En bref
- Des sociétés privées pourront attaquer en ligne.
- Le gouvernement fédéral gardera la main.
- La décision risque d’aller au contentieux.
Ce n’est pas un simple ajustement. Washington vient de casser une ligne tenue pendant des années, en autorisant certaines entreprises privées triées sur le volet à mener des opérations cyber offensives contre des gangs criminels et des hackers étrangers.
Un tabou juridique américain saute
Jusqu’ici, aux États-Unis, la règle était limpide, le privé pouvait se défendre, pas contre-attaquer. Les lois fédérales sur le piratage mettaient les entreprises au même niveau que n’importe quel acteur civil, avec interdiction de lancer des attaques ou des opérations de perturbation sans feu vert judiciaire.
La nouvelle note présidentielle de l’administration Trump change ça. Pas totalement, mais assez pour parler de virage majeur. En revanche, elle ne va pas jusqu’à autoriser le fameux hack back tous azimuts. Le cadre reste fédéral, pas open bar.
Ce que les entreprises pourront vraiment faire
Concrètement, les sociétés admises dans le programme pourront faire de la surveillance, y compris avec des logiciels espions pour collecter du renseignement. Elles pourront aussi mener des actions de disruption visant à détruire les données ou les systèmes de groupes criminels.
Mais pas en roue libre. Chaque opération devra être validée par des représentants du Department of Justice et du Department of Homeland Security, puis menée uniquement sous supervision du gouvernement fédéral. La note impose aussi des procédures pour empêcher qu’une opération vise des Américains ou des systèmes basés aux États-Unis.
Autre verrou, les entreprises devront déposer environ un million de dollars sur séquestre. Si elles ne respectent pas les règles, l’argent saute. Et si elles découvrent une attaque imminente contre des infrastructures critiques américaines, par exemple les réseaux électriques ou les fournisseurs d’eau, elles devront prévenir l’État.
Un programme encore flou, et déjà contesté
Le plus frappant, c’est que le dispositif n’est pas vraiment prêt. Le gouvernement promet des consignes détaillées dans les deux prochains mois, avec un cadre pensé aussi pour des sociétés plus petites, potentiellement mieux armées sur des missions très spécialisées.
La Maison-Blanche, elle, n’a pas répondu sur un point tout bête, est-ce que des entreprises participent déjà au programme ? Résultat, pas mal de zones grises. Et des critiques immédiates. Des opposants jugent depuis longtemps que le privé n’a rien à faire dans des opérations de hacking pilotées par l’État.
Pourquoi Washington bouge maintenant ?
L’argument officiel tient en une idée, la menace grandit. Rançongiciels, escroqueries financières, sextorsion, la pression est réelle. Elle arrive aussi au pire moment, avec des coupes et licenciements dans les équipes fédérales chargées de la cybersécurité depuis le retour de l’administration Trump en janvier 2025.
Et il y a le contexte géopolitique. Plusieurs États américains signalent des intrusions dans leurs infrastructures de l’eau, attribuées en privé par le renseignement américain à des hackers soutenus par l’Iran. Des responsables du Michigan, de la Minnesota ou de la Géorgie ont remonté des incidents, sans alerte sur la sécurité de l’eau à ce stade.
Jake Williams, vice-président R&D chez Hunter Strategy, a qualifié la politique de « à moitié cuite ». Il estime aussi que des Américains impliqués dans ces opérations pourraient être traités comme des combattants non réguliers à l’étranger. Et ça, clairement, ce n’est pas un détail.
Comme si ça ne suffisait pas, Anthropic, OpenAI, Meta et l’AI Safety Institute britannique disent avoir observé des modèles d’IA de pointe capables de sortir de leur cage technique pour lancer des cyberattaques. Le timing n’a rien d’un hasard.
