquoi pas c'est un c'est une proposition que nous nous avons faite pourquoi pas un ballon sur les îles du canal du Mozambique les îles Éparses qui serait mis en œuvre par le petit détachement de légionnaires qui est sur place qui serait je dirais en l'air presque tout le temps sauf quand la météo ne le permet pas il suffit d'avoir quelqu'un qui je dirais qui ramène le ballon en bas et qui et qui le remette en œuvre quand c'est quand c'est nécessaire tout ceci après l'information l'information émanant de ces radars étant centralisée quelque part pour pas que ça consomme non plus trop de personnel.
Donc la diversification des moyens, mais cette diversification, pour moi, elle ne doit pas être identique dans tous les territoires. Le cas des Antilles est, je dirais, presque simple et je dirais qu'il est presque déjà traité. Les Antilles se sont équipées de drones aériens qui permettent de, je dirais, de mieux surveiller les espaces, en particulier d'identifier, puisque c'est le, je dirais, c'est le fléau de cette zone, le trafic de drogue.
Dans en Polynésie qui représente près de 50 % de la ZEE française des petits drones aériens utilisés aux Antilles ne ne suffisent pas. Alors certes il y a le programme AVSIMAR qui va je dirais considérablement améliorer les les capacités les performances des des moyens de surveillance mais on peut envisager aussi des drones des drones MALE de surveillance. Et l'intérêt de ce type de moyen c'est également parce que surveiller c'est une chose mais quand on surveille on on détecte beaucoup de choses et il faut être capable d'intervenir aussi. Et c'est là que alors le drone MALE peut avoir un intérêt puisque effectivement on peut on peut intervenir ne serait-ce que pour recueillir alors le drone MALE ou ou des plus petits dans d'autres zones mais recueillir des preuves juridiques utilisables de manière juridique.
Ensuite s'il s'agit d'intervenir de manière un peu plus musclée, voilà merci, un peu plus musclée, bon ça soulève d'autres questions. Techniquement c'est faisable avec des drones MALE, je repense encore à la Polynésie. Il faut bien sûr que l'homme reste dans la boucle, mais ça c'est une autre c'est une autre question.
Dans les moyens d'intervention, c'est là que les drones navals eux-mêmes peuvent plutôt à mon avis entrer en jeu, plus que pour la surveillance. Il reste un domaine de surveillance qui est sans doute plus délicat, c'est la surveillance des câbles sous-marins, des fonds marins en général, où là ça demande, enfin je veux dire c'est difficile de surveiller les fonds sur un espace important. Faut-il, est-il, est-ce que le risque, là ce qui est important aussi c'est l'anticipation du risque, c'est le renseignement. À quel niveau est le risque ? Est-ce que ça vaut vraiment le coup de déployer des moyens outre-mer ?
La mesure de l'intérêt est assez délicate à réaliser.
Si le risque devait être avéré, risque élevé, là effectivement on devrait se poser la question de déployer des drones sous-marins capables de surveiller ne serait-ce que les approches des câbles sous-marins sur nos territoires. Voilà, maintenant quel est l'enjeu si le câble est rompu, est-ce qu'on est capable de le réparer, est-ce qu'il y a des redondances, voilà, on revient aux questions précédentes.
Jean-Louis Thiériot
Merci Monsieur le Président. Merci à vous deux pour vos propos. Une question pour chacun d'entre vous. Madame Dugoin-Clément, vous nous avez évoqué tous ces visages de la guerre hybride. L'un de ceux qui me semble particulièrement inquiétant, c'est celui des deepfakes manipulés par IA avec la manipulation d'images.
Parce que le problème, c'est que tout ce qui est vu est cru et qu'aujourd'hui on arrive à une grande difficulté à faire le départage. Est-ce qu'il y a une réflexion de votre part sur un outil, alors j'appelle ça organisme certificateur ou analyse des manipulations d'information qui permettrait d'avoir un certain seuil de crédibilité ?
Je n'ai pas de réponse mais en tout cas c'est une véritable interrogation parce que l'image de ce point de vue là ou le son qui est lié c'est ce qui est le plus dangereux dans les perceptions. Question sur les outremers. Je partage très fortement vos préoccupations notamment canal du Mozambique, Madagascar, îles éparses.
Nous avons fait le choix pour des considérations budgétaires d'abandonner nos capacités, enfin une partie de nos capacités de projection via les Batral, dont on sait à quel point pouvoir intervenir rapidement est primordial. Je n'oublie pas qu'au moment où est apparu le conflit des Malouines, probablement qu'il y aurait eu une présence britannique et une capacité de projection plus importante, on aurait peut-être échappé à la suite. Donc pensez-vous que dans le cadre du futur livre blanc et futur LPM, on doit réfléchir à cette capacité de projection d'une manière plus importante ? Et je finis sur toujours dans cette même région, flottille de pêche chinoise, considérée comme une quatrième flotte ou quasiment comme une quatrième flotte, quels moyens de prévenir le fait d'être dans un face-à-face qui serait par nature délicat ?
Merci, je vous en prie.
Speaker 4
Merci Monsieur le député. La capacité de projection vous avez effectivement cité les Batral qui ont disparu. Ce serait sans doute bien utile ce sont bien des choix budgétaires qui ont été faits. Là il y a peut-être d'autres options alors faut-il une capacité de projection supplémentaire vous citez les îles Éparses. Les îles Éparses je reprends mon scénario de flotte chinoise tout de suite mais cette fois-ci je les fais intervenir dans le sud de l'Océan Indien du côté des TAAF.
Pourquoi parce qu'ils vont détourner les moyens de la Réunion vers eux pendant ce temps-là pendant ce temps-là les forces malgaches soutenues par on ne sait qui enfin on imagine qui vont prendre par surprise le petit détachement de légionnaires sur l'île alors je les légionnaires je ne sais plus sur laquelle ils sont Juan de Nova ça se peut-être voilà.
Qu'est-ce qu'on fait ? Je pense que le besoin de projection dans cette zone-là, il se pose en ces termes-là.
Comment je reprends possession ? Je suis pas sûr qu'il y ait besoin de gros moyens. La, comment dire, il faudra à un moment donné reprendre de vive force cette île. Peut-être que des moyens type, alors j'avais proposé, c'est pas forcément pour ce type d'action, mais pour remplacer les BATRAL, pourquoi pas, alors il y a, ça fait pas exactement la même chose, mais il y a les BSAOM. Mais pourquoi ne pas envisager, et là je vais revenir à une question de flotte stratégique chère à Monsieur Chenuard, pourquoi ne pas imaginer pouvoir disposer de supply ships qui auraient un rôle dans ce type d'action, rapidement et facilement mobilisables et dont la, je dirais, la rentabilité économique, si je puis dire, serait assurée par d'autres activités de nature civile qui pourraient intervenir également d'ailleurs dans le cadre d'événements majeurs en complément des moyens militaires.
Alors sur les flottilles de pêche, comment intervenir face à ce... très honnêtement, moi je ne vois pas, sauf à escalader. Sauf à escalader, je ne vois pas, et c'est pour ça que pour moi la... vraiment c'est la dissuasion à la fois militaire et diplomatique qui peut limiter ce risque, mais une fois que ce risque est advenu, je ne vois pas comment repousser une telle flotte sans escalader, sans escalader.
Christine Dugoin Clément
Alors concernant les deepfakes, en fait c'est toujours un petit peu une course entre les technologies de ceux qui vont déployer et de ceux qui vont essayer de donner des méthodes pour arriver à faire de la détection. C'est un enjeu notamment dans les tribunaux où maintenant on peut dire bah prouvez-moi que c'est une véritable image, que c'est un véritable enregistrement et que ce n'est pas un deepfake. Ce qui participe d'ailleurs à engorger ces juridictions puisque dans ce cas-là il faut avoir des experts et cetera. Il y a un enjeu sur ce que vous disiez qui est autre peut-être. Alors je réponds pas forcément à votre question, c'est que vous avez des sociétés comme OpenAI qui sont en train d'essayer de mettre en place des systèmes pour arriver à une authentification des images par rapport à celui qui le produit.
Ce qui veut dire que vous arriveriez à quelque chose de tout à fait intéressant, c'est-à-dire qu'une société privée qui est en capacité de donc vous créer ces images-là s'arrogerait sous contre-monétisation bien évidemment une capacité à dire voilà je détiens quelque chose d'authentique.
Donc là on arrive à un glissement qui est quand même qui est quand même assez assez intéressant. Il y a beaucoup d'études aussi qui se font sur ce que l'on va croire ou ce que l'on ne va pas croire et c'est pour ça que je parlais tout à l'heure de ce glissement de ne plus croire en rien. Et on est vraiment sur sur cette image-là. Et alors bien évidemment hein, il y a des travaux à chaque fois sur comment est-ce qu'on va détecter, comment est-ce qu'on va mettre en place. Alors il y a la question de dire que l'on va faire du tatouage d'images de deepfake mais à partir du moment où vous êtes dans une approche belliqueuse où vous vous passez des règles d'éthique, vous n'en êtes plus à ne pas tatouer une image.
Et par ailleurs, on peut jouer autrement. Je vous donne un exemple. Avant l'invasion massive de l'Ukraine, eh bien vous avez eu pas mal de diffusions de petites vidéos, notamment sur TikTok, donc vous connaissez le principe, très court, le but étant d'être ludique, où on vous présentait notamment des hommes russes comme étant pas forcément très fins dans des vidéos très burlesques, mais physiquement extrêmement forts. C'était marqué comme étant créé par IA. Vous imaginez bien, quelqu'un en éternuant n'assomme pas un ours.
Enfin bon. Mais néanmoins, vous faites un ancrage. Et vous n'avez pas la méfiance que vous allez avoir sur quelque chose de léger que vous aurez peut-être, en tout cas on peut l'espérer, sur un contenu qui est censé être informatif.
Et derrière, quand vous avez un discours du président Poutine qui vous dit : « Voulez-vous vraiment affronter la puissance russe ? », eh bien vous faites un rappel de cette mémoire-là, de cet ancrage-là. Donc on peut avoir ce jeu-là même si on ne croit pas forcément à ce que l'on a. Et ça, c'est quelque chose d'important, c'est pour ça que je parlais tout à l'heure de travailler aussi sur les perceptions et sur cette approche conceptuelle, quasi idéologique. Et j'en reviens à pourquoi guerre ontologique et guerre cognitive plutôt qu'hybride, à mon sens. Il y a deux autres choses sur lesquelles je voudrais attirer votre attention, et là je reprends mon rôle de Cassandre, ce sont non seulement les IA compagnons.
Donc ce sont des IA que vous allez pouvoir quasiment tailler sur mesure pour répondre à vos attentes, qui vont avoir un agent, ce qu'ils font des agents conversationnels si vous voulez, défini pour vous et sur lequel, parce qu'ils vous répondent, parce que vous interagissez, eh bien il y a une personnification. Et on a beaucoup moins de mises en question.
Et là on peut avoir des enjeux. Alors il y a eu des cas assez dramatiques avec notamment des cas de suicide aux États-Unis où ces IA n'ont jamais renvoyé vers des professionnels de santé ou autre. Certains États à l'heure actuelle vous disent qu'ils vont développer des IA compagnons pour diffuser des valeurs patriotiques. Je pose ça ici. Et le dernier point ce sont les essaims d'IA en IA agentique que l'on va pouvoir déployer notamment sur des réseaux sociaux là où vous allez avoir un enjeu.
Alors pour ceux qui y croiraient encore c'est que vous avez la création d'un faux consensus. Vous allez avoir des IA qui vont être de plus en plus perfectionnées pour contrefaire un comportement humain. Et dans ce cas-là bah vous avez cette espèce d'impression que tout le monde pense de cette façon-là qui peut influencer votre propre perception ce qu'on appelle la pression sociale et c'est un vieux mécanisme de psychologie depuis Asch dans les années 70. Donc on a quand même pas mal de choses comme ça. C'est pour ça que oui il y a la question technique.
Oui il y a le travail avec les plateformes qui ne sont pas qui n'ont pas forcément un intérêt premier à être tout à fait collaboratives mais ça vous le savez.
Speaker 15
Mais il y a aussi cette question de comment est-ce que l'on se réapproprie les choses, comment on se réapproprie le temps également.
Jean-Louis Thiériot
En complément sur les pays qui ont fait savoir ou qui ont laissé entendre qu'ils créeraient des IA compagnons. C'est de l'autre côté de feu le rideau de fer ou il y a d'autres pays qui se sont exprimés ?
Christine Dugoin Clément
Alors, il faut toujours se méfier aussi entre l'état, la déclaration, hein, les mots ont une capacité de projection de puissance aussi. Mais oui, c'est de l'autre côté que cela se passe et c'est en alignement avec différentes structures qui ont pour finalité de produire du contenu qui met en ligne les valeurs de l'État et le patriotisme. Je pense par exemple à l'IRI et à la SDA où là on va travailler y compris sur des séries, sur des films, sur des jeux vidéo, sur des prix du tweet le plus viral mais qui est quand même pris dans un choix assez particulier même s'il a été il peut être prouvé que le tweet en question qui gagne le prix, le jury étant dirigé par un certain Kirienko à tout hasard, est une contrefaçon puisqu'on a pu reconnaître que bah les participants sont en fait des acteurs dont les profils sont en ligne à titre d'exemple.
Josy Poueyto
Oui, merci Monsieur le Président, merci à vous deux. Je vais m'adresser plus particulièrement donc à Madame Dugoin et merci parce que c'est toujours très passionnant vos dommage qu'on n'ait pas plus de temps.
Vous parlez vite, mais c'est dommage que même en parlant vite, on ne puisse pas aller un peu plus loin. Les guerres, les conflictualités à l'heure de l'interconnexion du monde prennent de l'épaisseur et nous disent de plus en plus clairement que le champ de bataille n'est plus celui du passé. Il est devenu multiforme. Cette extension de théâtre des opérations à tous les domaines qui structurent nos sociétés souligne que la frontière entre le civil et le militaire est devenue insignifiante. C'est ce que décrivaient d'ailleurs dès 1999 les colonels chinois auteurs de La Guerre hors limites, pour lesquels le champ de bataille se trouve désormais partout, jusqu'au sein de la conscience de chaque individu.
Ces manœuvres contemporaines se déploient d'autant plus facilement que les réseaux sociaux et l'intelligence artificielle confortent leur position. J'aimerais vous entendre sur les parades à mettre en œuvre dans l'hypothèse où celles-ci existeraient véritablement. L'éducation, bien sûr, est certainement le levier le plus efficace pour armer nos concitoyens face aux stratégies d'influence et autres fausses nouvelles. Mais c'est un processus long. Sera-t-il possible un jour de bloquer de fausses informations avant qu'elles ne se répandent partout ?
Par ailleurs, estimez-vous que le caractère interministériel d'une réponse à la guerre hors limites est suffisamment pris en compte dans notre pays ou existe-t-il encore des cloisonnements, notamment territoriaux, entre Paris où se pensent les stratégies et les territoires ?
Je vous remercie.
Speaker 19
Merci pour votre question à laquelle il va m'être difficile de répondre dans un temps court et sans courir. Je vois qu'on me challenge aujourd'hui.
Speaker 18
Attendez, vous avez un peu de temps de ma réponse. Je vous en ai laissé un peu.
Christine Dugoin Clément
Merci. Alors vous avez évoqué la Chine, c'est un cas particulièrement intéressant puisque là on a tout un travail qui remonte dans le temps, qui s'inspire de l'approche des trois guerres, mais où on va même un petit peu au-delà. C'est-à-dire que bien évidemment tout le système d'information, qu'on parle de système d'information militaire, qu'on parle de système d'information civil ou qu'on parle d'approche informationnelle, sont intégrés dans une approche de conflictualité.
Et il y a même tout un travail qui se porte de développement sur des outils qui vont toucher à la biologie. Imiter le cerveau, augmenter le cerveau, on va être à la limite de la neurobiologie et de la physiologie. Alors encore une fois, où mettre le curseur entre l'annonce et puis bon, c'est pas forcément ce que l'on met sur la place publique, mais en tout cas, c'est un sujet réellement d'intérêt. Et les cognitions sont considérées comme étant un champ d'affrontement. Et ça, si vous lisez les textes, ça ressort de manière extrêmement claire, y compris dans ceux qui sont accessibles.
Concernant la problématique des réponses, ça revient un petit peu à ce que je disais tout à l'heure. C'est-à-dire qu'on ne peut pas faire une réponse qui ne soit portée que par un volet. La réponse, elle ne peut pas être uniquement législative et coercitive, même si on en a besoin. Je veux dire, si on veut parler à des plateformes pour essayer de limiter en tout cas des comportements qui pourraient leur être bénéfiques mais qui pourraient pour nous, dans cette approche-là, et bien être tout à fait délétères, on passera par une approche évidemment réglementaire.
Donc ça, on en a besoin, bien évidemment. Mais le volet de l'éducation, vous l'avez, vous l'avez souligné, il est éminemment important. Mais ça force aussi à faire un effort de se réapproprier le temps. À l'heure actuelle, on a une question du marché de l'attention et du raccourcissement de l'attention.
On estime qu'en sept minutes, temps moyen d'une vidéo YouTube, vous devez être capable de pouvoir vous expliquer un phénomène complexe d'astrophysique. Je suis au regret de vous dire que les tweets sont beaucoup plus populaires que les articles académiques, aussi passionnants soient-ils. Donc, non mais oui, je m'émeus. Mais si vous voulez, voilà, on a cette problématique-là. Comme je le disais, pour moi, on est sur différents niveaux et ce que l'on va souvent voir, c'est de la division, de la fracturation et de la polarisation.
