Après les cyber ranges : simuler la décision sous attaque

par Marc-Olivier Boisset

Cette référence à Lem revenait avec une remarquable constance dans mes échanges avec Jean Langlois-Berthelot. Il assure aujourd’hui l’encadrement des recherches de plusieurs officiers supérieurs sur la simulation, la décision, les systèmes cognitifs et la transformation technologique. Ceux-ci savent d’ailleurs qu’il existe peu de problèmes auxquels il ne finisse, tôt ou tard, par inviter l’écrivain polonais — au point que certains pourraient le croire discrètement inscrit au programme. La formule prête à sourire ; le fond est pourtant décisif. Mon directeur de thèse professionnelle m’a expliqué à plusieurs reprises que sa lecture adolescente de Lem avait constitué la première pierre de sa réflexion sur les mondes simulés. En analysant à mon tour les travaux de Lem, j’y ai retrouvé les problèmes de l’observateur, de l’incertitude, des systèmes qui réagissent et des décisions prises dans des mondes devenus difficilement intelligibles. Cette première intuition est devenue beaucoup plus tard un travail structuré sur le Net Assessment, les systèmes cognitifs et la simulation stochastique.

Cet article part donc d’une question très concrète : comment construire une simulation cyber dans laquelle les choix humains modifient réellement la situation ? Pour y répondre, je suis revenu à plusieurs reprises vers Jean. Il m’a, sans grande surprise, ramené plusieurs fois vers Lem. Les textes de l’écrivain polonais sont ainsi devenus l’un des points d’appui intellectuels de ce travail.

Les cyber ranges ont appris à reproduire des réseaux, des logiciels et des adversaires. Ils entraînent efficacement les équipes à détecter, contenir et restaurer. Mais une crise cyber majeure ne se joue pas seulement dans les journaux techniques. Elle se joue dans une cellule où il faut décider avec des informations incomplètes, sous la pression du temps, tandis que la population réagit et que l’adversaire s’adapte. La prochaine frontière de la simulation est donc moins celle de la machine que celle du choix.

À 8 h 17, l’authentification devient instable. À 8 h 31, plusieurs postes affichent une demande de rançon. À 8 h 46, une vidéo attribuée au directeur général annonce l’arrêt du service. Elle est fausse, mais déjà relayée. À 9 h 05, le centre d’appel sature. À 9 h 20, un prestataire propose de couper une interconnexion dont dépendent aussi deux sites encore sains. La cellule de crise doit choisir : isoler, communiquer, attendre ou basculer. Chaque option protège quelque chose et expose autre chose.

Cette scène concentre la difficulté contemporaine. Une crise cyber associe désormais un système technique dégradé, une population qui cherche des solutions, un espace informationnel disputé et des décideurs dont les choix modifient la suite de l’attaque. Or nos entraînements représentent encore trop souvent ces dimensions séparément. Les techniciens combattent dans un cyber range. Les dirigeants discutent autour d’une table. Les communicants reçoivent quelques injects. La population, elle, demeure hors champ.

C’est à partir de cette difficulté que j’ai construit mon projet de recherche : non plus seulement observer la robustesse d’un système informatique, mais comprendre ce qui arrive à la décision lorsque l’attaque transforme simultanément les faits, les perceptions et les possibilités d’action. Pour préciser cet objet, j’ai interrogé à plusieurs reprises Jean Langlois-Berthelot, qui dirige mes recherches doctorales à l’ESCP Business School et travaille depuis plusieurs années sur les mondes simulés, le Net Assessment et les systèmes cognitifs.

Marc-Olivier Boisset — Pourquoi parler de monde simulé plutôt que de simple scénario de crise ? Et je suppose que vous allez encore me répondre Stanisław Lem…

Jean Langlois-Berthelot — Probablement, oui. Mais ce n’est pas tout à fait ma faute s’il avait posé le problème avant nous. Un scénario raconte ce qui doit arriver, tandis qu’un monde réagit à ce que nous faisons. Chez Lem, l’être humain ne rencontre pas seulement un environnement étrange : il rencontre les limites de ses propres catégories. Une simulation utile doit produire ce même déplacement. Elle ne doit pas confirmer le plan ; elle doit révéler ce que le plan ne sait pas voir.

Le résultat peut être trompeur. Une équipe peut restaurer les serveurs tout en perdant la confiance des usagers. Une décision prudente à l’échelle du réseau peut interrompre un service essentiel. Une communication exacte mais tardive peut laisser le récit adverse définir la crise. La performance technique n’est pas encore la maîtrise de la situation.

