Un logiciel s'introduit sur un ordinateur portable, repère d'autres appareils connectés au réseau, puis fabrique des copies de lui-même adaptées à chaque système : iPad, Mac, PC Windows. Ce fonctionnement est celui d'ECHOTRIBBLE, un projet militaire américain révélé par The Intercept en octobre 2026. L'objectif est de confier à des agents IA la capacité de mener des cyberattaques avec une intervention humaine réduite au minimum.
Dit comme ça, ça semble relever du thriller technologique. Pourtant, ce projet est bien réel et soulève des questions qui nous concernent tous : jusqu'où peut-on laisser des systèmes autonomes prendre des décisions offensives ? Et surtout, quels garde-fous existent vraiment ?
Un projet militaire qui franchit une nouvelle ligne
ECHOTRIBBLE est développé par ARCYBER, le commandement cyber de l'armée de terre américaine. Ce dernier fait partie de l'US Cyber Command, qui coordonne les opérations numériques offensives et défensives de toutes les branches militaires. Concrètement, ARCYBER intervient pour protéger les infrastructures militaires américaines, mais aussi pour mener des opérations offensives contre des adversaires désignés.
Ce qui distingue ECHOTRIBBLE des outils classiques, c'est son niveau d'autonomie. Les documents présentés aux entreprises candidates décrivent un agent de type « ver » : un logiciel capable de se déplacer seul dans un réseau, de s'adapter aux différents environnements rencontrés, puis de s'effacer discrètement une fois sa mission accomplie. L'expression utilisée dans les documents officiels est claire : « supervision humaine minimale ». Cette autonomie rappelle d'autres incidents récents, comme en mars dernier où je vous parlais d'un agent IA de sécurité qui avait compromis le chatbot de McKinsey en deux heures, ou encore en août quand des modèles d'Anthropic avaient piraté trois entreprises par accident. Sauf qu'ici, l'autonomie est voulue et orientée vers l'offensive militaire.
Comment ça fonctionne concrètement ?
L'agent IA serait introduit sur un premier appareil cible. À partir de là, il analyserait le réseau auquel cet appareil est connecté pour identifier d'autres machines : ordinateurs, tablettes, smartphones, serveurs. Ensuite, il créerait des versions de lui-même adaptées à chaque système d'exploitation détecté. Une fois propagé, il pourrait identifier et neutraliser des cibles désignées par l'armée.
L'aspect inquiétant, c'est que ce processus se déroule de manière quasi autonome. L'humain intervient pour lancer la mission et définir les objectifs, mais l'agent prend ensuite ses propres décisions tactiques : quels appareils infecter, comment se déplacer, quand agir.
Les risques pointés par l'enquête
The Intercept souligne plusieurs zones d'ombre préoccupantes. Premièrement, les garde-fous ne sont pas détaillés publiquement. Comment l'armée s'assure-t-elle que l'agent ne va pas déborder de sa mission initiale ? Qu'est-ce qui empêche des dommages collatéraux, par exemple si l'agent infecte par erreur des infrastructures civiles connectées au même réseau ?
Deuxièmement, le projet soulève une question de contrôle humain. Avec une « supervision minimale », à quel moment un opérateur peut-il reprendre la main ? Que se passe-t-il si l'agent adopte un comportement imprévu ou si les objectifs changent en cours de mission ?
Enfin, l'armée américaine n'a pas communiqué publiquement sur les mesures d'atténuation des risques. Les documents obtenus par The Intercept restent vagues sur ce point, ce qui alimente les inquiétudes des experts en cybersécurité et en éthique de l'IA.
Ce que vous devez savoir
- Ce projet militaire illustre une tendance plus large : l'automatisation croissante des décisions offensives dans le domaine cyber. Ce qui se développe pour l'armée préfigure souvent ce qui finira par circuler dans d'autres contextes
- Les agents autonomes posent un problème de responsabilité : si une IA prend une décision qui cause des dommages, qui est responsable ? L'opérateur qui a lancé la mission ? Le développeur du logiciel ? L'institution qui l'a déployé ?