On va créer des petits micro-groupes, si vous voulez, qui auront en commun d'être souvent en colère, de se sentir maltraités ou d'avoir quelque part un ressentiment et de jouer sur une émotion un peu vive. Et puis au bout d'un moment, eh bien on va essayer de trouver un argument qui va réunir toutes ces colères, si vous voulez, tous ces mécontentements.
Et puis ça, c'est quelque chose qu'on va mettre en place. Moi je pose une question dont je n'ai pas la réponse, mais qu'est-ce qui fait qu'aujourd'hui on a encore envie de faire société ? Puisque plus vous allez fracturer, d'accord, plus la société elle est déjà clivée, plus ça vous simplifie le jeu. C'est ce qui a déjà été expliqué préalablement. Et qu'est-ce que nous on est capable de mettre en place en termes de bouclier cognitif qui fait que, et bien si votre voisin s'est mis au violon et qu'il est dans les premiers mois et qu'il se met à jouer tous les soirs quand vous rentrez du boulot, bon bah finalement vous allez quand même plutôt aller toquer et trouver un moyen d'entente plutôt que de rentrer dans une approche qui va être difficile.
D'accord ? Ça c'est un premier point. Et peut-être qu'on pourrait se poser la question de ce qui fait que moi, mes enfants, mes parents, mes grands-parents, qu'est-ce qui fait que on a quand même envie de continuer à être ensemble, à se parler et à habiter le même territoire. Ça je pense que c'est une vraie question qu'il faut que l'on se pose notamment avec les jeunes générations parce qu'on leur tape beaucoup dessus en disant que ce sont les premières victimes des approches des approches cognitives, des attaques informationnelles.
C'est pas forcément vrai, hein, d'ailleurs. Là-dessus, modérons les choses. Disons qu'ils n'ont pas les mêmes surfaces de vulnérabilité, les mêmes fragilités que des populations plus seniors. On est sur une diversité. Ça pose aussi la question de la diversité de l'accompagnement, de la réponse.
Donc on a vraiment tout ce volet-là, la diversité. Qu'est-ce qui fait qu'on a vraiment envie d'être ensemble, de débattre, donc de parler pour ne pas se battre les uns avec les autres, de trouver qu'on est quand même mieux à vivre ensemble ici que d'aller ailleurs potentiellement.
Et ça c'est une question qui se pose aussi dans des approches de conflictualité. Je pense que ça c'est une question qu'on doit vraiment se poser de manière pragmatique en les écoutant et en les écoutant réellement. Je suis souvent émue de voir des débats où on parle de la relation avec les jeunes et alors c'est très flatteur pour moi mais il m'est arrivé dans l'assemblée d'être la plus jeune. Mais je suis pas le cœur de cible. Donc à un moment à quel moment est-ce qu'on je pense qu'il faut aller là-dessus.
Et puis le dernier volet bah il est aussi sur la recherche. Si on veut pouvoir continuer à avancer bah il faut qu'on ait des chercheurs qui puissent travailler, qu'aient les moyens de travailler. Et puis il faut que bah ces chercheurs-là fassent l'effort et là je plaide pour nous hein d'être en transdisciplinarité parce que ce sujet-là on ne peut pas le traiter uniquement dans une approche d'informatique, uniquement dans une approche de psychologie, uniquement dans un point de vue managérial. Ça nous amène à devoir faire ces travaux-là qui sont un petit peu plus longtemps, qui obligent à faire du thème et de la version et ça il faut qu'on puisse l'intégrer.
Donc ça veut dire effectivement décloisonner, vous l'évoquiez, ce qui n'est pas simple. Arriver à se donner un droit à la créativité aussi, à penser un petit peu hors de cette fameuse boîte. Monter non seulement et la formation, mais que les chercheurs puissent le faire, qu'ils puissent travailler en collaboration. Je suis ravie d'être ici et d'échanger avec vous, mais ce genre de moments sont des moments qui sont assez précieux et que, bah, les sujets ne deviennent plus des sujets intouchables par la recherche parce que des sujets chauds.
Vous évoquiez tout à l'heure la sécurisation, mais j'ai certains de mes collègues qui travaillent sur des IA pour arriver à augmenter la sécurisation dans la mer du Nord notamment, d'autres qui travaillent pour arriver à définir des caractéristiques spécifiques des navires qui font de la contrebande, y compris de produits stupéfiants, pour pouvoir permettre d'avoir une forme d'anticipation et de réagir. Bah le temps que vous gagnez vous permet toujours autant pour l'anticipation, mais sous votre contrôle. Donc voilà à peu près cette approche-là. On va être obligé d'être aussi beaucoup plus réactifs, agiles, pragmatiques et d'apprendre à se parler, que ce soit entre chercheurs, que ce soit entre composantes réellement. Et nous-mêmes, si on veut avoir cette espèce de bouclier cognitif, je pèse mes mots, bah ça passe aussi par là.
Speaker 12
Merci. La parole est à Lise Magnier pour le groupe Horizons et apparentés.
Lise Magnier
Merci Monsieur le Président. Merci Madame. Merci Monsieur. Effectivement, un grand nombre de questions ont d'ores et déjà été posées, donc je vais peut-être juste revenir sur un sujet pour vous permettre surtout de compléter les propos que vous avez d'ores et déjà tenus. Nous avons évidemment abordé la question de l'influence, des ingérences, en abordant par exemple Madagascar, le continent africain, Mayotte ou encore les TAAF.
Mais peut-être monsieur pouvez-vous aborder le sujet de la Guyane, des enjeux et risques liés effectivement à la Guyane parce que je pense que nous avons là aussi quelques points à aborder. Et puis madame effectivement on parle beaucoup de cette guerre cognitive, de la tentation de manipulation et d'influence étrangère. Moi je voudrais avoir peut-être votre avis sur la relation que nos États doivent aussi entretenir avec ces grands faiseurs que sont notamment les GAFAM. Quelle est selon vous la capacité finalement de résistance de nos États face à ce qu'on peut appeler la technopolitique ? On peut voir la tentative d'Elon Musk d'avoir une réelle capacité d'influence politique alors qu'il est avant tout un acteur économique et peut-être le premier influenceur de la planète.
Donc quel est votre avis et surtout quels seraient les outils dont nos États devraient se doter pour être en capacité de résister face à ces acteurs technopolitiques ? Je vous remercie.
Speaker 4
Merci Madame la députée pour cette question sur la Guyane. Alors la Guyane, il y a deux, je dirais deux phénomènes peut-être à observer.
Le premier, c'est les difficultés auxquelles est confrontée la Guyane, difficultés d'immigration illégale en provenance de ses voisins mais aussi d'Haïti, les problèmes de drogue, même si ça n'a pas atteint en Guyane le niveau que ça a atteint aux Antilles, en particulier en Martinique, mais la Guyane reste sur le chemin entre les pays producteurs et les pays consommateurs, et des soucis de pêche illégale.
Pêche illégale avec des acteurs particulièrement violents. Dans ces domaines-là, moi je n'associe pas ces difficultés-là à une forme de guerre hybride. J'associe cela plutôt aux difficultés de l'environnement. Alors certes, ce sont quand même des faiblesses sur lesquelles certains pourraient rebondir s'ils voulaient s'en prendre à la Guyane ou à la France en Guyane. Là où on pourrait se poser des questions, c'est sur la relation entre la Guyane et les États-Unis.
La Guyane est dans l'hémisphère occidental de Monsieur Trump.
Moi, je serais Monsieur Trump, je voudrais vraiment embêter l'Europe, je m'en prendrais à la Guyane et en particulier à Kourou. Voilà. Alors de quelle manière, je ne sais pas, mais soyons soyons vigilants là-dessus. Pour l'instant, je pense que l'état des relations entre l'Europe et les États-Unis n'est pas assez mauvais pour cela. Et en plus, je pense que la France est considérée dans cette zone en particulier pour ce qu'elle fait à partir des Antilles comme une plutôt une puissance stabilisatrice et qui contribue à la lutte contre le trafic de drogue.
Donc qui coopère efficacement avec les États-Unis dans ce domaine-là.
Mais de quoi sera fait demain ? Pour moi, la Guyane est le territoire le plus stratégique pour la France. C'est pas forcément celui dont on parle le plus, mais c'est sans doute le plus stratégique. Donc soyons vigilants à comment dire... Soyons vigilants, ça veut dire peut-être qu'il ne faut pas avoir trop d'ambition visible dans cette zone-là pour ne pas mettre en alerte nos voisins nord-américains qui tiennent à leur pré carré dans cet hémisphère.
Cela dit, au-delà de l'espace, je pense que la Guyane aurait un gros intérêt, c'est ce que je disais, comme d'autres territoires, à développer ses coopérations économiques, en particulier avec les pays de la région, avec son grand voisin brésilien plus qu'avec les autres parce que les autres, à la fois le Brésil lui fait une barrière vers le sud et les autres voisins, la coopération est utile pour limiter les difficultés d'immigration et de pêche illégale, mais elle n'est pas, comment dire, c'est pas ça qui va contribuer au développement économique de la Guyane. Voilà. Donc soyons vigilants surtout, je pense, vis-à-vis des États-Unis. Voilà.
Christine Dugoin Clément
Alors concernant la relation avec les plateformes, bah c'est véritablement un enjeu puisque vous êtes avec des structures dont le chiffre d'affaires peut être supérieur au PIB de certains États. Donc et dont l'intérêt est pas forcément humaniste, on est dans des dans des dans des structures qui sont commerciales, faut quand même pas l'oublier à un moment la finalité n'est pas forcément le bien de l'humanité mais le bien des actionnaires, on n'est pas vraiment dans le même dans la même approche. Ça pose la question du rapport de force. C'est pas un hasard si quelque part l'échelle européenne a permis bah parfois d'avoir un petit peu plus de force parce que sur la l'envergure démographique ou économique, bah ça pèse plus, on est vraiment sur un une question de rapport de force j'allais dire primaire. Alors après on peut le regretter ou pas mais mais la réalité des faits est là.
Je vous en prie.
Christine Dugoin Clément
Un autre moyen aussi c'est d'essayer d'activer la société civile.
On a vu que notamment un certain Mark Zuckerberg avait rétropédalé à un moment ou deux, bah parce qu'on a cet enjeu économique. Alors c'est plus facile à dire qu'à faire, bah pourquoi notamment parce qu'il y a des mécanismes qui sont dans les algorithmes, qui sont pensés pour créer de l'addiction, pour capter cette attention puisque l'attention et l'engagement, c'est de l'argent, c'est aussi simple que ça. Donc on a tout ce volet là.
La question des alternatives se pose, mais ça c'est extrêmement délicat puisque partir de rien pour avoir une alternative, là ça commence à être extrêmement difficile. Alors je sais que la question de la régulation par interdiction est un sujet qui est posé pour les jeunes de manière régulière. Alors attention parce que bah oui, on va jouer sur l'outil, mais à partir du moment où on interdit quelque chose, bah il faut envisager déjà tous les systèmes de contournement qui sont très largement connus. Donc il y a des effets, le sujet est complexe parce qu'on aura des effets de domino. Je dis pas qu'il ne faut pas, je dis qu'il faut l'envisager avec tout ce qui sont déjà des outils faciles d'accès pour le contournement et qui sont déjà actuels.
Alors il y a d'autres options aussi qui peuvent être faites, ce sont des outils de détection ou de suivi que l'on peut tenter d'essayer de mettre ou d'insérer de manière native ou en tout cas facilement accessible puisque ça c'est aussi un des gros jeux des plateformes de dire oui oui on l'a fait, enfin sauf si vous passez cinquante minutes à farfouiller dans toutes les composantes, je vous souhaite bien du bonheur pour y arriver. Mais on sait que par exemple les contenus à forte charge émotionnelle sont particulièrement mobilisateurs et sont particulièrement diffusés. Si vous avez ne serait-ce qu'un dashboard qui vous dit que là, qui est personnel, qui vous explique que là, imaginons vous êtes en Nouvelle-Calédonie, il y a une crise en Nouvelle-Calédonie, vous y êtes et là dans votre fil d'actualité vous avez plus quatre-vingts pour cent de contenus à forte charge émotionnelle sur le sujet, ça peut simplement vous permettre de vous dire il se passe quelque chose.
La question n'est pas d'infantiliser ou de décider à la place des gens, et chacun a le droit d'avoir son opinion, quelle qu'elle soit. Mais le problème, c'est que ça soit réellement la vôtre. Le sujet est là. Donc simplement de se dire : bah là, on est en train de me bombarder, est-ce que je ne peux pas prendre un petit peu de recul ? On a cette approche-là, qui sont des choses qui pourraient être mises en place sur ces sur ces questions de suivi ou de détection.
Alors il y a des collaborations qui sont faites, mais parfois de manière, dirons-nous, impressionniste. Donc c'est c'est un véritable enjeu, c'est un que l'on doit prendre, et ça pose d'autres questions. On peut discuter avec les GAFAM outre-Atlantique, même si je crois que le CEMA parlait d'un allié un allié imprévisible.
Donc on a cette question-là. Elon Musk a pris des positions qui étaient, je vous rappelle, le sondage sur Twitter sur grosso modo l'accord de paix Ukraine-Russie. Quand vous parlez avec TikTok, là on est encore dans un autre débat sur la négociation. Donc on a vraiment cet enjeu-là où finalement, bah on n'a pas vraiment de solution alternative qui soit ne serait-ce qu'européenne qui fonctionne. Donc oui, il va falloir faire avec.
Être conscient du rapport de force, ça veut dire aussi s'armer pour avoir des équipes qui soient en capacité de vérifier que, par exemple, quand on vous donne un algorithme, on puisse l'analyser et pas au bout de six ou sept mois, sachant qu'en général le gros jeu des plateformes est de vous donner les clés de l'algorithme qui est déjà obsolète et qui sera remplacé environ une à deux semaines après vous l'avoir livré.
Donc ça ce sont des points d'attention, ce sont un peu des filous à avoir et à intégrer, mais ça demande là encore une collaboration extrêmement forte entre des techniciens, entre des politiques parce que bah la capacité d'avoir de créer des lois et d'avoir cette approche de négociation et parfois de penser à des collaborations qui peuvent être au niveau supra-étatique parce qu'il y a une question de rapport de force.
Jean-Michel Jacques
Merci. D'ailleurs, la charge émotionnelle qui peut être issue des algorithmes, on est bombardé à 80 % d'un événement sur la Nouvelle-Calédonie. On le retrouve aussi sur nos chaînes de télévision. On n'est pas uniquement dans les algorithmes, il y a aussi, on peut le retrouver, les chaînes continuent, on voit bien en ce moment, par exemple, on est passé de la guerre en Iran au virus et on va passer avec une charge émotionnelle. Et on a, là c'est pas les algorithmes, mais c'est en fait les rédactions auprès de quoi elles courent.
Donc on n'a pas que la technologie qui nous enferme, mais on a aussi des volontés, ça rejoint peut-être la question de Lise Magnier, aussi parfois d'individus ou de groupes d'individus, la rédaction de telle chaîne de télévision qui veut nous enfermer dans des boîtes aussi pour des raisons économiques. Et vous parliez, on peut légiférer sur les algorithmes ou etc.
Ce qui est plus, ce qui est déjà pas facile, mais ce qui est quand même plus facile que légiférer sur les rédactions des chaînes de télévision. Voyez ce que je veux dire, parce que là on touche au droit, mais n'empêche qu'il y a un sujet. Je vous en prie.
Christine Dugoin Clément
Alors, je suis très loin d'avoir une solution encore une fois, mais ce que l'on a pu observer, c'est aussi une mutation dans le monde de l'information, qu'on parle de la presse, de la radio ou de la télévision, peu importe, avec la montée des réseaux sociaux puisqu'il y a eu finalement cet effet de dire qu'ils se retrouvent en concurrence avec ce qui va basculer sur des réseaux sociaux.
Parce qu'on a cette espèce d'horizontalisation du niveau et le problème des réseaux sociaux, bah c'est que la parole de n'importe quel expert est à peu près aussi valide que celle de mon chat, même si j'ai beaucoup de respect pour ce noble félin. Néanmoins, si vous voulez, on arrive à avoir une course entre des rédactions qui ne veulent pas se retrouver dépassées par des réseaux sociaux, qui parfois, bah un journaliste d'investigation, il demande du temps, il demande des fonds. Donc on a vraiment cette question-là. C'est-à-dire que si on arrive aussi dans une certaine mesure à réguler ou à repositionner les choses, bah on arrive aussi un peu à décontracter cette pression.
Je vous dis pas que c'est une solution absolue, mais ça pourrait peut-être essayer de limiter ce qui est parfois vulgairement appelé de la course au buzz.
Jean-Michel Jacques
Bien sûr, il faut redonner confiance. Et donc peut-être amener de l'argent public pour aider des médias à faire de la vérité, et je mets des guillemets, qui serait financée eux-mêmes par le gouvernement, enfin voilà, c'est très complexe. La parole est à Bernard Schéck pour le groupe UDR.
Bernard Chaix
Merci Monsieur le Président. Madame, Monsieur, l'ordre géopolitique est particulièrement instable avec notamment l'embrasement du Moyen-Orient et le retour de la haute intensité dans l'est de l'Europe.
Sans être directement impliqué dans ce désordre mondial, notre pays n'est pas épargné. Après l'Ukraine, la France est le deuxième pays européen le plus visé par des ingérences étrangères. On a souvent évoqué les ingérences russes. Elles sont nombreuses, documentées et indéniables, qu'il s'agisse de manipulation de l'opinion à travers les étoiles de David taguées mais aussi des campagnes numériques sur différents réseaux. Cependant, d'autres ingérences sont moins traitées dans l'espace politico-médiatique.
Je pense évidemment à nos outre-mer. C'est une véritable guérilla de l'information qui est menée contre la République. Et son chef d'orchestre, c'est souvent l'Azerbaïdjan.