Le cyber range entraîne le geste, pas toujours l’arbitrage

Les grands exercices ont atteint une échelle remarquable. Cyber Coalition 2025, principal exercice de cyberdéfense de l’OTAN, a réuni 1 300 défenseurs provenant de 29 Alliés et de sept pays partenaires. Pendant sept scénarios réalistes, les participants ont affronté des attaques contre des infrastructures nationales critiques, des vulnérabilités spatiales, des perturbations d’opérations et des activités malveillantes visant les sauvegardes.

Les chiffres et les scénarios sont publiés par l’Allied Command Transformation de l’OTAN.

Aux États-Unis, Cyber Storm IX a mobilisé en avril 2024 plus de 2 200 participants issus des administrations fédérales, des États, des infrastructures critiques, du secteur privé et de partenaires internationaux. L’exercice ne visait pas à tester une entreprise isolée, mais la coordination nationale face à une crise affectant plusieurs secteurs. Son rapport après action insiste notamment sur la circulation de l’information, la compréhension commune de la situation et l’articulation entre acteurs publics et privés.

La CISA présente le dispositif et son retour d’expérience dans Cyber Storm IX: National Cyber Exercise.

L’Union européenne a fait du même problème un objet d’entraînement exécutif. Blue OLEx 2024 a rassemblé les responsables nationaux de la gestion des crises cyber au sein d’EU-CyCLONe. Le scénario portait sur des attaques de grande ampleur contre des secteurs d’importance vitale et sur leurs conséquences politiques, économiques et sociales. Le niveau testé n’était donc plus seulement celui du centre opérationnel : c’était celui de la coopération entre autorités lorsqu’une crise traverse les frontières et les compétences.

La Commission européenne décrit l’exercice dans Blue OLEx 2024.

Ces exercices sont indispensables. Ils révèlent des procédures incompatibles, des listes de contacts périmées, des informations qui ne circulent pas et des autorités qui ne partagent pas le même vocabulaire. Mais leur architecture reste souvent scriptée. Les événements sont préparés à l’avance, les réactions de la société sont incarnées par une équipe d’animation et le temps de l’exercice impose de condenser la crise. On éprouve une organisation dans un récit, plus rarement un ensemble d’options dans des milliers de futurs possibles.

Cette limite devient critique lorsque les effets se répondent. Couper un réseau réduit la propagation du logiciel malveillant mais prive les agents d’un outil de coordination. Annoncer une possible fuite de données protège les personnes concernées mais déclenche des appels, des retraits ou des reports vers d’autres services. Prioriser un hôpital peut retarder la restauration d’un opérateur de télécommunications dont dépendent plusieurs établissements. La décision n’est pas un commentaire ajouté à l’incident : elle en devient une variable active.

Marc-Olivier Boisset — Dans mon projet, la difficulté consiste précisément à représenter une décision qui modifie la crise. Où faut-il placer l’acteur humain dans le modèle ?

Jean Langlois-Berthelot — À l’intérieur. Nous avons longtemps placé le décideur devant la simulation, comme un spectateur appelé à choisir entre plusieurs sorties. Or la décision transforme le système observé : elle ferme des branches, déplace les dommages, modifie l’adversaire et change ce que la population croit possible. Lem avait compris avant beaucoup de théoriciens que l’observateur n’est jamais extérieur au monde qu’il cherche à comprendre.

Cette réponse modifie la conception même de l’exercice. Le décideur ne commente plus une attaque préécrite. Ses arbitrages deviennent des événements du modèle, au même titre qu’une compromission, une panne ou une campagne de désinformation.

Construire un jumeau de la décision

Il faut franchir une étape et construire un jumeau décisionnel socio-cyber. Ce jumeau ne serait pas la copie psychologique d’un dirigeant. Il représenterait la situation dans laquelle une décision devient possible : les informations disponibles, leur degré de confiance, les délais, les responsabilités, les ressources, les dépendances techniques, les réactions de la population et les actions probables de l’adversaire.

Marc-Olivier Boisset — Vous revenez tellement souvent à Lem lorsque nous travaillons sur ce jumeau décisionnel que je finis par me demander s’il ne participe pas officieusement à mon doctorat. Que vous a réellement apporté sa lecture ?

Jean Langlois-Berthelot — Il faudrait alors lui attribuer une place dans les remerciements. Plus sérieusement, Lem m’a donné très tôt une intuition que je n’étais pas encore capable de formaliser : un monde simulé n’est pas une copie appauvrie du réel. Il peut devenir un instrument de connaissance plus exigeant que la description, parce qu’il oblige à expliciter les règles, les dépendances et les angles morts. Solaris est exemplaire : les personnages accumulent les données, mais leur dispositif d’observation produit aussi leurs erreurs. J’ai retrouvé cette question plus tard dans les opérations, puis dans le Net Assessment, la simulation stochastique et l’étude des systèmes cognitifs.

