Cybersécurité : les risques critiques de l'open-source et de l'IA selon le gouvernement britannique

Selon un rapport publié par le Department for Science, Innovation and Technology (DSIT) et le Department for Digital, Culture, Media & Sport (DCMS), une étude systématique pointe aujourd'hui les vulnérabilités de cybersécurité inhérentes aux composants logiciels open-source et aux modèles d'IA ouverts.

Cette publication, issue d'une commande gouvernementale et réalisée par l'Université de Greenwich, offre une cartographie des risques basée sur une revue de littérature étendue. Elle s'inscrit dans la volonté du Royaume-Uni de renforcer la résilience cyber de ses infrastructures critiques face à l'adoption massive de ces technologies.

Une méthodologie d'audit à grande échelle

L'étude a consisté en une revue systématique de la littérature académique et grise publiée entre 2020 et 2026. L'approche s'appuie sur plusieurs vecteurs d'analyse:

• Le criblage de 14 561 références académiques, dont 43 ont été retenues selon des critères d'inclusion.
• L'examen de 172 documents de littérature grise provenant d'autorités nationales de cybersécurité, d'organismes de normalisation et d'organisations internationales.
• Une analyse des plateformes GitHub et Hugging Face, écosystèmes centraux de l'IA ouverte.

La synthèse de ces sources révèle une lacune significative dans les preuves disponibles, en particulier concernant la gouvernance en amont (upstream) des modèles d'IA open-source.

Implications pratiques pour la gestion des risques

Pour les architectes et les équipes DevSecOps, ce rapport confirme un risque connu mais désormais documenté au niveau étatique: la dépendance à des composants tiers dont la chaîne d'approvisionnement n'est pas maîtrisée constitue un vecteur d'attaque systémique. La question n'est plus seulement la vulnérabilité d'une bibliothèque, mais l'intégrité du modèle d'IA lui-même.

Les recommandations implicites pour une gouvernance technique saine en découlent:

• Auditer la provenance et les dépendances des modèles IA importés, au-delà des poids du modèle.
• Renforcer la gestion des licences et la traçabilité dans la chaîne d'approvisionnement logicielle (SBOM).
• Intégrer le risque lié aux composants open-source critiques dans les analyses d'impact de sécurité.