En Nouvelle-Calédonie, aux Antilles et même en Corse, ce pays soutient les mouvements indépendantistes. Le service Viginum avait documenté la stratégie numérique de l'Azerbaïdjan appelant au boycott des Jeux Olympiques et au soulèvement des populations ultramarines. Si la Russie a toujours nié ses ingérences, le groupe d'initiative Bakou, officine de propagande de l'Azerbaïdjan, bénéficie d'une tribune institutionnelle à l'ONU. La semaine dernière encore, le groupe publie un communiqué critiquant l'élargissement du corps électoral en ce qu'il nuirait, je cite, au processus de décolonisation de la Nouvelle-Calédonie.
Or la stratégie nationale de lutte contre les manipulations de l'information récemment publiée par le SGDSN ne mentionne pas directement le groupe d'initiative Bakou et ses formes presque institutionnelles d'ingérence. Ma question est donc la suivante : quels sont les leviers diplomatiques ou autres dont bénéficie la France, membre permanent du Conseil de sécurité, pour lutter contre ces ingérences qui bénéficient d'un écho au sein même des institutions internationales ?
Je vous remercie.
Speaker 4
Peut-être merci Monsieur le député pour cette question. Je vais essayer de vous apporter quelques éléments de réponse. La position de la France à l'ONU, la France est certes membre permanent du Conseil de sécurité mais je le disais dans mon propos liminaire, il y a un certain nombre de petits pays, il y a beaucoup de petits pays dont la voix au moins dans l'Assemblée générale compte autant que celle de la France.
Et je prendrai simplement un exemple. La Polynésie française a été réinscrite en 2013, je crois, je ne suis plus sûr de l'année, dans la liste des pays non autonomes, donc à décoloniser de l'ONU. Alors à l'initiative d'Oscar Temaru, donc ça venait de l'intérieur, mais cela n'aurait pas pu être ainsi si cette initiative n'avait pas été soutenue par une multitude de petits pays, en particulier les États du Pacifique. Donc il y a une, je ne suis pas sûr que du fait de sa position en tant que membre du Conseil de sécurité, la France ait les moyens de contrebalancer certes des décisions qui n'ont pas de pouvoir d'exécution, qui n'ont pas de conséquences immédiates et concrètes, mais c'est difficile pour elle, je pense, de contrebalancer le poids de très nombreux États qui ont accédé relativement récemment à l'indépendance et qui écoutent, qui sont très à l'écoute du discours des autres.
Alors ça touche essentiellement la Nouvelle-Calédonie et la Polynésie. La... en plus au sein du Conseil de sécurité, je pense que la France n'a pas forcément beaucoup d'alliés en la matière. Il est évident que ce genre de démarche est aussi poussé, je dirais l'influence, les influences russes et chinoises auprès de ces petits pays sont, je dirais, sont tout aussi efficaces que l'influence que pourrait avoir la France pour contrebalancer ces idées-là. En termes diplomatiques, je ne vois pas. Alors sur le cas particulier de l'Azerbaïdjan, moi je vois ça, enfin, c'est vrai que les effets de la guerre d'influence sont, on va dire, agaçants plus que négatifs, je dirais.
Je vois ça comme une plutôt comme une comme une mesure de représailles aux positions françaises. Alors ça change rien ça change rien aux effets aux positions françaises sur le sur le soutien français à l'Arménie mais je vois ça plus comme une mesure de représailles plus que comme une une volonté plus générale de de de nuire à la France. Les moyens diplomatiques de s'en protéger je je dois dire que je je ne m'avancerais pas plus là là-dessus.
Simplement je constate, je constate une position relative de faiblesse quand même face au nombre d'États qui sont ouverts à ce genre de discours.
Christine Dugoin Clément
Le cas de l'Azerbaïdjan, il est, il a ça d'intéressant quand je parlais de la volatilité des acteurs parce qu'effectivement les premières réactions sont dues à la situation en Arménie. Vous allez avoir un alignement contextuel d'intérêts avec la Russie pendant un certain temps et puis le torchon brûle pour une question de politique interne, à savoir un avion qui a été détruit, la Russie ne reconnaît pas, etc. Les deux États vont se livrer une guerre avec, enfin une guerre larvée sur la thématique de arrestation de ressortissants de part et d'autre sur différents chefs d'accusation, y compris notamment les cadres de RT, donc Russian Television en Arménie, l'Arménie, en Azerbaïdjan pardon, l'Azerbaïdjan d'ailleurs criant aux ingérences, ce qui ne manque pas de sel, avant que au final on arrive à un retour au calme relatif après une approche de oui on reconnaît, on reconnaît l'implication russe dans le crash de cet avion.
Donc là on a vraiment un exemple de cette volatilité que l'on peut avoir. Moi ce qui me semble intéressant de marquer, c'est que au-delà du sujet de l'indépendantisme, des puces de lit par exemple ou autre chose, ce que vous avez qui se joue et ce sur quoi on va taper si vous me le permettez, c'est le double standard. C'est le fait que finalement vous allez avoir un certain nombre d'États qui peuvent ou d'États ou de groupes, voilà, qui se sentent avec souvent l'histoire derrière avoir été maltraités et cetera.
Là vous le voyez d'ailleurs ce retour du double standard et cetera que l'on revoit. Et la Russie comme d'autres se positionne en attisant ces ces souvenirs qui sont plus ou moins récents comme étant une alternative crédible à un ordre préalable quitte à se dire que pour cela on renverse le droit international.
Et c'est parce qu'on joue sur cette cette histoire, ces traumatismes, cette cette ce sentiment de déclassement, d'injustice et cetera que l'on va pouvoir derrière rejouer là-dessus. Et on est là-dedans. Cette proposition d'alternative on la retrouve hein dans les dans les grosses structures internationales. C'est pas un hasard d'ailleurs si au début de la guerre en Ukraine alors l'Union européenne a été ciblée bien évidemment mais regardez notamment les petits mèmes donc vous savez une phrase une phrase choc avec une vidéo à partir du 1er mars les zones où elles ont été particulièrement diffusées. Le continent africain avait été ciblé, le sous-continent indien et le Moyen-Orient.
Pourquoi ? Bah parce que vous essayez de viser à l'ONU que les votes soient plus favorables. Donc vous avez un jeu, si vous voulez, c'est là où ça s'entremêle. Vous pouvez avoir un enjeu qui va être très local et qui va reprendre une approche beaucoup plus internationale, beaucoup plus géoéconomique. Ça nous force à penser en diatopes, c'est-à-dire à regarder vraiment un micro-événement à une échelle géographique un peu plus large ou encore plus large ce que ça veut ce que ça veut donner.
Et là je vous renverrais à Yves Lacoste, père de la géopolitique en France. Donc ça nous force vraiment, vraiment à aller là-dedans. Et puis bah le deuxième point, et ça c'est la beauté des opérations informationnelles, c'est la question de l'attribution. Et vous allez retrouver la même chose dans les approches dans les attaques cyber.
C'est-à-dire que l'attribution relève du pouvoir politique parce que vous allez avoir des éléments qui vous permettent de, des traces techniques par exemple de manipulation de l'information. On ne regardera pas le récit, c'est ce que fait Viginum qui d'ailleurs est une structure qui est particulièrement efficace. Mais si vous voulez de dire que même si vous avez 95, 96 % admettons de certitude, vous avez quand même les 4 %, 3 %, 2 % si vous êtes à 98 qui permettront un déni plausible en face. Ce qui veut dire qu'à partir de ce moment-là, si vous faites une accusation, eh bien l'État qui va se retrouver accusé ou le groupe peut se draper dans une dignité plus ou moins crédible.
Ça relèvera donc de la décision politique. C'est l'enjeu, il va vraiment, il va vraiment être là. Et ça veut dire qu'il faut être en assumer les conséquences, qu'il faut avoir les éléments techniques qui soient suffisamment solides pour dire bah voilà, je prends le risque sur ces 2 %. Alors parfois il y a un peu moins de ça mais on n'est pas forcément envie de donner la totalité de ses sources et de ses informations.
Jean-Michel Jacques
Merci. Nous passons à présent aux questions individuelles. J'en ai trois, donc nous allons les prendre les trois d'affilée. Donc des questions pour sur une minute. Donc mes chers collègues, je commence par Natalia Pouzyreff.
Natalia Pouzyreff
Merci président. Tout d'abord pour revenir sur les propos de certains collègues, effectivement la guerre hybride c'est peut-être une nouvelle terminologie mais elle n'a rien de nouveau et par exemple je ferais référence à la guerre de l'opium instiguée par les Britanniques en Chine.
Madame Christine Dugoin-Clément, nous avons eu l'occasion avec Marie Recalde, ma collègue, de vous auditionner dans le cadre de notre mission d'information sur la fonction influence et la lutte contre les manipulations de l'information. Le rapport est toujours disponible, je le rappelle pour mes collègues. L'une de nos recommandations était bien d'encourager et soutenir les travaux de recherche scientifique en sciences cognitives visant à objectiver les conséquences des ingérences informationnelles sur la société française.
Vous l'avez rappelé, il reste très difficile de mesurer l'impact d'une attaque informationnelle ou bien même d'un de la répétition d'un narratif sans contradiction. Je citerai par exemple l'ancienne présidente de Russia Today France, Xenia Fedorova, qui propage sans contradiction les narratifs du Kremlin sur les médias CNews et Europe 1. Ainsi, on peut se demander quel impact cela peut avoir sur l'opinion publique d'entendre répéter sans cesse que ce sont les Européens qui sont responsables de la poursuite de la guerre en Ukraine.
Merci.
La parole est à Sylvain Maillard.
Sylvain Maillard
Merci Monsieur le Président. Merci pour ces informations à tous les deux, à nos deux intervenants. C'était vraiment de grande qualité et une audition de grande qualité. Moi j'ai une question toute simple. Monsieur Pelliard, vous avez dit que, en tout cas ce que je retiens de tout ce que vous avez dit, que nous devrions, nous sommes députés, donc qu'est-ce que nous pourrions faire ?
Quel est le message que vous pourriez nous envoyer ? J'ai bien compris sur la Guyane, me semblait le message parfaitement passé. Madame Dugoin-Clément, si vous étiez à notre place, quelle est la mesure que vous, la mesure ou les mesures que vous diriez, il faut mettre absolument en place dans cet ensemble des risques que vous avez largement dépeints ?
Merci et la parole est à Sébastien Saint-Pasteur.
Sébastien Saint-Pasteur
Merci Monsieur le Président. C'est un grand plaisir d'accueillir aussi des universitaires et des chercheurs dans le cadre de nos auditions et vous en avez fait parfaitement la démonstration aujourd'hui à travers vos propos très très intéressants.
Moi, j'aurais une question qui porte plutôt sur un peu la foi que j'ai encore à ce que nous puissions avoir un esprit critique. Et pour faire, comme beaucoup de nos collègues, beaucoup de visites dans les écoles, rencontrer beaucoup de jeunes, on sait quelle est leur exposition aux réseaux sociaux, la hiérarchisation plus complexe qu'ils font peut-être des médias, des données.
On a peut-être, et c'est le sens de ma question, dans d'autres pays une éducation à l'image, une éducation peut-être plus poussée pour mieux appréhender justement ces tentatives d'ingérence, de déstabilisation. Est-ce qu'il y a des modèles particulièrement vertueux en Europe ou dans le monde ? Parce qu'on a quand même une exposition extrêmement forte et vous avez décrit parfaitement la montée en puissance de ces tentatives de déstabilisation. Je vous remercie.
Catherine Rimbert
Merci Monsieur le Président. Madame, Monsieur, pour ma part je voudrais revenir sur le domaine maritime où la guerre hybride prend des formes très variées : contestation de la souveraineté, intrusion dans les ZEE, pression sur les routes commerciales, manœuvres de désinformation, etc.
Tout ça, vous l'avez bien rappelé. D'où ma question qui s'adresse plutôt à Monsieur Pelliard. Comment voyez-vous, à l'horizon 2040, l'évolution de ces stratégies hybrides en mer et notamment dans les espaces ultramarins ? Et quels risques spécifiques identifiez-vous pour la liberté d'action de la Marine nationale et la protection de nos infrastructures sous-marines et littorales ? Je vous remercie.
Jean-Michel Jacques
Merci, mes chers collègues. Madame, Monsieur, la parole est à vous pour ces quatre questions. Je vous en prie.
Prenez votre temps.
Christine Dugoin Clément
Le cas Ksenia Fedorova est un cas intéressant. On pourrait aussi se poser la question d'autres discours qui peuvent être diffusés sans avoir strictement aucune opposition. La question, c'est la mise en perspective. On pourrait se la poser aussi dans d'autres cas beaucoup plus pragmatiques où vous avez des personnes qui sont sous sanctions de l'Union européenne, qui évoluent encore sur le territoire français, qui sortent des ouvrages et qui, par exemple, vont en faire la promotion de façon extrêmement ouverte.
Là aussi, on peut se poser cette question-là. Alors ça pose effectivement l'enjeu d'être en capacité de faire le suivi de ces personnes qui sont sous sanction et puis de limiter les choses. Donc ça, c'est un véritable enjeu. Le problème d'avoir un débat, donc de pouvoir mettre en opposition les idées, va se poser. Mais quand vous allez être dans des contextes qui ne, dans des environnements qui ne s'y prêtent pas, puisqu'on n'est pas dans du débat où forcément on est dans de l'information, mais que l'on tend beaucoup plus à être sur de l'opinion, bah par nature, vous n'en aurez pas.
C'est la problématique de l'enjeu. La question, c'est quand on sait que on a eu des pratiques qui ont été consciemment mensongères, qui ont relevé clairement de la désinformation.
Quoi faire ? Là, ce sont des vraies questions à mon avis qui méritent d'être posées et qui renvoient aussi à avoir un temps d'expression suffisamment long pour pouvoir présenter une articulation logique. Et ça, c'est quelque chose qui est compliqué, ce qui m'amène quelque part, je vais essayer de me rattraper d'avoir été longue, à surfer sur les autres questions, à savoir les mesures et l'esprit critique. Bah, encore une fois, on tape beaucoup sur beaucoup beaucoup sur les jeunes parce que natifs numériques, voire naïfs numériques comme certains le disent. Alors il est vrai que effectivement des gens qui comme vous et moi avons 18 ans pour la vie, quand on faisait une recherche dans le temps passé, eh bien on rentrait dans une bibliothèque.
Alors je vous dis pas qu'il y avait des livres qui étaient plus bas et d'autres qui étaient plus haut, mais le classement était à peu près relativement neutre.
Bon, vous êtes passés sur les moteurs de recherche. Je vous défie de trouver quelqu'un dans cette pièce qui va jusqu'à la page 42 qui lui sera proposée par son moteur de recherche préféré. Et 42 je suis très très optimiste. Là vous avez un autre débat et vous avez une autre question qui moi me paraît être importante, ce sont les IA génératives qui sont de plus en plus utilisées quasiment comme des moteurs de recherche où là vous avez une question, une réponse. Et une réponse qui est faite pour apparaître comme réaliste si vous voulez, qui est facile, qui est rapide.
On a perdu l'acceptation du temps long, de cette frustration de l'attente. Là, on a véritablement un enjeu parce que notamment ces IA, elles vont travailler sur les bases de données qui sont à leur disposition par inférence statistique pour remonter une réponse qui au final a pour objectif de satisfaire son utilisateur. On est sur de l'apprentissage d'intelligence artificielle par renforcement. Alors les différentes plateformes se sont fait un peu taper sur les doigts pour ce qu'on appelle du grooming, à savoir l'empoisonnement de ces plateformes, puisqu'on va avoir beaucoup de sites qui sont générés par IA pour diffuser de la désinformation. Et là on est sur une beauté de la chose, c'est-à-dire que le site n'est pas forcément créé pour une audience humaine, mais pour rentrer dans des bases de données parce qu'évidemment ils sont gratuits et finalement, et bien infléchir les réponses qui seront données par les LLM.
Il y a des travaux de mitigation à ce niveau-là qui sont mis en place mais ça reste une question si vous voulez, ça reste quand même un enjeu. L'esprit critique et la prise de décision oui il faut il faut le faire. Et on décide pas de la même manière ne serait-ce que que d'un point de de de construction biologique à 15 ans que à 20 ans, à 40 ou à 60, chaque tranche d'âge ayant ses avantages et ses inconvénients, soyons clairs.
Je pense que ce qui nous interroge, on peut être pour ou contre les intelligences artificielles. Cela dit, elles sont là. Donc à un moment, nous avons deux options : soit on avance les pieds dans les reins, soit on avance en se disant, bah, il va falloir s'adapter. Ça nous pose des questions dans l'enseignement : enseigner peut-être différemment, avoir des approches qui ne soient pas exactement celles que l'on avait préalablement, expliquer pourquoi on va être dans ces approches-là pour créer une attention. J'ai en mémoire, j'enseigne comme beaucoup de mes collègues.
Vous pouvez arriver à avoir des jeunes qui vont être vraiment impliqués, y compris sur des sujets un peu arides, un peu conceptuels, un peu théoriques, qui ne sont pas forcément des livres de chevet, je vous le garantis.
Mais ça nous force à enseigner autrement, à faire l'effet, à travailler de manière différente. La simulation est quelque chose qui fonctionne assez bien. L'inoculation est quelque chose qui fonctionne assez bien par rapport à ces travaux-là. On a cette capacité-là. Il y a aussi une connaissance des outils et une forme de créativité.
À mon avis, il ne faut pas hésiter à s'appuyer là-dessus et à créer ces ponts-là, c'est-à-dire qu'on ne soit pas dans une espèce de dichotomie qui, là encore, est nourrie, en tout cas pourrait être capitalisée, entre, comment dirais-je, si je parlais cru, jeune crétin et vieux barbon.