Marc-Olivier Boisset — À vous entendre, Lem avait donc déjà tout écrit. Vous ne le présentez tout de même pas comme un prophète de l’intelligence artificielle ?

Jean Langlois-Berthelot — Ce serait l’appauvrir. Lem ne prédit pas nos outils ; il étudie notre tendance à leur déléguer trop vite une intelligibilité. Il demande ce que devient la décision lorsque la machine calcule davantage que nous, alors même que le sens de la situation demeure disputé. C’est exactement le problème d’une cellule de crise cyber entourée de tableaux de bord, d’alertes et d’agents génératifs.

Le premier moteur reproduit le système attaqué. Il contient les actifs, les identités, les données, les sauvegardes, les dépendances et les capacités de repli. Il ne simule pas seulement la compromission ; il calcule ce que chaque mesure de confinement rend indisponible. Le deuxième moteur représente une population synthétique : usagers, salariés, fournisseurs, médias, élus et opérateurs voisins. Ces agents cherchent une information, changent de canal, se reportent vers un service, diffusent un message ou renoncent à une action.

Le troisième moteur incarne un adversaire adaptatif. Celui-ci observe les défenses, déplace son accès, choisit le moment de publier des données, exploite une déclaration ambiguë ou fabrique un faux message pour accélérer la désorganisation. Enfin, la cellule humaine prend les décisions. Elle ne joue pas contre un scénario figé, mais dans un environnement qui réagit à ses choix.

Le modèle doit alors simuler les perceptions autant que les faits. Une cellule ne sait jamais immédiatement quels systèmes sont réellement compromis, si une sauvegarde est saine, si le prestataire dit toute la vérité ou si un message viral provient de l’attaquant. Chaque information devrait donc être accompagnée d’une provenance, d’un délai et d’un niveau de confiance. Une donnée correcte peut arriver trop tard ; une donnée fausse peut être cohérente avec les signes disponibles. C’est dans cet écart que naît la décision de crise.

L’OTAN définit le wargame précisément par cette interaction entre une force bleue qui pense et une force rouge qui pense. Son Allied Command Transformation insiste sur un environnement où l’échec sert à tester les idées, les plans et les technologies jusqu’à leur point de rupture. Le but n’est pas de prédire l’avenir, mais d’explorer des futurs possibles et les conséquences des choix qui les produisent.

Cette conception est développée dans les travaux de l’OTAN sur l’Audacious Wargaming.

La puissance de calcul et les agents génératifs permettent désormais de multiplier les parties. Une même cellule peut rejouer la crise avec un autre ordre d’informations, un adversaire plus patient, une population moins confiante ou une panne plus longue. Des milliers de simulations synthétiques peuvent ensuite explorer les branches que les humains n’ont pas jouées. Mais la machine ne doit pas attribuer une note magique à la bonne décision. Elle doit rendre visibles les compromis : temps gagné, services préservés, dommages déplacés, incertitude résiduelle et capacité future d’agir.

Marc-Olivier Boisset — Revenons tout de même à mon projet avant que Solaris n’absorbe définitivement l’article. Il suppose de multiplier les parties et d’explorer des branches que la cellule humaine n’a pas jouées. Comment éviter que le calcul ne se transforme en oracle ?

Jean Langlois-Berthelot — En refusant qu’il fournisse une vérité finale. La machine peut explorer, comparer, mettre en tension et conserver la trace de milliers de bifurcations. Elle ne doit pas effacer les hypothèses qui ont produit ses résultats. Chez Lem, les machines deviennent dangereuses moins parce qu’elles pensent que parce que les humains cessent d’interroger les catégories dans lesquelles elles calculent. Une bonne simulation augmente la contestabilité de la décision ; elle ne sacralise pas son score.

Le résultat intéressant n’est donc pas : la cellule a-t-elle gagné ? Il est : sur quelles hypothèses a-t-elle décidé, quels signaux a-t-elle négligés, quelles options a-t-elle refermées et à quel moment son choix est-il devenu irréversible ? Le débriefing passe alors du récit des actions à l’anatomie de la décision.

Mesurer la résilience par la liberté d’agir

Une simulation de cette nature exige de nouveaux indicateurs. Le temps moyen de restauration reste nécessaire, mais il ne suffit plus. Il faut mesurer le délai avant une compréhension partagée, le nombre de décisions prises sans information critique, la vitesse de correction d’une hypothèse fausse, la capacité à conserver plusieurs options, le coût humain du fonctionnement dégradé et le temps nécessaire pour rétablir un canal officiel crédible.