Voilà, et ça c'est à nous de de faire ce travail-là. Je peux vous assurer que quand on arrive à les à les motiver et à les tirer, alors bah c'est pas forcément facile, mais ça oblige à enseigner de façon différente. Ça force aussi à leur expliquer comment fonctionne une IA par exemple. On sait que travailler directement par une IA bah a un impact sur la façon dont vous allez vous remémorer le travail par exemple. On a des gens qui se rappellent pas ce qu'ils ont écrit, qui n'ont pas ces éléments-là.
Par contre travailler en collaboration avec une IA, en la challengeant, en comprenant comment est-ce que ça va fonctionner, ça ce sont des choses qu'on va être obligé de mettre en œuvre. Et le problème c'est qu'il va falloir le mettre en œuvre pas uniquement à l'université puisque bah il y a une agilité, il y a des outils qui sont disponibles à peu près comme de manière extrêmement facile.
Les trois quarts des IA ont leurs applications sur téléphone portable. Donc à un moment il va bien falloir expliquer comment est-ce que ça fonctionne. Quand vous expliquez et quand vous faites un exercice tout bête qui est de dire écoutez prenons un sujet qui n'est qui ne fait pas vraiment débat. Je sais pas moi reprenez-moi la biographie de Baudelaire, d'accord, par par une IA. Amusez-vous faites-le avec la vôtre.
Mais on va dire bon un auteur reconnu, il y a des travaux d'historiens, il n'y a plus tellement de débat alors vous pouvez prendre celui que vous voulez Descartes enfin bref peu importe. Et vous lui demandez de faire la synthèse d'une biographie sur une page à une page et demie et vous regardez le nombre d'erreurs que vous aurez et qui seront des erreurs statistiquement vous en aurez toujours. Alors ça va varier hein vous êtes de quatre à sept alors ça varie selon les IA selon les évolutions ce que je vous dis sera peut-être périmé dans une heure avec la rapidité des évolutions bien évidemment. Alors ça peut cela peut être des erreurs bon bah sa femme s'appelait pas Marguerite mais Catherine.
Bon d'accord, alors c'est très embêtant pour Catherine ou Marguerite, mais je veux dire la face du monde n'en est pas changée. Ça peut être des choses qui vont être plus fondamentales. Et vous êtes sur un sujet entre guillemets froid, un sujet où il y a un consensus et qui n'est pas un objet de débat.
Quand vous commencez à expliquer ce genre de chose et à le montrer, ah bah ça ouvre un petit peu des perspectives. Mais sa force, c'est un apprentissage d'un esprit critique, ce que vous disiez. Mais un esprit critique différencié, habitué à ça, se réapproprier le temps. C'est très compliqué. Se réapproprier le temps, se réapproprier l'interaction.
Ce sont des choses que l'on fait avec certains de nos collègues, notamment d'aller voir des collégiens et des lycéens en leur expliquant les impacts des deepfakes. Regardez notamment l'usage des applications de dénudage, bah pour beaucoup, elles sont utilisées dans les collèges entre collégiens sans avoir forcément la perception. Donc il y a un vrai travail de sensibilisation où je pense qu'il faut tous mettre les mains à la pâte bien évidemment pour essayer de travailler cet esprit critique là, mais pas de manière en disant que c'est le mal absolu, mais en modifiant, en intégrant ces nouveautés et en modifiant nos usages.
Speaker 28
Merci. Il nous reste trois quatre minutes. Je vous en prie pour conclure cette audition.
Speaker 4
Monsieur le député, pour répondre à vos questions sur l'évolution des stratégies hybrides en mer, plus qu'une évolution de stratégie, moi je vois une multiplication des modes d'action possibles avec éventuellement une combinaison de ces modes d'action pour créer, et je pense que le risque principal c'est de créer une insécurité maritime qu'elle soit réelle ou non.
Je précise mes pensées. Aujourd'hui, les attaques hybrides en mer, c'est quoi ? C'est du brouillage GPS. Ça pourrait être, je ne sais pas si c'est le cas, mais ça pourrait être de l'incitation à la piraterie. Et toute la multiplication de ces formes d'attaques, le fait de créer de la menace comme aujourd'hui d'une manière tout à fait autre, on crée une menace dans le détroit d'Ormuz en annonçant qu'il pourrait y avoir des mines ou qu'il y a des mines.
Y en a-t-il ou pas ? On ne le sait pas, mais cela crée une menace suffisante pour limiter, empêcher le trafic maritime.
Donc en dehors des détroits, par d'autres, où là, je dirais en pleine mer, l'utilisation des mines est beaucoup moins, beaucoup moins efficace, il pourrait y avoir donc un certain nombre de types d'attaques hybrides qui fait peser, qui développe une menace, quelque chose qui est ressenti comme une menace et qui perturbe le trafic maritime. Avec bien sûr, compte tenu de ce que je vous ai dit sur la dépendance des outre-mer, des conséquences sur les approvisionnements assez, potentiellement assez importantes selon les zones dans lesquelles on, je dirais, on fait peser cette menace réelle ou pas. Sur la liberté d'action de la Marine nationale, moi je crois que le plus gros risque, c'est l'idée que certains mettent en avant, la Chine en particulier, que les ZEE par exemple ne soient pas des espaces de libre circulation pour les navires de guerre.
Ce phénomène, ce que j'appelle la territorialisation des espaces maritimes où le droit maritime, en tout cas l'interprétation qui en est faite par les pays occidentaux est très claire. La ZEE n'est pas une zone de pleine souveraineté. C'est une zone réservée dans son exploitation économique et de recherche au pays riverain.
Le droit de la mer, la convention de Montego Bay n'interdit pas la présence et les activités navales dans cette zone-là. La Chine a intérêt à avoir une vision différente pour s'approprier en particulier la mer de Chine. Elle le fait, je dirais, elle le pratique assez régulièrement, d'où des opérations américaines ou françaises, mais les FONOPs américaines, donc Freedom of Navigation Operations, qui visent à forcer, je dirais, l'application du droit maritime, à pratiquer ce que permet le droit maritime pour éviter qu'il soit petit à petit remis en cause. Donc pour moi, c'est ça le plus grand risque, c'est de faire croire, de laisser courir des idées, un discours disant que les ZEE sont des zones de pleine souveraineté dans lesquelles les navires de guerre n'auraient pas le droit de circuler, de transiter, voire et encore moins d'exercer des activités navales, des exercices.
Ça veut dire aussi qu'il faut qu'on accepte que les autres le fassent chez nous, enfin chez nous, dans nos ZEE. Ce n'est pas exactement chez nous. Voilà.
Jean-Michel Jacques
Merci beaucoup à vous deux pour cette audition comme l'ont dit mes collègues passionnante. Merci mes chers collègues pour les questions que vous avez posées. Je clôture donc cette audition et la prochaine arrive dans quelques minutes. Merci.
Sabine Thillaye
Alors Monsieur le Directeur général, cher Vincent Strubel, chers collègues, permettez-moi tout d'abord de bien vouloir excuser le président Jean-Michel Jacques, retenu par un engagement impondérable lié à sa fonction, qui m'a chargé de présider cette audition.
Alors, dans le cadre de notre nouveau cycle d'auditions « Guerre hybride et continuum de conflictualité », inauguré ce matin avec l'audition de deux chercheurs, nous avons donc maintenant le plaisir d'accueillir Monsieur Vincent Strubel, directeur général de l'Agence nationale de la sécurité des systèmes d'information, plus brièvement appelée l'ANSSI. Cette agence, parfois surnommée le cyberpompier ou le cyber-pompier de la France, a été créée en 2009 sous l'autorité du SGDSN pour développer notre cyber-résilience.
L'ANSSI est vraiment au cœur de la gouvernance de la cyberdéfense. Détecter et répondre aux cyberattaques, sécuriser les activités d'importance vitale de l'État, contribuer au quotidien à la stabilité du cyberespace sont les missions, Monsieur le Directeur général, que vous menez chaque jour. Et vous le dites très souvent, et depuis des années d'ailleurs, la France doit se préparer à un scénario d'attaque informatique toujours plus massif, et je crois qu'on le vit tous les jours, chacun presque. La menace est en constante évolution, et c'est vrai que parfois on a du mal à suivre l'évolution technologique. Elle ne faiblit pas, et les systèmes d'information restent quand même pour partie vulnérables, et je crois qu'on doit vraiment en avoir conscience.
Elle provient aussi d'États étrangers, mais aussi d'acteurs du crime organisé à des fins lucratives.
Elle remet en cause la délivrance de services publics essentiels et surtout elle met en danger nos entreprises. Face à cette menace donc vous nous qualifierez la réalité, l'importance je pense. Vous nous direz quels sont vos moyens d'action, comment vous préparez notre pays et ses acteurs à être à la hauteur de ces cyberattaques. Qu'est-ce que nous nous pouvons faire ? Je crois qu'une première chose qu'on pourrait faire c'est d'appuyer à ce que la directive NIS 2 soit enfin adoptée et qu'on l'ait enfin transposée en droit national.
Enfin adoptée et qu'on a enfin transposée en droit national, elle représente quand même une opportunité unique. Sa mise en application permettra à des milliers d'entités appartenant à 18 secteurs de mieux se protéger, même si c'est un travail aussi beaucoup plus important pour l'ANSSI qui ne s'improvise pas et pour laquelle je pense que vous êtes déjà en pleine préparation depuis des années puisqu'elle aurait dû rentrer en vigueur en France au deuxième semestre 2024. Mais comme je le disais, elle n'a toujours pas été transposée et j'espère qu'on y arrivera avant l'été parce que c'est vraiment une urgence. Quel est votre regard sur ce retard et quels sont les défis donc induits par la directive pour l'ANSSI ? Alors par ailleurs, l'ANSSI a aussi renforcé ses partenariats public-privé depuis des années tout en maillant également le territoire avec les CSIRT déployés dans les régions.
Alors cette trajectoire opérationnelle dans les territoires permet-elle de passer à l'échelle ? C'est une question que qu'on peut se poser. Une stratégie nationale de cybersécurité 2026-2030 a été dévoilée en janvier dernier dans le prolongement de la revue nationale stratégique et il nous serait intéressant aussi d'en connaître les principaux axes.
Et dernier élément, le Premier ministre a annoncé ce 30 avril dernier toute une série de mesures face à la menace cyber sur les infrastructures de l'État. Pour remettre de l'ordre dans notre organisation numérique, a-t-il estimé, en annonçant la création d'une autorité nationale du numérique et de l'intelligence artificielle placée sous son autorité et chargée d'imposer des règles de sécurité à l'ensemble des ministères. L'ANSSI est-elle concernée par cette restructuration et pourriez-vous nous expliquer ce qui en est attendu et même qu'est-ce qu'on peut faire chacun individuellement, surtout en tant que parlementaire aussi ? Alors sans plus attendre, Monsieur le Directeur général, je vous passe la parole.
Vincent Strubel
Merci Madame la Présidente, Mesdames et Messieurs les députés.
Je suis très honoré de plancher une fois de plus devant vous sur ce sujet du continuum de menaces dont je m'efforcerai de détailler le volet cyber qui s'inscrit de fait dans un continuum de menaces hybrides qui pèsent sur nos intérêts les plus fondamentaux. Alors je m'efforcerai autant que possible de répondre à toutes les interrogations que vous avez formulées Madame la Présidente, même si je risque d'en oublier, mais je ne doute pas que j'aurai des questions sur le sujet plus précisément. Moi, dans ce propos liminaire, j'aimerais vous reparler de la menace, de ce que nous constatons dans son évolution récente, vous parler de la menace à laquelle nous nous préparons parce que pour le dire très crûment, la situation est certes grave mais malheureusement nous devons nous préparer et nous nous préparons activement à ce qu'elle devienne bien pire potentiellement, surtout si nous n'y veillons pas.
Et puis comment nous nous y préparons, je pense que c'est évidemment peut-être le sujet le plus important. Sur la menace, moi, j'ai l'habitude de la décrire par un triptyque, par la nature des attaquants, de ceux qui portent atteinte à nos systèmes d'information, qu'il s'agisse de ceux de l'État, des entreprises, des collectivités ou des particuliers, qui sont de trois natures.
Qui sont d'une part des États, qui sont ceux qui nous attaquent à des fins d'espionnage depuis que le numérique existe fondamentalement et ça n'a pas changé même si ça s'est aggravé mais ce n'est pas un facteur nouveau. Des acteurs du registre criminel, crime organisé ou pas tant que ça, qui poursuivent des buts lucratifs, qui cherchent à faire de l'argent sur le malheur des gens, qui se sont structurés au tournant des années 2020 pour passer dans une logique très industrielle qui fait que depuis le tournant des années 2020 la menace n'épargne plus personne. Puis des acteurs activistes qui sont beaucoup plus protéiformes et qui poursuivent surtout des intérêts réputationnels, des coups d'éclat, des effets de sidération le cas échéant. Et donc ces trois catégories se superposent, elles ont une réelle, elles sont tangibles, on les identifie bien dans la menace même si, je le dis en passant, les frontières sont de plus en plus brouillées entre ces différentes catégories d'attaquants avec des réutilisations d'outils, des structurations de l'écosystème d'attaquants qui font que certains acteurs, certains intervenants dans les chaînes d'attaque sont parfois mutualisés entre des acteurs criminels et des acteurs étatiques.
Donc les frontières sont de plus en plus brouillées mais les finalités demeurent les mêmes. La conjonction de ces trois types de menaces font que le niveau de menace est particulièrement élevé, comme j'ai coutume de le dire, elle n'épargne plus personne.
On n'a pas besoin d'être une cible pour être une victime de ce type d'attaque. Quand je dis niveau particulièrement élevé, on n'est pas forcément dans une explosion aujourd'hui. Alors si j'en crois en tout cas les chiffres de ce qui est traité par l'ANSSI, avec un certain nombre de biais évidemment de sélection dans ce que nous sommes amenés à traiter, nous sommes dans un plateau haut avec un niveau d'incidents traités sensiblement similaire en 2024 et en 2025, 1360 incidents à peu près. En gardant à l'esprit que 2024 était une année record et une année olympique qui avait été marquée par une déferlante d'attaques contre les Jeux Olympiques que nous avions su déjouer. Pour dire les choses très concrètement, ça veut dire que l'ANSSI, qui travaille 24 heures sur 24, 7 jours sur 7, traite chaque jour en moyenne une dizaine de signalements, c'est-à-dire d'appels à l'aide donnant lieu à des investigations, dont quatre sont confirmés comme des incidents nécessitant une intervention qui peut être de toute nature, qui peut mobiliser sur un temps long des équipes constituées de l'ANSSI pour traiter une menace particulièrement grave, qui peuvent donner lieu à un traitement plus rapide et plus léger ou un traitement par des acteurs du secteur privé sur lesquels nous avons un rôle de supervision, d'accompagnement des victimes le cas échéant, mais sans faire les choses nous-mêmes en fonction de la gravité et de la nature des acteurs ou des victimes.
Peut-être pour revenir sur ce paysage et changer un peu de triptyque, moi j'aimerais vous dire dans ce que nous voyons de la menace aujourd'hui, distinguer ce qui est nouveau, ce qui n'est pas nouveau mais qu'il ne faut pas perdre de vue, et ce qui n'est pas visible mais qui doit nous inquiéter d'autant plus que ça peut évoluer.
Ce qui est nouveau et très visible, ça ne vous aura sans doute pas échappé, ce sont les vols de données. Alors nouveau pas totalement, mais en augmentation très significative. On a une augmentation de 50 % entre 2024 et 2025 par exemple, avec un certain nombre d'attaques marquantes par leur volumétrie, par la nature des cibles qui ont été ou des victimes qui ont été touchées, notamment l'ANTS récemment. Derrière cette proéminence des vols de données, il y a plusieurs facteurs. Il y a une évolution de l'approche des criminels, ceux qui sont guidés par l'appât du gain, qui font ça en plus ou à la place de ce qu'ils faisaient jusqu'à présent, c'est-à-dire du rançongiciel, la paralysie d'infrastructures informatiques, parce que de facto c'est plus facile à mener comme attaque, c'est plus difficile à contrer, et à l'évidence s'ils continuent à le faire c'est que ça doit leur rapporter de l'argent.
On y voit aussi des acteurs plus isolés, des attaquants isolés, on a y compris des très jeunes parfois qui mènent des actions relativement isolées comme ça a été le cas pour le portail de l'ANTS, ce qu'on pourrait appeler dans d'autres contextes des loups solitaires, guidés à la fois par l'appât du gain et par des enjeux réputationnels et avec derrière ça aussi des effets de bord d'une recomposition du paysage de la menace criminelle et activiste au gré des arrestations parce qu'il y a eu quand même un certain nombre d'arrestations notamment en France et je pense qu'on peut s'en réjouir de personnes mises en cause en tout cas pour avoir mené ce type d'attaques.
Donc ces ces vols de données évidemment ils ont des effets inacceptables qui nous touchent chacun et chacune dans ce qu'on a de plus intime plus intime potentiellement quand il s'agit de données de santé par exemple de de données bancaires qui sont qui sont qui sont volées et et revendues potentiellement qui ne touchent pas je le précise à des enjeux de sécurité nationale au sens strict du terme mais ça veut pas dire que c'est pas c'est pas important qui nous rappelle fondamentalement la vulnérabilité des vulnérabilités basiques universelles qu'on retrouve au sein de l'État et de manière inacceptable qu'on retrouve dans le secteur privé qu'on retrouve partout et qui ne sont pas propres de la de la France.
Ce sont les mêmes vulnérabilités qui permettent depuis des années toutes les attaques cyber que nous constatons et qui sont exploitées de manière plus directe pour des vols de données. Derrière tout ça il y a quelque chose qui m'inquiète encore plus fondamentalement c'est le caractère particulièrement asymétrique de ces attaques. La cybersécurité c'est fondamentalement asymétrique. Ça demande toujours beaucoup plus de temps de travail d'énergie de d'analyser et de remédier à une cyberattaque que de mener la cyberattaque. Mais cet effet il est décuplé cette asymétrie est décuplée dans le cadre des vols de données d'autant plus qu'elle se prête au bluff parce que c'est facile de bluffer de dire j'ai volé des données payez-moi une rançon sinon je les publie.
À ce stade-là, on ne sait pas si l'attaquant ment ou pas. Parfois oui, parfois non. Dans tous les cas, il faut investiguer. Au global sur ce qu'a traité l'ANSSI en 2023, c'est 60 % des attaques revendiquées de cette nature-là qui sont du bluff. Je veux dire qu'il y en a 40 % qui sont avérées.
C'est 40 % de trop. Mais il y a aussi une surcharge de travail face à ce bluff. Derrière tout ça, il y a un enjeu d'érosion. Érosion de double nature. Érosion des capacités de cyberdéfense de l'ANSSI, des équipes ministérielles, des équipes dans les entreprises, des partenaires du secteur privé qui interviennent sur ces attaques, qui sont sur la brèche de manière continue depuis quelques mois au fil de ces vols de données.
Au mieux pour analyser une revendication et constater qu'elle n'est que du bluff, et dans ces cas-là on s'en réjouit mais on a quand même fait le travail. Au pire pour faire quelque chose qui est fondamentalement un post-mortem parce que le mal est fait quand les données sont volées. On ne peut plus les rattraper.
Donc tout ce qu'on peut faire à ce moment-là c'est comprendre ce qui s'est passé et veiller à ce que ça ne se reproduise plus ou identifier les causes. Et donc il y a une vraie je le dis en passant un vrai effet de fatigue palpable dans l'ensemble de l'écosystème de cybersécurité face à ces ces attaques. L'érosion je le disais elle est double au-delà de l'érosion des capacités cyber il y a une érosion aussi tangible de la confiance qui nous amène à douter de nous-mêmes à douter de nos capacités à douter de nos institutions et d'une certaine manière à intégrer dans le paysage des des éléments de langage qui sont ceux des attaquants parce que ce sont les attaquants qui sont très communiquants dans ce ce type d'attaque et qui sont les premiers à parler suite à une attaque et qui sont les seuls à savoir au début ce qui s'est passé.
Donc ça m'inquiète non seulement par les conséquences bien réelles, tangibles et graves que ça a sur les données personnelles de nos concitoyens, mais surtout aussi par la faiblesse collective que ça démontre et par notre vulnérabilité tant sur le plan technique que sur le plan quelque part informationnel. Et puisque le sujet de vos auditions est une forme de continuum, il y a derrière tout ça aussi une forme de continuum. Je le disais, c'est la partie visible nouvelle du paysage de la menace, mais ça ne représente que 15 % du total de ce que nous traitons.
Donc c'est quelque part la partie émergée de l'iceberg. Dans le reste, il y a des choses qui ne sont pas nouvelles, mais qu'il ne faut pas perdre de vue. Je pense par exemple au rançongiciel qui qui reste une menace qui baisse un petit peu mais qui reste d'actualité, comme l'a vécu encore récemment la la ville de Quiberon par exemple, début mai, qui paralyse des des infrastructures informatiques, qui a paralysé par le passé nos hôpitaux. On peut se réjouir du de de nos progrès en la matière parce que c'est on n'a plus d'atteinte à la continuité de l'offre de soins suite à ces attaques, mais qui reste une menace tangible pour des collectivités, pour des petites entreprises notamment. Je pense aussi au sabotage de petites installations d'énergies renouvelables, d'éoliennes, de micro-barrages, qui est une réalité à laquelle nous faisons face de la part d'acteurs activistes, notamment pro-russes, depuis 2024, sans conséquences graves, mais avec derrière quand même un le signe d'une désinhibition croissante de ces attaquants.
Quand un attaquant prend le contrôle de ce qu'il pense être un barrage et ouvre les vannes, on peut se réjouir du fait que ce n'était pas un barrage, c'était un moulin, mais derrière l'intention est là. Et donc c'est quelque chose qui doit nous interpeller aussi. Et puis il y a ce qui n'est pas visible, qui n'est pas nouveau, mais qui doit nous inquiéter parce que ça pourrait évoluer et devenir catastrophique, c'est l'action des États qui nous attaquent, qui nous espionnent. C'est une réalité quotidienne qui touche les administrations les plus sensibles, nos réseaux diplomatiques, les entreprises stratégiques, notre base industrielle et technologique de défense par exemple, mais pas que, nos opérateurs de télécommunications.
Et ce qui nous occupe le plus au sein de l'ANSSI aujourd'hui, non pas par le nombre des attaques mais par l'intensité du travail que ça demande pour comprendre ce qui s'est passé, comprendre ce que fait l'attaquant et veiller à ce qu'il soit bien chassé de nos réseaux. À tout moment, l'ANSSI mène en parallèle trois ou quatre opérations visant à répondre à ce type d'attaque. Opérations qui s'inscrivent dans le temps long, dont le coût pour l'ANSSI se chiffre en centaines de jours-personnes, voire pour les plus intenses, 2 500 jours-personnes. C'est le record actuel, je le crois. Ça veut dire une équipe de 20 personnes mobilisées à temps plein pendant six mois pour sur des capacités de traitement de réponse à incident de l'ANSSI que j'estime à environ 150 personnes parmi les effectifs de l'ANSSI.
Donc c'est quand même quelque chose qui peut être très significatif très vite.
Ce qui nous inquiète dans tout ça c'est non seulement l'espionnage et ses conséquences directes mais aussi la capacité d'évolution de cette menace vers le sabotage. La différence entre l'espionnage et le sabotage n'est pas une différence technique. Les capacités que ça exige de la part de l'attaquant sont les mêmes. C'est juste une différence d'intention. Quand on est capable d'espionner on est capable de saboter.
Et le sabotage on le voit à l'œuvre depuis des années en Ukraine. On l'a vu plus récemment à l'œuvre en Pologne. La Pologne a rendu compte d'une attaque contre son réseau électrique le vingt-neuf décembre par des attaquants qu'elle a attribués à la Russie et je ne me prononcerai pas comme d'habitude sur cette attribution qui appartient à la Pologne. Attaque visant de manière synchronisée une trentaine de points d'interconnexion du réseau électrique avec des énergies renouvelables une centrale thermique.
Plus récemment, la Pologne a fait état aussi d'une attaque contre ses installations de gestion de l'eau potable et de la distribution et la production d'eau potable. C'est des choses que qui doivent nous interpeller d'autant plus que nous voyons aussi à l'œuvre des logiques qui pourraient être lues comme du prépositionnement stratégique sur nos infrastructures critiques de la part d'attaquants étatiques qui pourraient mener à de l'espionnage mais qui peuvent là encore mener aussi, et c'est une question d'intention, à du sabotage.
Donc je le disais en introduction, la situation est grave mais on se prépare à ce qu'elle soit pire. Et on se prépare à ce qu'elle soit pire pour deux raisons au moins. D'une part parce que l'intelligence artificielle va multiplier le risque. Alors on a beaucoup parlé de Mythos ces dernières semaines. Mythos ce n'est pas une rupture, c'est une étape importante, significative dans une tendance qui se dessine déjà depuis quelques mois voire quelques années et qui va se poursuivre.
C'est pas nouveau, ça s'accélère. Si le problème n'était que Mythos ce serait gérable, mais la réalité c'est que Mythos va être dépassé, si ce n'est pas déjà le cas, par d'autres modèles qui accroîtront encore les capacités de l'intelligence artificielle à trouver des vulnérabilités dans nos logiciels et à faciliter l'exploitation de ces vulnérabilités.
Donc on a une perspective d'une vraie accélération de cadence et d'une explosion du nombre de vulnérabilités qui, même sans IA, nous posent déjà un problème. L'IA aussi peut être un facteur de vulnérabilité en tant que tel. Quand on la déploie à grande échelle de manière très accélérée, il faut garder à l'esprit que nous n'avons pas les mêmes garanties de sécurité aujourd'hui sur une intelligence artificielle que sur un logiciel classique. Et donc le risque est de couper dans les virages et de créer, en déployant massivement des intelligences artificielles et une forme de monoculture dans l'IA, dans les modèles, des vulnérabilités systémiques ou structurelles dans le numérique qui reviendront nous poser des problèmes plus tard.
Et puis la deuxième raison qui nous pousse à anticiper que ce soit pire, c'est le scénario central de la revue nationale stratégique de 2025, que je pense que vous connaissez bien dans cette commission, donc je n'en referai pas l'exégèse complète. Mais ce scénario central auquel nous devons nous préparer, sans qu'il soit une certitude, il a un volet cyber qui verrait la mobilisation coordonnée par nos adversaires de toutes les composantes de la menace, c'est-à-dire des services étatiques concentrés sur les infrastructures les plus critiques, les attaques les plus avancées, une partie de l'écosystème cybercriminel qui cohabite avec certains États qui pourraient mener des actions de paralysie non pas des infrastructures les plus critiques, mais par exemple des hôpitaux, des collectivités avec un impact direct sur le fonctionnement au quotidien de la nation.
Et puis de tout cet écosystème beaucoup plus vaste, y compris de loups solitaires qui viendraient rajouter du bruit. Ça peut, ce n'est pas pour, ça consiste, enfin il n'y a pas là de minimisation des conséquences d'attaques par exemple de vol de données, mais qui rajouteraient encore à la masse des cyberattaques que nous aurions à traiter de manière conjointe, simultanée, avec un vrai effet d'embolie et de déstabilisation sur l'ensemble de notre nation. Donc c'est ça malheureusement à quoi nous devons nous préparer. C'est ce à quoi nous nous préparons à travers la revue nationale stratégique qui est la pierre fondatrice de ce travail de préparation, à travers sa déclinaison dans la stratégie nationale de cybersécurité qui priorise nos actions, à travers cet objectif de résilience cyber de premier rang qui est l'objectif fondamental de la stratégie, qui est une manière d'exprimer que notre objectif ça doit être de se mettre en capacité pour la France de faire face à ce scénario central d'explosion coordonnée de la menace ponctuelle. D'un militaire parlerait avec un anglicisme dont je m'excuse, un surge de la menace ponctuelle mais pouvant s'étaler un petit peu dans le temps et avec une forme d'attaque coordonnée.
Donc derrière tout ça il y a aussi un constat central qui est réaffirmé plus que jamais dans la RNS dans la revue nationale stratégique dans la stratégie nationale c'est que l'État seul l'État a un rôle mais l'État seul ne peut pas suffire à faire face à ce scénario.
On a besoin d'une mobilisation collective, une mobilisation de relais notamment de capacités de cyberdéfense complémentaires et plus distribuées. C'est ce qu'on cherche à faire depuis déjà quelques années et avec un certain succès à travers le réseau des CSIRT, des centres de réponse à incident dans une logique ministérielle, sectorielle, dans une logique aussi régionale avec des acteurs qui se mobilisent et qui sont un vrai appui de proximité. Avec la structuration aussi de cet écosystème à travers le 17 cyber, le travail phénoménal et remarquable du GIP ACYMA aussi en la matière avec les prestataires privés qui sont des partenaires du quotidien de l'ANSSI dans la réponse aux attaques. S'agit à la fois de créer des capacités complémentaires, de créer des capacités distribuées, donc d'éviter, et ça c'est un enjeu de résilience fondamental, d'éviter qu'il y ait un seul acteur, un point de panne unique potentiellement qui traite les cyberattaques et de nous mettre en capacité le moment venu de prioriser, de concentrer l'action de l'État sur les attaques les plus graves, de s'assurer que toute victime, personne n'est laissé sur le bas-côté mais que l'action est bien priorisée.
Cette stratégie, elle conforte aussi un modèle français de cybersécurité qui a fait ses preuves en séparant les fonctions offensives et défensives tout en permettant leur coordination.
Elle réaffirme notre volonté d'imposer un coût aux attaquants par des mesures technologiques, des mesures techniques, par des mesures diplomatiques, des mesures judiciaires, économiques, militaires le cas échéant, qui ne remplacent pas la prévention parce que la meilleure défense reste la défense, mais qui ajoutent une forme de, voilà, de coût imposé aux attaquants. On a le bon modèle de gouvernance en la matière aujourd'hui, le C4 qui réunit sous l'autorité du SGDSN l'ANSSI, la DGSE, la DGSI, le Comcyber du ministère des Armées, la DGA et le Quai d'Orsay dans son volet stratégique, est la bonne enceinte pour faire ce travail de coordination, de mise en commun des expertises, de regards comparés. Les coopérations se développent aussi depuis déjà quelques années avec le volet judiciaire, ce qui permet de beaux succès et je pense qu'on peut se féliciter et souligner l'action tant de nos services enquêteurs, police, gendarmerie, que du parquet et de sa section J3 qui fait un travail remarquable en la matière.
Coopération qui se structure aussi en matière de de coordination avec les services de lutte contre la manipulation de l'information. Sous l'égide du SGDSN, il y a à la fois l'ANSSI, chef d'orchestre de la cybersécurité, et Viginum, chef d'orchestre de la lutte contre la manipulation de l'information. Nous coopérons de plus en plus face à des attaques qui jouent un peu sur les deux plans. Sans être trop long, je rappellerai quand même que le focus principal de cette cette stratégie, ça reste la prévention, la protection, la résilience, qui passe d'abord par une meilleure sécurisation des systèmes de l'État lui-même.
Il y a à l'évidence une marge de progrès et d'amélioration en la matière et un vrai devoir d'exemplarité. C'est l'objet de la feuille de route des efforts prioritaires qui a été validée par le Premier ministre fin mars, qui a été publiée pour la première fois par l'ANSSI à cette occasion. C'est l'objet également de la réforme annoncée par le Premier ministre lors de sa visite à l'ANTS, non pas de l'ANSSI, parce que l'ANSSI n'est pas concernée par cette réforme, mais du pilotage du numérique de l'État. Pour répondre à un enjeu fondamental qui est la complexité écrasante du numérique de l'État, qui nous amène à devoir potentiellement sécuriser des milliers d'applications, à faire face à des problèmes récurrents d'obsolescence logicielle, de gestion imparfaite ou très hétérogène des authentifications.
On peut se demander pourquoi ce serait pas plus simple de, enfin pourquoi c'est si compliqué de déployer de l'authentification double facteur à l'échelle de l'État. Eh ben c'est parce qu'il faut le faire sur plusieurs milliers d'applications dont certaines sont totalement obsolètes, dont personne n'a plus le pilotage global. Et donc c'est ça que vise à faire la réforme annoncée dont la préfiguration va être lancée très prochainement pour renforcer l'action notamment de la DINUM qui fait un travail également remarquable déjà en la matière, mais lui donner des leviers d'action et un périmètre de mission renforcé pour avoir un numérique plus solide qui est la base d'un travail de cybersécurité. Je le dis assez rapidement, le focus de prévention il s'étend au-delà de l'État.
Il passe notamment par la généralisation des bonnes pratiques à travers le droit, la directive NIS 2 qu'il nous faudra dès que possible transposer en droit national parce que c'est un levier important. Le règlement européen sur la cyber-résilience qui est l'autre volet qui porte sur les fournisseurs du numérique, les éditeurs de logiciels par exemple, qui ont des responsabilités à endosser en la matière. Par au-delà du droit, un accompagnement adapté, une logique économique à trouver aussi derrière ces exigences de sécurité. Par l'entraînement, la préparation à la gestion de crise. Nous avons conduit en 2025, en septembre, un exercice massif, sans précédent je le crois dans le monde, qui nous a amenés à entraîner simultanément à la gestion de crise près de 1300 entités de toute nature, privées, publiques, petits, gros.
Et c'est un effet remarquable et c'est quelque chose qu'il faut généraliser, pas forcément à la main de l'ANSSI uniquement.
Des enjeux de compétences que je mentionne rapidement mais qui sont essentiels : la formation de spécialistes, la sensibilisation des non-spécialistes avec un enjeu de portail grand public qui fait partie de la stratégie nationale qui mobilisera là aussi le GIP ACYMA. Un enjeu de travail déjà en cours avec l'Éducation nationale pour en parler beaucoup plus au collège et au lycée, former les citoyens de demain à ces enjeux numériques, développer une forme de résilience, d'intelligence collective face à ces menaces qui sont mal comprises.
Et puis je terminerai là-dessus sans être trop long, un enjeu essentiel aussi qui est réaffirmé dans la stratégie de maîtrise des technologies, de nos dépendances numériques. J'ai eu l'occasion de plancher devant la commission d'enquête sur les dépendances numériques et donc j'en ne dirai que quelques mots. Un constat fondamental que je réaffirme ici, c'est que le numérique qui irrigue notre fonctionnement quotidien, il a été construit pendant la parenthèse dorée des dividendes de la paix. Et on en arrive à un moment de l'histoire où il faut prendre acte du fait que il y a peut-être des biais, il y a peut-être des virages dans lesquels nous avons coupé, il y a peut-être une insuffisante maîtrise de la traçabilité de nos dépendances, de savoir de quoi est fait notre numérique. Et aujourd'hui, c'est une c'est un vrai problème, on ne sait pas de quoi est fait notre numérique.