On peut également observer l’équité de la réponse. Quelle population perd le service en premier ? Qui dispose d’une solution de repli ? Une mesure de sécurité transfère-t-elle le risque vers des personnes moins équipées, un territoire voisin ou un sous-traitant invisible ? Une organisation résiliente n’est pas seulement celle qui redémarre vite. C’est celle qui sait à qui elle fait supporter le temps de la crise.

La meilleure décision n’est d’ailleurs pas toujours celle qui minimise immédiatement les dommages. Elle peut être celle qui préserve la liberté d’agir au tour suivant. Retarder une annonce de quelques minutes pour vérifier un fait peut éviter une panique ; la retarder de deux heures peut livrer l’espace informationnel à l’adversaire. Isoler un prestataire peut sauver le cœur du réseau ; le faire sans solution alternative peut empêcher toute reprise. La qualité réside dans le moment, les dépendances comprises et la possibilité de réviser le choix.

Marc-Olivier Boisset — Je vais tenter une question sans auteur polonais : si le modèle ne doit pas désigner une décision optimale, que doit finalement mesurer mon projet ?

Jean Langlois-Berthelot — La liberté d’agir. Une décision peut réduire le dommage immédiat tout en rendant la situation suivante ingouvernable. Il faut donc mesurer les options conservées, la réversibilité, la qualité des informations encore accessibles et la capacité à corriger une hypothèse fausse. C’est une idée profondément lémienne : l’intelligence ne consiste pas à tout prévoir, mais à continuer de penser lorsque le monde résiste à nos représentations.

Cette proposition fournit au projet son critère directeur. La résilience ne se réduit plus au retour à l’état initial. Elle désigne la capacité d’une organisation à préserver assez de prises sur la situation pour réviser son jugement et agir de nouveau.

Pour devenir crédible, le jumeau devra être gouverné comme un système critique. Ses données peuvent révéler les points faibles de l’organisation. Ses hypothèses comportementales peuvent produire de faux effets de précision. Ses agents peuvent amplifier les biais de leurs données d’entraînement. Chaque résultat doit rester traçable : version du modèle, paramètres, sources, incertitudes et décisions humaines. Un modèle opaque ne prépare pas à la crise ; il déplace simplement la confiance vers une nouvelle boîte noire.

Il faudra surtout accepter de faire varier ce que l’institution préfère tenir pour acquis. Que se passe-t-il si le canal de crise est lui-même compromis ? Si le message du dirigeant n’est plus cru ? Si deux autorités légitimes donnent des consignes incompatibles ? Si le prestataire commun à plusieurs secteurs privilégie un autre client ? La simulation prend toute sa valeur lorsqu’elle dérange le plan sans caricaturer le réel.

Les trois premiers articles de cette série ont proposé d’élargir le champ : passer du réseau à la population, construire le jumeau socio-cyber des infrastructures critiques, puis simuler une population ciblée par le phishing, les deepfakes et les faux messages d’urgence. Le dernier mouvement consiste à réunir ces éléments autour de ceux qui doivent agir. Réseau attaqué, services essentiels, population synthétique, adversaire informationnel et cellule de crise appartiennent enfin à la même expérience.

Nous ne manquons plus seulement de plans. Nous manquons d’endroits où les mettre en échec sans subir la catastrophe qu’ils prétendent éviter. Le cyber range de demain sera cet endroit : non une salle où l’on répète la bonne réponse, mais un laboratoire où l’on découvre pourquoi une décision raisonnable peut devenir dangereuse lorsque le système, la société et l’adversaire réagissent ensemble.

Marc-Olivier Boisset — Au fond, qu’est-ce qu’un exercice réussi devrait faire éprouver à ses participants ?

Jean Langlois-Berthelot — Le moment où leur représentation cesse de suffire, sans que l’action devienne pour autant impossible. Lem place constamment ses personnages à cet endroit. Ils ne sont pas privés d’intelligence ; ils découvrent que leur intelligence a été construite pour un autre monde. L’exercice devient fécond lorsqu’il permet cette découverte sans attendre la catastrophe réelle.

Simuler la bataille de la décision ne donnera jamais la certitude de choisir juste. Cela donnera mieux : la capacité de reconnaître plus tôt ce que l’on ignore, de préserver des options et de décider sans confondre vitesse et maîtrise. Dans une crise cyber, la résilience commence peut-être là : non dans la promesse de tout prévoir, mais dans l’entraînement obstiné à penser sous attaque.

Marc-Olivier Boisset est officier supérieur de l’armée de Terre et breveté de l’enseignement militaire supérieur. Il achève actuellement un doctorat professionnel à l’ESCP Business School, sous la direction de Jean Langlois-Berthelot. Ses recherches portent sur la décision, la résilience et les transformations des organisations confrontées aux environnements cyber.