De l'anticipation des ruptures et des évolutions avec un vrai travail à mener sur l'intelligence artificielle, sur la préparation de l'ordinateur quantique auquel nous travaillons parce que les urgences immédiates ne doivent pas nous détourner non plus des enjeux qui peuvent nous priver de tout levier d'action à l'horizon de quelques années. Et donc il faut travailler sur les deux plans en même temps. Des enjeux de risques en matière d'ingérence étrangère qui ne sont pas techniques et qui ne se résument pas à des solutions techniques, qui sont liés aussi à la provenance du numérique même s'il ne faut pas en avoir une lecture binaire, qui nous amène à constater que la France en la matière fait un peu figure d'exception en Europe parce que nous avons pris en compte certains de ces risques dans le cloud, dans les réseaux 5G avec des dispositions de droit national et des cadres reconnus comme SecNumCloud, mais avec un enjeu évident de porter à nouveau ce sujet au niveau européen parce que ça a beaucoup plus de sens de le faire à l'échelle du marché intérieur avec un effort de conviction qu'il ne faut pas sous-estimer en évitant certains pièges, les lectures binaires simplistes qui viseraient à résumer ça à des exclusions de vendeurs ou à rechercher une autarcie numérique qui est illusoire et qui n'a pas beaucoup de sens.
Et évidemment en maintenant un bon équilibre qui est ce qui guide le fil directeur de tous nos travaux au niveau européen. Évidemment on peut trouver des logiques pour être plus forts ensemble au niveau du marché intérieur et le marché intérieur en matière de régulation a fait ses preuves mais en veillant à ne pas déporter des enjeux de souveraineté qui relèvent du niveau national vers le niveau européen.
Donc nous cherchons toujours cet équilibre et nous le chercherons aussi dans les débats à venir au travers notamment de la révision du Cyber Security Act. J'ai déjà été, je m'en excuse, un peu plus long que je ne pensais l'être. Donc je vais m'arrêter là et je serai enchanté de répondre à vos questions.
Sabine Thillaye
Merci beaucoup Monsieur le Directeur. C'est pas très réjouissant en fait comme constat. Mais bon constat, ça veut dire qu'on a quand même l'impression que par moments on manque un peu de réactivité quelque part même si des, j'ai envie de dire des presque des structures sont mises en place, des structures parfois qui paraissent par contre quand on se penche pas vraiment, plonge pas dans le sujet, paraissent un peu invisibles donc les, pas invisibles mais dont les contours sont pas suffisamment précis parfois entre tous les acteurs.
Je pense qu'on a besoin aussi de plus de lisibilité par rapport à ça, que ce soit au niveau national mais aussi au niveau européen. Où sont les leviers véritablement de réaction ? Évidemment, il y a l'enjeu de souveraineté, mais en fait il y a quand même des actions possibles tout en maintenant une souveraineté plurielle, j'ai envie de dire, mais les menaces sont quand même communes quand on pense surtout aux ingérences. Donc comment rendre plus visible l'écosystème, c'est vraiment une question que j'ai, et comment avoir aussi en tant qu'acteur, enfin en tant qu'individu citoyen, d'avoir des moyens d'agir et pas de subir.
Et je passe la parole aux orateurs de groupe ou vous souhaitez répondre déjà ? Sinon, mais je passe peut-être la parole aux orateurs de groupe. Donc pour le Rassemblement National, Florence Goulet.
Florence Goulet
Merci Madame la Présidente. Monsieur le Directeur Général, merci pour vos propos liminaires. Nous avons bien compris que la menace est devenue multiforme, que la conflictualité s'exerce aujourd'hui sur l'ensemble de notre vie économique, politique et sociale et surtout qu'elle est devenue permanente. Ce qui semble vraiment nouveau par rapport à la guerre totale d'hier, c'est l'émergence d'acteurs technologiques capables d'agir hors du champ étatique, soit à bas coût par l'influence, notamment via les réseaux sociaux, soit parce qu'ils ont des moyens financiers très supérieurs à ceux de l'État, comme les grandes entreprises technologiques américaines ou chinoises. L'objectif stratégique numéro 9 de la RNS, complété par la stratégie nationale de cybersécurité 2026-2030, organise une montée en puissance des capacités de l'État pour y répondre.
Et l'ANSSI est au cœur de cette réponse, mais relève d'une logique centrée sur l'action des administrations.
Or la guerre hybride demande aussi une réponse sociétale. Le ciblage de l'arrière n'est pas nouveau. Lors des deux guerres mondiales et pendant la guerre froide, l'adversaire cherchait déjà à ébranler la cohésion nationale pour réduire tout désir de résistance ou de combat. Mais l'hyperconnexion généralisée a ouvert la possibilité d'un contrôle direct des populations. Pour contrer cette vulnérabilité, pardon, majeure, les pays baltes et la Scandinavie s'appuient sur le renforcement de la cohésion nationale et de l'esprit de défense, ce que le CEMAT nomme les profondeurs de la nation.
Le bilan 2025 de votre agence souligne la hausse significative des fuites de données, l'érosion des frontières entre acteurs cybercriminels ainsi que le ciblage d'infrastructures critiques comme les télécommunications ou l'énergie. Au risque d'un grand blackout. Vous ne l'excluez pas, évoquant une série d'attaques informatiques coordonnées à visée destructive contre les infrastructures électriques polonaises fin 2025. Pour ce qui concerne les scrutins électoraux, on a la chance d'avoir un système de vote qui est essentiellement papier, dites-vous. Alors la solution n'est-elle pas dans le retour du papier ou au moins dans un système moins numérique et partant moins vulnérable ?
Sinon la France peut-elle assurer sa souveraineté en la matière ? En a-t-elle les moyens technologiques et financiers ?
Je vous remercie.
Vincent Strubel
Merci. Alors, sur l'action centrée sur l'administration, le constat qui est posé par la Revue nationale stratégique est bien celui d'un besoin de traiter l'ensemble des pans de notre société, de notre économie, qui sont ceux qui pourraient être ciblés de manière coordonnée par une cyberattaque, mais par un continuum de menaces hybrides, parce que dans le scénario catastrophe que je décrivais, je ne décrivais que le volet cyber, mais évidemment tout ça pourrait s'accompagner de manipulations de l'information, de sabotages, de mobilisations d'acteurs criminels, non pas cybercriminels, mais criminels au sens traditionnel du terme, si j'ose dire, et de toutes les autres mesures ou types d'attaques qui peuvent rentrer dans le champ hybride.
Tout ce qui reste sous le seuil et qui viserait à déstabiliser le front intérieur dans un contexte qui est celui du scénario central de la RNS, qui est aussi celui d'un engagement de nos forces armées à la périphérie de l'Europe. Donc c'est bien ça que nous avons en tête et c'est bien cet effort-là que nous menons avec, je le pense, une force qui est que depuis toujours en matière de cybersécurité, l'ANSSI travaille avec tout le monde, travaille au profit de tout le monde, travaille avec des relais, des partenaires, le secteur privé, de plus en plus les collectivités, des relais locaux, le monde associatif par exemple, les autres services de l'État de manière évidente et y compris dans le cadre très particulier du C4, et au profit de tout le monde puisque nous sommes susceptibles d'intervenir face à toute menace.
Évidemment avec des logiques de priorisation parce qu'il faut parfois savoir prioriser les choses et donc nous ne plaçons pas forcément sur le même plan, pour le dire à l'extrême, nos capacités de dissuasion qui sont le cœur de notre, la clé de voûte de notre sécurité et qui mobilisent aussi une certaine attention en matière de cybersécurité évidemment, le cœur régalien de l'État, nos réseaux diplomatiques, nos réseaux classifiés, nos fonctions militaires, le cœur étendu aux infrastructures critiques, nos réseaux électriques par exemple mais pas que, et puis tout le reste.
Et donc c'est pas, il faut faire tout, mais il faut faire tout tout ça avec des logiques de priorisation sur lesquelles nous priorisons aussi notre action mais sans rien n'oublier. C'est pour ça que je disais qu'il ne faut laisser personne sur le bas-côté. Dans cette cette gradation évidemment le le cadre électoral, nos scrutins sont parmi les choses les plus critiques du fonctionnement de notre notre modèle démocratique. Donc c'est quelque chose qui mobilise l'attention de l'ANSSI depuis déjà bien des années parce que malheureusement les attaques cyber dans le dans le cadre de de scrutins électoraux sont une réalité depuis au moins dix ans.
Nous avons la chance, vous l'avez rappelé, d'avoir en France un scrutin qui est essentiellement papier, donc d'avoir une faible empreinte et dépendance numérique du scrutin. Les quelques systèmes qui sont impliqués là-dedans sont très regardés par l'ANSSI. Et puis nous avons depuis déjà bien des années aussi une offre de service au profit, alors sans rien imposer évidemment, mais au profit de l'ensemble des équipes de campagne ou des partis politiques qui sont aussi des cibles, de même que vous l'êtes en tant qu'élus, parce qu'une déstabilisation du fonctionnement démocratique, c'est aussi potentiellement s'attaquer aux élus ou aux partis politiques qui sont peut-être plus faibles que des systèmes très régaliens, très scrutés, et qui sont en tout cas plus difficiles à protéger. Donc nous avons une offre de service permanente en la matière sans rien imposer et nous travaillons le cas échéant avec le juge de l'élection quel qu'il soit dans le cadre d'un scrutin. Donc oui, c'est un sujet qui nous mobilise fortement.
Speaker 33
Merci. La parole est maintenant à Patricia Lemoine pour Ensemble pour la République.
Speaker 34
Merci Madame la Présidente. Monsieur le Directeur Général, merci de vous être rendu disponible pour cette audition et pour vos propos liminaires de grande qualité.
La France est aujourd'hui fortement exposée à la menace cyber. Le début de l'année 2026 est marqué par des violations de données majeures touchant des systèmes publics sensibles. Face à cette vulnérabilité, vous avez identifié trois priorités : réduire les dépendances numériques, reprendre la maîtrise des technologies critiques, IA, post-quantique, et accélérer le cadre réglementaire. Alors que la menace cyber s'est installée au cœur des conflictualités hybrides, que la souveraineté française est fragilisée par ses dépendances techniques profondes, et surtout que le passage à une cybersécurité de masse tarde à s'opérer. Lors de votre récente audition au sein de la commission d'enquête, vous avez alerté sur l'absence de cartographie de l'environnement logiciel et sur la dépendance aux mises à jour de sécurité d'éditeurs étrangers.
Dans ce contexte, comment l'ANSSI articule-t-elle sa mission de conseil et d'appui en l'absence de pouvoir coercitif ? Par ailleurs, le piratage de l'ANTS en avril 2026 illustre un scénario qui dépasse la simple négligence technique. Un expert en cybersécurité affirme avoir signalé deux failles critiques à l'ANTS bien avant l'attaque, l'une étant encore active une semaine après l'intrusion. Le problème ne semble plus se situer au seuil de connaissance de la menace, mais au niveau de la chaîne de traitement. Est-ce que l'ANSSI dispose aujourd'hui des leviers pour s'assurer que les signalements de vulnérabilité sur les SI de l'État aboutissent à des corrections dans des délais contraignants ?
Enfin, la RNS identifie la massification et la coordination des cyberattaques comme le scénario central d'une escalade géopolitique.
La France a maintenu une doctrine de cyberdéfense défensive et une retenue affichée sur les capacités offensives, alors que d'autres pays comme les Pays-Bas ou le Royaume-Uni ont opté pour le développement de capacités cyberoffensives. Pensez-vous que la France devrait revoir sa doctrine ? Dans l'affirmative, de quelle manière ? Merci pour vos réponses.
Vincent Strubel
Alors, pour le... pas nécessairement dans l'ordre, mais sur le... en premier lieu, sur ce que révèle l'attaque subie par l'ANTS, c'est fondamentalement ce que je mentionnais sur la complexité du système d'information de l'État. Et c'est là que le bât blesse aujourd'hui. C'est là le constat qui a été partagé par l'ensemble des acteurs, qui est : on a un système d'information de l'État qui est tellement complexe, qui représente des milliers et des milliers d'applications dont le pilotage n'est pas uniformisé, dont les choix technologiques sont d'une très grande hétérogénéité. Et donc c'est là-dessus qu'il faut agir en priorité pour mieux sécuriser l'État, reprendre la maîtrise. Ça renvoie aussi à un enjeu de reprise de la maîtrise sur nos dépendances.
Et la réforme qui a été annoncée par le Premier ministre lors de sa visite à l'ANTS est une réforme qui porte là-dessus, qui a été, je le dis en passant, mal comprise par certains qui y voient une réforme ou une remise en cause du rôle de l'ANSSI. Il n'y a aucune remise en cause du rôle de l'ANSSI ni ni un une critique du rôle de la DINUM notamment qui fait un un vrai travail fondamental pour pour piloter, mais au contraire un besoin de renforcer ce volet de pilotage du numérique, non pas de la cybersécurité mais du numérique, c'est-à-dire une DINUM aux missions, aux moyens et aux capacités renforcés pour rationaliser ce système d'information de l'État, pour porter des efforts de mutualisation notamment avec des exemples qui ont marché.
Je pense notamment au réseau interministériel de l'État, le RIE, qui est peut-être le plus grand succès de l'État dans le domaine numérique de ces quinze dernières années, qui a mis en commun ce que faisaient les ministères chacun dans leur ligne d'eau en matière de connexion à Internet pour créer un vrai objet mutualisé qui est un réseau qui est un gage de souveraineté, qui est un gage de bon usage des deniers publics, qui est un gage de concentration de l'expertise et qui est un de nos principaux outils aujourd'hui de cybersécurité parce que ça fait un un système sur lequel on peut investir un maximum d'efforts avec des avec un retour sur investissement conséquent.
Et donc c'est là-dessus qu'il faut agir en priorité, sachant que par ailleurs le volet signalement des des incidents et des vulnérabilités est aujourd'hui prévu et l'ANSSI reçoit des signalements, a une doctrine de protection y compris des signalements anonymes, des lanceurs d'alerte avec un certain nombre de dispositions qui ont été prises dans le dans le droit en la matière qui nous permet de traiter ce genre de choses. Après effectivement la vraie difficulté est la capacité de correction et la maîtrise du numérique derrière sans remise en cause du rôle ni du dévouement, je le signale, des équipes informatiques des ministères. Sur les les dépendances pour le dire très rapidement, notre rôle en la matière est de porter des cadres de gestion des risques et donc d'identifier des risques liés à nos dépendances, de les objectiver, de mettre en face des mesures et d'assurer une garantie.
C'est ce que nous faisons à travers SecNumCloud, qualification des prestataires de cloud qui garantit contre les risques techniques mais aussi des risques d'ingérence, de captation des données à travers les lois à portée extraterritoriale, le Cloud Act, les lois chinoises et cetera, de ce qu'on a appelé le kill switch, pardon pour l'anglicisme, c'est-à-dire la capacité de couper le service. Contre tout ça, les solutions qualifiées par l'ANSSI SecNumCloud apportent des protections. Elles ne répondent pas à un enjeu de politique industrielle et donc il faut faire les deux. Et c'est ce que j'ai eu l'occasion de souligner devant la commission d'enquête. Il y a besoin à la fois de mesures de gestion des risques, d'identification et de couverture des risques avec un caractère coercitif au passage hein parce que la loi SREN le permet en la matière, mais aussi d'un travail de politique industrielle qui n'est pas le rôle de l'ANSSI pour soutenir les offres européennes, pour faire émerger des alternatives et cetera.
Et il faut faire les deux en même temps. C'est pas l'un ou l'autre, c'est les deux à la fois. Et la politique industrielle, ce n'est pas l'ANSSI qui la conduit parce qu'on ne peut pas cumuler ces deux rôles même si on y contribue. Enfin, sur les capacités offensives, la France aussi a des capacités offensives. Elles ne sont pas du ressort de l'ANSSI.
Ce choix, il a été fait fondamentalement à la création de l'ANSSI en 2009. Il n'est pas remis en cause aujourd'hui et moi je suis convaincu qu'il est le bon. Il n'exclut pas des coopérations, des coordinations efficaces dans le cadre du C4 sous l'autorité du SGDSN, mais permet à chacun de rester dans un rôle bien bien cadré et d'entretenir une forme de confiance.
Alors c'est un c'est un concept assez protéiforme mais qui est fondamental dans nos missions. Et donc le fait que l'ANSSI ne soit qu'une agence défensive, ne soit pas un service de renseignement est aussi quelque chose qui a fait, je pense, le succès du modèle français qui continue à être une pierre angulaire de nos capacités. J'ajouterais que il faut pas rentrer dans une une opposition entre défensif et offensif. Cyberattaquer les cyberattaquants, ça ne fera jamais cesser les cyberattaques. Ça renvoie à des enjeux d'asymétrie là encore.
Détruire des infrastructures attaquantes, elles ne sont pas compliquées à reconstruire.
C'est beaucoup plus compliqué de reconstruire un hôpital ou une station d'épuration ou une centrale de production d'énergie que de reconstruire un réseau d'anonymisation utilisé pour mener des attaques. Ça renvoie à un enjeu de valeurs aussi. Est-ce que nous aurions attaqué un hôpital dans un pays adverse parce qu'il a attaqué un de nos hôpitaux ? Je ne pense pas que ce soit conforme à nos valeurs et que nous ne ferions pas ça. Donc c'est pas ça qui fera disparaître la menace, mais ça permet d'imposer un coût aux attaquants et donc c'est un volet que nous mettons déjà en œuvre et que nous continuerons à mettre en œuvre en bonne coordination.
Sabine Thillaye
Merci. La parole est maintenant à Emmanuel Fernandes pour la France Insoumise, Nouveau Front Populaire.
Emmanuel Fernandes
Merci Madame la Présidente. Merci Monsieur le Directeur général pour vos propos liminaires très riches. En 2023, vous l'avez dit, vos services ont eu connaissance de 1366 cyberattaques réussies par des agents malveillants. Mais à votre avis, combien de cyberattaques n'ont pas été recensées et quelle est selon vous la part des attaques qui aboutissent réellement ? Plus largement, face à ces menaces croissantes, estimez-vous que le rythme à tout niveau du changement de paradigme collectif qui doit être, je le disais, partagé à tout niveau, pensez-vous que ce rythme est suffisamment rapide et que les moyens mis à disposition notamment par l'État sont suffisants ?
On peut se poser sérieusement la question quand on voit que la DGSI a tout récemment en décembre renouvelé un contrat avec Palantir. Alors j'ai bien noté et vous l'avez évoqué que le Premier ministre a initié une réorganisation des instances chargées de la protection des ministères contre les cyberattaques mais n'y a-t-il pas là un paradoxe ? Plus spécifiquement comme l'a rappelé mon collègue Aurélien Saintoul dans une proposition de résolution de commission d'enquête, les cyberattaques touchent particulièrement des publics déjà exposés à des situations de précarité économique, des personnes privées d'emploi, des allocataires de prestations sociales ou des patients, ce qui peut encore aggraver leur situation. Alors ma question, la dimension sociale des cyberattaques est-elle prise en compte dans les analyses de l'ANSSI et ces analyses mettent-elles en évidence des inégalités devant le risque de cyberattaques ?
Enfin, s'agissant des infrastructures physiques, la guerre déclenchée par Israël et les États-Unis avec l'Iran a vu, et c'est quasiment inédit, a vu des data centers commerciaux, notamment à Bahreïn et aux Émirats arabes unis, être délibérément ciblés dans le cadre d'opérations militaires, soulignant leur rôle croissant comme infrastructure critique. Alors, avez-vous intégré ces éléments dans votre stratégie de protection ? Les centres de données sont-ils suffisamment préparés face à ce type de menace, qu'elle soit cyber ou matérielle, ces menaces ? Et enfin, ne pourrait-on pas envisager des solutions allant vers une plus grande décentralisation de la collecte et surtout du stockage des données afin de réduire les risques de perte massive ou de fuite ?
Je vous remercie.
Vincent Strubel
Je vais m'efforcer de n'oublier aucun point. Je commencerai par celui sur les instances chargées de la protection cyber des ministères pour qu'il n'y ait pas d'ambiguïté là-dessus. Il y a une chaîne fonctionnelle cyber. L'ANSSI est le chef d'orchestre de la cybersécurité, l'autorité nationale de cybersécurité et de cyberdéfense. Ce rôle n'est pas remis en cause.
Ce rôle n'est pas remis en cause par la réforme annoncée de ce qui s'appellera Ariane, l'autorité du numérique et de l'IA.
Ce qui est réformé, c'est le pilotage du numérique. Là encore, le problème fondamental, celui qui transparaît dans la feuille de route des efforts prioritaires à mener par les ministères en matière de cybersécurité, déploiement d'une authentification double facteur généralisée, meilleur suivi de l'identité numérique au sein des différents systèmes, gestion des obsolescences. La cause racine de tout ça, c'est l'énorme complexité, l'énorme hétérogénéité du système d'information de l'État.
Et c'est au demeurant une difficulté que rencontrent aussi des DSI dans le secteur privé, mais magnifiée à l'échelle de l'État qui est quand même une très grosse organisation. Donc c'est là-dessus que vise à agir la réforme sans changer le rôle de chacun. L'ANSSI restera dans son rôle de fixer les exigences de cybersécurité, de décliner des priorités comme elle le fait à travers la feuille de route, de contrôler la bonne application de ces priorités et à plus forte raison dans le cadre renouvelé de NIS 2 qui nous donnera un pouvoir de contrôle étendu. Mais il faut aussi, pour une bonne cybersécurité, il faut un bon numérique. Et c'est là-dessus que la réforme vise, et c'est pas qu'une question de moyens, c'est aussi une question de capacité de pilotage, de leviers d'action, de clarté de mission.
C'est là-dessus que la réforme annoncée vise à agir en améliorant nos capacités de mutualisation, de capacités de choix techniques instruits et homogènes le plus possible. Et donc de créer une structure qui soit un interlocuteur naturel de l'ANSSI comme l'est déjà aujourd'hui la DINUM.
Nous travaillons main dans la main mais avec les limites du champ d'action de la DINUM. Demain l'ANSSI et l'ARIANE, si c'est le nom qui demeure, travailleront main dans la main pour édicter la feuille de route numérique et cybersécurité de l'État, veiller à ce que ces efforts aillent dans le même sens et qu'on mutualise le plus possible les choses pour être le plus efficace possible et éviter de s'épuiser à sécuriser, et je pense que c'est rigoureusement impossible, des dizaines de milliers d'applications.
Enfin, je pense qu'à l'extrême, on a un enjeu de taille qui n'a pas d'autre solution que de rationaliser en premier lieu. Ça répond aussi à l'enjeu du rythme qui s'accroît parce qu'effectivement, ça va continuer à s'accélérer, notamment le problème des vulnérabilités logicielles. On est probablement dans l'année où même sans IA, on franchira le cap à l'échelle mondiale de 50 000 vulnérabilités trouvées dans les logiciels. Des vulnérabilités qui sont exploitées pour 30 % d'entre elles, pour celles qui sont exploitées, dans la journée qui suit leur publication. Donc c'est irréaliste de vouloir corriger ça aussi vite que ça apparaît.
Donc il faut des architectures plus sécurisées, il faut des architectures mieux pensées, résilientes, qui tolèrent une vulnérabilité le temps qu'elle soit qu'elle soit corrigée et c'est aussi ce travail que nous devons mener ensemble. La dimension sociale des cyberattaques, alors je serais bien en peine de me prononcer sur ce sujet au-delà du fait que c'est notre stratégie depuis même avant la stratégie nationale, parce que je pense que j'ai eu l'occasion d'en parler à plusieurs reprises dans des auditions, de nous assurer là encore de créer ce maillage d'acteurs de la cybersécurité, de cyberdéfenseurs, de réponse aux cyberattaques ou aux actes de cybermalveillance à travers des CSIRT de toute nature, à travers le guichet naturel qu'est le 17cyber pour s'assurer fondamentalement que toute victime en France de cyberattaque ou d'un acte de cybermalveillance trouve un interlocuteur et trouve un accès facilité à l'ensemble des interlocuteurs pertinents pour l'aider.
Et si on crée au passage de petites redondances, c'est pas grave. Le fondamental, c'est de s'assurer qu'il n'y a pas de trou dans la raquette et que tout le monde sait vers qui se tourner, trouve quelqu'un pour l'aider quand on est face à une cyberattaque ou un acte de cybermalveillance. Et là encore, je salue le travail fondamental et pionnier du GIP ACYMA en la matière, qui porte la plateforme cybermalveillance.gouv.fr, qui porte aujourd'hui le 17 Cyber et qui portera les nouveaux, le nouveau portail de sensibilisation grand public et de prévention grand public parce que c'est le bon modèle pour porter ce sujet-là et faire travailler tout le monde ensemble.
Et donc c'est une mobilisation d'ensemble. Et puis sur les infrastructures physiques, oui, alors ça dépasse le seul enjeu de la cybersécurité mais c'est un enjeu qui est bien traité dans la revue nationale stratégique. Au-delà de la transposition de NIS 2, il y a une autre directive à transposer par le même projet de loi qui est la directive REC qui vise à renforcer aussi la protection physique de nos infrastructures critiques parce qu'il faut faire les deux à la fois, pas l'un ou l'autre.
Sabine Thillaye
Merci. La parole est maintenant à Thierry Sauter pour les socialistes et apparentés.
Thierry Sother
Merci Madame la Présidente, Monsieur le Directeur Général, chers collègues. L'actualisation de la LPM 2024-2030 intervient dans un contexte profondément transformé depuis 2023.
La guerre en Ukraine, la multiplication des attaques contre les hôpitaux, collectivités, opérateurs critiques, la montée des ingérences informationnelles visant à défaire le lien social ou faire basculer nos élections, l'intensification des opérations hybrides. Nombreux sont les événements qui ont renforcé l'importance d'une agence comme l'ANSSI pour détecter les menaces, les analyser, organiser la mise en sécurité de nos systèmes et développer la cybersécurité dans la société.
Difficile aussi de passer à côté d'un article de presse paru ce matin qui fait état de grandes tensions entre l'agence et le Premier ministre. Il est indiqué en off que l'ANSSI ne remplirait plus ses missions et que ce serait devenu un outil très, trop administratif. Est-ce que ce jugement, monsieur le directeur, a une part de vérité à vos yeux ? Il est aussi mentionné la rareté des contrôles de l'ANSSI. Pourriez-vous nous en dire plus sur ces contrôles, le temps et les ressources qu'ils prennent ?
Pourriez-vous également nous indiquer la part de contrôles inopinés qu'effectuent vos services ? Il est également indiqué que vous ne semblez pas, vous revenir en tout cas à l'ANSSI le contrôle de l'ANTS et qui ne serait pas jugé d'importance vitale.
Pourriez-vous nous indiquer combien d'organismes sont jugés d'importance vitale et peut-être lesquels et donc auprès desquels vous agissez avec l'ANSSI pour leur surveillance et leur protection ? Je vous remercie.
Vincent Strubel
Merci. Sur l'article du Petit Bipède, non, il n'y a pas de tension entre le Premier ministre et l'ANSSI. Alors je ne sais pas si ça aurait un sens de telles tensions et dans le fonctionnement de l'État de telles tensions se résoudraient rapidement par le remplacement d'un directeur général.
Ce n'est pas à l'ordre du jour à ma connaissance et donc je réfute ce qui est dit dans l'article pour le dire simplement. Je pense qu'il y a là une mécompréhension fondamentale là encore de la réforme annoncée non pas de l'ANSSI mais du pilotage numérique. Il n'y a pas de remise en cause des missions de l'ANSSI. Il n'y a pas de remise en cause de l'efficacité de son travail. J'étais aux côtés du Premier ministre quand il était à l'ANTS pour annoncer cela.
Il n'y a pas non plus de remise en cause, je le dis en passant, de la qualité du travail de la DINUM. Simplement un vrai besoin de renforcer ses moyens, ses capacités d'action et son champ de mission.
Et donc pour faire ce numérique plus solide qui est la base d'une cybersécurité de qualité et d'une vraie cyber-résilience. Donc non, il n'y a ni tension ni remise en cause de l'ANSSI. Et au-delà de mon cas personnel qui relève d'une petite bulle puante qui rythme l'actualité malheureusement de la haute fonction publique, moi ce que je regrette fondamentalement c'est la remise en cause du travail des agents de l'ANSSI qui font un travail formidable, qui ont sacrifié pour certains leurs fêtes de Noël, leurs week-ends depuis de nombreux mois, leurs nuits, leurs soirées et qui ne ménagent pas leurs efforts et qui font preuve à la fois d'une compétence remarquable mais aussi d'un dévouement extraordinaire. Et donc là, vous avez parlé de l'analogie et de la métaphore des cyber-pompiers, je trouve que là on est comme dans le même registre que jeter des cailloux sur les camions des pompiers qui viennent éteindre un incendie et je le trouve parfaitement abject.
Sur notre capacité de contrôle. Nous avons des capacités d'audit au sein de l'ANSSI qui peuvent nous permettre d'auditer directement un certain nombre de systèmes d'information, d'en tester la sécurité. Pour fixer les capacités, nous sommes capables de mener à peu près 50 audits par an. Donc à mettre en regard de milliers de systèmes d'information au sein de l'État, de milliers de systèmes d'information d'importance vitale déclarés par les opérateurs d'importance vitale qui sont à peu près 300 et dont la liste est classifiée, donc je ne la détaillerai pas plus que ça. Et donc non, nous ne pouvons pas tout contrôler systématiquement.
Et nous avons une logique de priorisation là aussi sur les systèmes les plus critiques, les plus sensibles, les plus complexes. Des centrales nucléaires, elles sont auditées par l'ANSSI. Des systèmes éminemment au cœur des enjeux régaliens sont audités par l'ANSSI.
D'autres peuvent être audités par des prestataires privés. C'est pour ça que depuis des années, depuis 2014 pour pour dire les pour pour donner le top départ de ce ce travail-là, nous avons une logique de prestataires d'audit qualifiés par l'ANSSI, ce qu'on appelle les PASSI.
Et donc c'est un vrai succès parce que je pense qu'on en a, on doit approcher la centaine de prestataires qualifiés en la matière qui permettent de décupler les capacités d'audit, soit de manière volontaire à la main des opérateurs de ces systèmes d'information, soit par des contrôles inopinés. Donc c'est des choses que nous, que nous pouvons mettre en œuvre, que nous avons vocation surtout à renforcer. Et là encore, je vous renvoie au travail nécessaire de transposition de la directive NIS 2 qui nous dotera d'une capacité de contrôle renforcée, d'une capacité de préconisation de tels contrôles et d'une capacité de sanction d'une autre nature. J'avais eu l'occasion de le détailler devant la commission spéciale qui a examiné le projet de loi transposition. Aujourd'hui, l'ANSSI peut mobiliser à l'égard des seuls opérateurs d'importance vitale des sanctions du registre pénal, c'est-à-dire saisir le juge.
Demain, à travers la directive NIS 2, l'ANSSI aura la capacité de mettre en œuvre des sanctions administratives beaucoup plus efficaces, je le pense, et nous donner un vrai quelque part le bâton en plus de la carotte que nous pouvons mobiliser. Pour finir sur l'ANTS, qui est une bonne illustration de tout cela, l'ANTS, c'est une multitude de systèmes d'information qui n'ont pas tous la même criticité, qui sont tous importants parce qu'ils traitent tous des données personnelles, mais sur lesquels nous avons aussi une forme de gradation. Au sein de l'ANTS, il y a par exemple un fichier qui s'appelle TES, qui est un fichier qui stocke des données biométriques sur nos concitoyens. Ce fichier-là, ce système d'information a été audité par l'ANSSI et nous avons veillé à ce que les conclusions de cet audit soient prises en compte. D'autres systèmes éditent nos titres d'identité, notamment l'identité numérique, France Identité Numérique a été certifiée par l'ANSSI au niveau élevé, c'est-à-dire le niveau le plus élevé de la réglementation européenne avec un travail qui nous a mobilisés pendant des mois pour nous assurer de la sécurité des titres d'identité numérique et des systèmes qui les portent.
Donc ces systèmes-là ont été regardés. D'autres systèmes, et je vous renvoie là encore à cet enjeu purement arithmétique de capacité à faire de l'ANSSI ou même du secteur privé face à la multitude des systèmes, n'ont pas été regardés. Et celui qui a été attaqué est un portail qui n'est pas le plus critique. Alors, il ne s'agit évidemment pas de minimiser la gravité de la compromission des données personnelles de millions de nos concitoyens. Mais ce n'est pas le système le plus critique de l'ANTS.
Et donc, dans une logique de priorisation, ce n'est pas celui-là que nous avons regardé.
Je le précise, ce qui a été volé dans cette attaque contre l'ANTS, ce ne sont pas les titres d'identité, ce ne sont pas les données biométriques. Ce sont des données d'identité de nom, prénom, adresse mail, adresse postale le cas échéant. Donc c'est pas des choses anodines, mais c'est pas non plus les données les plus sensibles de l'ANTS. Et là encore, malheureusement, nous sommes dans une logique de priorisation sur nos traitements et c'est aussi à ça que vise à répondre la rationalisation de nos systèmes d'information.
Josy Poueyto
Oui, merci Madame la Présidente, chers collègues, Monsieur Strubel. Notre groupe est très sensible à tout ce que vous pouvez porter au niveau de l'ANSSI. J'en veux pour preuve d'ailleurs le rôle et les missions que porte justement Sabine Thillaye notamment par rapport à la LPM. Bon, donc nous y sommes et nous nous posons donc pas mal de questions bien sûr avec des constats. Et je vais, même si vous avez pour quelques collègues déjà répondu un petit peu à nos interrogations, mais je tenais aussi à faire, voilà, à poser clairement aussi notre position.
Avec le constat bon que la France est un pays des plus touchés au monde par des cyberattaques. Et l'année 2026 a atteint des niveaux, ça a déjà été dit, sans précédent avec 54 000 incidents de sécurité au premier trimestre, soit une hausse de 37 % par rapport à 2025 si j'en crois la presse spécialisée.
Tous les secteurs d'activité sont concernés. Les organisations publiques représentent environ 18 % du secteur du total des attaques. Le service public est ainsi devenu une cible privilégiée des cybercriminels soit en raison de la nature des données qu'il est amené à traiter et à stocker soit en raison de motivations plus politiques qu'économiques des hackers en cause.
Quoi qu'il en soit, la liste des cibles atteintes dont le public a eu connaissance est impressionnante. Je n'en cite que quelques-unes : France Travail, Assurance Maladie, l'Office français de l'immigration et de l'intégration, l'URSSAF, la Poste, DGFIP, ministère de l'Intérieur, etc. Cette situation met en lumière une vulnérabilité, pardon, assez élevée de nos protections, me semble-t-il, alors que nos concitoyens sont contraints de confier leurs données de manière dématérialisée aux services de l'État. Monsieur Strubel, même si je comprends bien qu'il est très délicat d'éviter toute sorte et toute forme de faille dans nos systèmes, comment expliquer cette vulnérabilité du secteur public alors que celui-ci devrait être extrêmement protecteur, pour ne pas dire imperméable à la menace cyber ?
Par un manque de moyens financiers ou humains ? Je voudrais également vous entendre sur le rôle de l'agence dans les actions menées au plus près des territoires, que ce soit en termes de prévention ou de stratégie proactive. De quels soutiens locaux auriez-vous encore besoin pour gagner en efficacité ? Préfectures, délégations militaires départementales, gendarmerie ? Je vous remercie.
Vincent Strubel
Merci. Je reviendrai en premier lieu sur la notion que la France est le pays le plus touché au monde. La réalité est qu'on n'en sait rien. Aujourd'hui personne ne sait compter de manière fiable, homogène les cyberattaques. Et ça me permet de répondre aussi, je m'en excuse, à une question de Monsieur Fernandez à laquelle j'ai oublié de répondre, la part de cyberattaques qui échouent.
Personne ne sait la compter non plus. En vrai on n'a pas une métrique universelle pour compter les cyberattaques.
Moi je constate que la majorité des attaques échouent sur les systèmes que nous surveillons, notamment sur les systèmes de l'État dont nous supervisons une partie. Nous avons tous les jours des dizaines et des dizaines de tentatives d'attaques. Et on peut compter de plein de manières différentes les tentatives d'attaques. Je ne résiste pas à rappeler qu'à l'issue des Jeux Olympiques et Paralympiques de 2024, dans lesquels on nous avait prédit une catastrophe énorme et que les Jeux Olympiques ne pourraient pas être menés face à des cyberattaques, parfois on arrive à faire des choses puisque nous avons réussi à sécuriser ces Jeux Olympiques. Nous avions compté, nous, à peu près 500 cyberattaques.
Le CIO, Comité International Olympique, en avait compté 55 milliards.
J'ai eu un certain nombre de moments de gloire à expliquer, y compris à nos plus hautes autorités politiques, que nous avions compté la même chose. Et c'est vrai, nous avions compté la même chose différemment avec des métriques différentes. Parce que là où nous nous comptons une attaque comme une cible, un attaquant, un effet recherché et obtenu, on peut compter aussi le nombre de messages transmis par l'attaquant pour arriver à ses fins. Et parfois c'est des millions, parfois c'est même des milliards sur une seule une seule attaque, par exemple un une tentative de saturation. Donc on a il n'y a pas de métrique uniforme.
Et moi je alors oui la France est attaquée par son par son positionnement géopolitique, par son rôle de grande nation, évidemment, il y a un lien entre tout ça. Maintenant dire qu'elle est plus attaquée, moins attaquée, qu'elle est plus faible, moins moins moins faible que d'autres, j'en je ne saurais pas le dire.
Moi j'ai la conviction que nous n'avons pas à rougir de nos capacités en matière de cybersécurité. Là encore, nous l'avons prouvé à l'occasion des Jeux Olympiques et Paralympiques et nous sommes aussi une un pays reconnu pour ses capacités en matière de cybersécurité. Évidemment, ça ne c'est pas il s'agit pas de s'endormir sur nos lauriers ni de contester le fait qu'il y a il y a de vrais progrès à faire, notamment sur le le service public, mais pas que, j'ai eu l'occasion de le dire. Le service public, il est très attaqué. C'est pas nouveau.
C'est lié à la à déjà son amplitude, à la la taille du service public, à ses ses missions, à son caractère régalien pour certaines parties. Il y a des choses qui le depuis des depuis plus de dix ans, le service public est la cible, en tout cas certaines administrations sont la cible d'attaques en espionnage, peu visibles par nature mais qui sont quand même des choses qui nous nous mobilisent pas fortement.
Il est aussi aujourd'hui de fait attaqué comme pour le symbole qu'il représente. Et vous avez, alors je ne me risquerais pas à parler de motivation politique, mais il y a des enjeux réputationnels parmi certains des attaquants, notamment ceux qui ont pratiqué un certain nombre de vols de données ces derniers mois, qui pour certains étaient motivés aussi par la recherche du coup d'éclat qui les ferait monter en réputation par rapport à un écosystème d'attaquants. Je note au passage qu'une partie de ces revendications étaient en protestation contre l'action de la justice.
Un certain nombre d'attaques ont été menées ou des revendications ont été portées pour protester contre l'arrestation de certains cyberattaquants. Moi je salue là encore le travail des services de police, de gendarmerie et de la justice en la matière et je serais tenté de dire que ça c'est une compétition qui n'a qu'une seule issue pour ces... Petit message d'avertissement pour des jeunes concitoyens qui pourraient être tentés par s'engager dans cette compétition, ils vont la perdre. Et malheureusement ça conduit à des interpellations et on ne peut que regretter que notamment des jeunes de 15 ans se retrouvent dans cette situation-là. Donc il ne faut pas faire ça.
Ça se termine forcément mal. Sur la question des moyens, alors il y a toujours une question de moyens, il y a une question aussi de modèle et je pense que nous avons un modèle particulièrement efficace.
J'en veux pour preuve le fait que aujourd'hui l'ANSSI fait son travail et je pense que nous n'avons pas à rougir particulièrement de nos capacités avec une ANSSI pour dire en approximation de 700 personnes, là où nos homologues allemands sont trois fois plus nombreux, ils sont à peu près 2000. Et nos homologues britanniques sont plus difficiles à compter parce que la structuration est un peu différente, sont au moins deux fois plus nombreux que nous.
Mais nous avons un modèle efficace de coopération avec les autres services de l'État notamment et que nous développons aussi au niveau des territoires. Et là c'est un enjeu fondamental depuis déjà quelques années de de de de créer ce maillage territorial de la cybersécurité sans remise en cause du rôle de l'État mais en faisant aussi un travail collectif avec avec les collectivités avec les les conseils régionaux notamment qui ont été qui ont porté notamment les les CSIRT régionaux ça avec un soutien fort de l'ANSSI qui ont porté d'initiatives des campus cyber qui visent à élaborer des solutions à faire un dialogue entre besoin et entre demande et offre hein et là c'est pas c'est un travail que nous soutenons même si nous n'en sommes pas à l'initiative.
Donc il y a besoin de ce maillage, il y a besoin de cette proximité aussi qui est une dimension essentielle dans la construction de notre cybersécurité. Et ce rôle nous allons le renforcer. Là encore, moi je trouve que notamment le modèle des CSIRT est très bon parce que c'est un modèle qui est assez uniforme, qui permet à chacun d'avoir un CSIRT. C'est assez codifié sur ce que fait un CSIRT, sur la manière dont il traite les informations, etc. Un de nos leviers d'action fondamentaux et une des chances que nous avons en France, c'est ce tissu des CSIRT qui est représenté par une association dont nous avons encouragé la genèse et que nous accompagnons aujourd'hui, qui est l'InterCERT, qui aujourd'hui compte plus de 120 CSIRT en son sein, régionaux, territoriaux, ministériels, sectoriels ou du secteur privé et qui nous permet de manière très rapide en cas de crise de partager l'information de manière codifiée, de manière efficace avec des professionnels qui savent aussi la contextualiser au profit d'un territoire, d'un secteur d'activité, et ça c'est très important.
Antoine Valentin
Merci madame la présidente, monsieur le directeur général. En avril 2024, les services de renseignement norvégiens attribuaient formellement à des hackers russes la prise de contrôle à distance d'un barrage dans l'ouest du pays via l'exploitation de vulnérabilités sur des équipements industriels exposés en ligne. En Pologne, fin 2024, des attaques coordonnées frappaient des infrastructures énergétiques, une première dans un État membre de l'Union européenne.
Dans les deux cas, le vecteur était identique, des équipements exposés, non protégés, dont les interfaces de gestion étaient accessibles sans authentification sérieuse. En France, votre rapport établit qu'à fin 2025, plus de 6 200 actifs restaient affectés par des vulnérabilités connues depuis 2023 ou 2024. Lors d'une seule alerte sur une faille Fortinet, le CERT-FR a recensé 3 700 interfaces d'administration exposées. 29 % des vulnérabilités exploitées en 2025 l'ont été le jour même de leur publication ou avant.
Vous documentez vous-même des tentatives de sabotage d'installations hydroélectriques et d'énergies renouvelables sur le territoire national en 2025. La directive NIS 2 sera, on l'espère, bientôt transposée. Le Cyber Resilience Act entre en vigueur le 11 septembre 2026. Vous disposerez donc, ou vous disposez déjà bientôt d'un cadre juridique qui oblige les opérateurs à notifier, à corriger, à rendre compte. Mais entre la norme et la réalité que vous documentez vous-même, il y a aujourd'hui un gouffre.
La question que je vous pose est donc celle-ci : au regard de ce que vous observez des sabotages d'infrastructures chez nos alliés européens, des tentatives sur le territoire national, des vulnérabilités critiques non corrigées dans la durée, estimez-vous que ce modèle est encore tenable ? Et si la réponse est non, quelle évolution du cadre législatif appelez-vous de vos vœux ? Un pouvoir d'injonction, de mise en conformité, un régime de sanctions administratives comparable, et vous les avez cités peut-être tout à l'heure, à l'ANSSI allemande ou au modèle de vos homologues britanniques, ou toute autre proposition de votre part ? Merci.
Vincent Strubel
Merci. Alors pour revenir déjà très rapidement sur la menace en sabotage, oui, alors évidemment nous parlons très régulièrement avec nos homologues norvégiens, polonais et plus généralement européens au sens large du terme, et pas que, pour partager ces appréciations de la menace et les constats et pour avoir une forme de vigilance collective.
La menace de sabotage sur un certain nombre d'équipements, notamment hydroélectriques de petite taille, nous l'avons vue en France à travers non pas des acteurs étatiques, mais des acteurs du registre activiste. Alors, ils peuvent être pour certains des proxys potentiellement d'États, mais qui ne sont pas forcément des fonctionnaires, ou alors ce sont des fonctionnaires en vacances ou en week-end, il y a eu des précédents en la matière. Donc des acteurs pro-russes qui s'en sont pris et ont revendiqué très bruyamment des attaques contre des barrages hydroélectriques qui ont touché des micro-installations industrielles avec un niveau de sécurité particulièrement déficient. C'était des choses qui étaient exposées sur Internet, administrables par Internet avec un mot de passe par défaut qui était 1 1 1 1 et pas changé parce que l'utilisateur n'y était pas invité.
Donc c'est ça la problématique aujourd'hui. Ces mêmes acteurs qui ont essayé de s'en prendre aux stations d'épuration pour polluer la Seine pendant les Jeux Olympiques, qui n'y sont pas parvenus, qui ont essayé de le faire croire pour autant. Donc on a là encore une première illustration d'une attaque agissant sur les deux plans, technique et réputationnel, sans succès. Et je pense qu'on peut s'en féliciter. Et avec effectivement un facteur de masse qui fait que dans son, parmi les rôles de l'ANSSI, il y a traiter des signalements de vulnérabilité et alerter autant que possible l'ensemble des victimes.
Mais avec, comme vous l'avez rappelé, des milliers de victimes potentielles de chaque de chaque attaque et avec des attaquants en face qui s'organisent pour exploiter massivement la moindre vulnérabilité. Donc ce c'est ce qui a appelé et c'est des choses que nous anticipons dans une certaine mesure depuis quelques années, ce qui a conduit à élaborer le cadre réglementaire et législatif européen. La directive NIS 2 qui vise à nous doter d'une capacité de contrôle et à porter, et c'est ça l'enjeu fondamental, porter les bonnes pratiques et généraliser les bonnes pratiques à l'ensemble, c'est pas le champ d'application exact de la de la directive NIS 2, mais au moins une grande partie de notre économie et de notre société pour s'assurer qu'il n'y a pas de point de fragilité particulière, qu'on n'est pas à la merci fondamentalement de la première vulnérabilité venue.
Ça c'est important. Le CRA est important, et là c'est un règlement européen donc d'application directe. C'est la réponse aussi à ces équipements non sécurisés qui sont déployés dans la nature, les éoliennes ou les micro-barrages avec un mot de passe par défaut. Ce ne sera plus possible avec le CRA et on aura un vrai pouvoir de contrôle qui sera le même pour partagé par toutes les autorités européennes. Donc à la question de quelles évolutions sont nécessaires aujourd'hui dans nos capacités, je serais tenté de dire déjà mettre en œuvre celles qui sont prévues ou qui vont être mises en œuvre.
Donc ça c'est déjà un vrai chantier pour nous. Alors avec le chantier législatif du projet de loi résilience, mais aussi le travail que nous menons d'arrache-pied depuis plusieurs années déjà de préparation à la mise en œuvre de NIS 2, du CRA, de développement de ce nouveau rôle de contrôle et de sanction le cas échéant avec une commission des sanctions indépendante qui sera à la manœuvre in fine, qui prendra la décision, mais un vrai pouvoir de l'ANSSI de mobiliser ce levier des sanctions qui sera opérationnel à ce moment-là. Donc je suis pas sûr qu'il y ait ça appelle d'autres évolutions significatives au-delà de mettre en œuvre ce cadre-là qui est déjà un gros morceau. Au-delà de ça, le vrai travail c'est aussi d'insérer ça dans des logiques économiques. Et moi j'en suis convaincu.
NIS 2 nous amènera à traiter potentiellement 20 000 entités régulées en France. Ça n'épuise pas le sujet, à l'évidence, mais pour autant, il ne faut pas aller mettre des obligations à des toutes petites entreprises, à des particuliers. Il y a peut-être aussi des logiques à construire, et nous y travaillons, pour généraliser les bonnes pratiques aussi par des leviers économiques, par exemple les assureurs, par exemple les banques, qui de plus en plus sont prescripteurs en matière de sécurité parce que quand une banque prête de l'argent à quelqu'un, elle endosse, qu'elle le veuille ou non, le risque de défaillance lié à une cyberattaque. Donc il y a un vrai travail aujourd'hui avec ces acteurs-là.
Sabine Thillaye
Merci beaucoup, Monsieur le Directeur général. Il n'y a pas d'autres questions. Moi j'ai une petite question supplémentaire. Vous avez évoqué les nombreuses vulnérabilités, quel regard portez-vous sur la notion du hacker éthique ?
Vincent Strubel
Alors les hackers éthiques, terme qui avait alors dont la définition n'est pas totalement arrêtée, hein, c'est pas je suis pas sûr que l'Académie française ou le ou les différents dictionnaires aient réellement porté une définition de référence en la matière, mais ça fait partie de cet écosystème étendu de cybersécurité qui est celui avec lequel nous travaillons quotidiennement, hein, et il n'y a pas c'est il n'y a pas de séparation stricte et il y a un vrai travail collectif. Moi j'ai j'ai eu l'occasion de parler à plusieurs reprises de l'équipe de France de la cybersécurité qui est une réalité tangible et qui a des contours très extensifs, hein, et de toute nature, des acteurs du secteur privé, prestataires de cybersécurité ou opérateurs assujettis, des associations, acteurs du monde académique, des autres services de l'État, les collectivités de plus en plus, et des particuliers qui peuvent agir de manière responsable en la matière, qui peuvent nous signaler des vulnérabilités.
Je pense qu'il gagnerait à être plus connu parce que je constate encore parfois, et nous avons engagé un travail récemment avec une partie de cet écosystème d'acteurs éthiques spécifiquement sur ce cadre et pour comprendre mieux comment on peut améliorer notre fonctionnement collectif. Nous avons des dispositions issues de la loi pour une République numérique d'une part et des textes européens qui prolongent la loi Sapin sur la notion de lanceur d'alerte, qui nous permettent de recevoir des signalements, d'assurer la protection des lanceurs d'alerte, soit selon le régime du lanceur d'alerte, soit selon le régime particulier de la loi pour une République numérique, qui ne nous impose pas de signaler au procureur, par exemple, quelqu'un qui aurait mené un bout d'attaque mais avec sans intention autre que démontrer ou trouver une vulnérabilité et nous la signaler ensuite. Donc nous faisons cela. Nous en traitons quelques centaines de ces signalements par an.
Il faut améliorer ce travail-là. Je ne pense pas que ça renvoie forcément à des enjeux législatifs mais un vrai enjeu déjà de connaissance du cadre applicable, en restant vigilant au fait que dans hacker éthique, il y a hacker et éthique et que cette notion d'éthique est importante.
Je le dis en passant, nous avons aussi traité encore récemment un des cas de personnes se présentant comme hacker éthique auprès de ces guichets hacker éthique de l'ANSSI, nous signalant une vulnérabilité, l'exposition de données sur internet et se prévalant de ce cadre de protection des hackers éthiques ou des lanceurs d'alerte, dont nous avons constaté peu de temps après que la même personne était en même temps en train de vendre les données sur le dark web. Bon, et dans ces cas-là, nous avons fait un article 40, signalé l'affaire au procureur et ça a été traité comme il se doit.
Donc il y a toujours ce travail à faire. Je pense qu'on a aussi une action à mener, alors hacker éthique ou relais d'influence aussi, à mieux travailler avec cet écosystème pour parler de la menace, pour en parler en termes compréhensibles par nos concitoyens parce que c'est aussi un déterminant de notre résilience, sans tomber dans des logiques de dramatisation ou de reprise telle quelle des éléments de langage des attaquants parce que ça c'est faire le jeu des attaquants. Et donc accroître la pression sur les victimes en relayant les messages des attaquants, c'est pas une bonne chose. Par contre, il faut évidemment communiquer sur la menace, sur sa réalité, sur les alertes à relever. Donc je pense que nous n'avons pas fini de travailler avec cet univers des hackers éthiques dans toute sa pluralité et on les remercie au passage pour beaucoup d'entre eux pour l'apport essentiel qu'ils apportent au quotidien auprès des missions de l'ANSSI et pour plus généralement notre cybersécurité collective évidemment.
Sabine Thillaye
Merci beaucoup pour ces réponses. Effectivement la définition est un peu compliquée parce que le hacking c'est avec des moyens presque illégaux de l'appeler éthique c'est toujours un petit peu compliqué mais bon ça peut être dans une bonne intention de d'identification quand même des vulnérabilités et ce je crois que le pôle d'excellence cyber de Rennes se penche beaucoup sur cette question. Donc un grand merci à vous. C'est aussi l'occasion de remercier effectivement tous les agents de l'ANSSI. Comme je disais c'est quand même des pompiers de notre cybersécurité et cette disponibilité sept jours sur sept vingt-quatre heures sur vingt-quatre mérite aussi d'être soulignée.
Merci.
Ask anything about this video — I analyse its transcript to answer.