Non, une IA n'a pas cassé la sécurité de votre banque — et voici ce qui vient ensuite

Depuis quelques jours, une information circule sous des formes de plus en plus inquiétantes : une intelligence artificielle aurait « brisé » le chiffrement qui protège les transactions bancaires.

L'affaire est réelle, et le résultat scientifique est même considérable. Mais votre banque n'est pas en danger, et l'écart entre ce qui s'est produit et ce que racontent les titres mérite d'être expliqué simplement. C'est ce que fait cet article — avant de regarder, ce qui est plus intéressant encore, ce qui vient ensuite.

D'abord, une image pour comprendre de quoi on parle

Le chiffrement, c'est ce qui transforme une information lisible en suite incompréhensible, et permet de la retrouver ensuite avec la bonne clé. C'est ce qui protège votre virement, votre mot de passe, votre conversation.

L'algorithme le plus utilisé au monde pour cela s'appelle AES. Imaginez-le comme un mélangeur : il brasse l'information dix fois de suite. Chaque brassage rend le résultat un peu plus impossible à démêler. Après dix, c'est de la bouillie parfaite : personne, avec aucun ordinateur existant, ne sait revenir en arrière.

Pour éprouver la solidité de ce mélangeur, les chercheurs font depuis toujours une chose logique : ils testent des versions affaiblies. Un mélangeur qui ne brasse que sept fois, par exemple. C'est un banc d'essai — on regarde à partir de combien de tours la protection commence à céder, pour savoir quelle marge de sécurité il reste sur la version réelle. C'est exactement ce qu'un constructeur fait en écrasant des voitures contre un mur : personne n'en conclut que les voitures sont dangereuses.

Retenez cette distinction : la version d'étude à sept tours, ce n'est pas celle de votre banque. Votre banque utilise les dix.

Ce qui s'est réellement passé

Le 28 juillet 2026, Anthropic — l'entreprise qui développe l'assistant Claude — a publié deux résultats obtenus avec un modèle expérimental non public, réservé à la recherche en sécurité.

Découverte 1 : une faiblesse dans un algorithme candidat. HAWK est un algorithme de signature « post-quantique » — conçu pour résister aux futurs ordinateurs quantiques. Il n'est utilisé nulle part : il était en cours d'examen pour devenir un standard américain, un peu comme un médicament en phase d'essais avant autorisation. Le modèle y a trouvé une propriété mathématique que personne n'avait vue, qui rend le cassage d'une petite clé bien plus facile : d'environ 18 milliards de milliards d'opérations à 275 milliards — soit, concrètement, une clé retrouvée en quelques heures sur un seul serveur.

Découverte 2 : une attaque plus rapide sur le mélangeur à sept tours. Sur la version d'étude d'AES, le modèle a inventé une technique — qu'il a lui-même baptisée « Möbius Bridge » — rendant l'attaque connue 200 à 800 fois plus rapide, battant un record établi par des cryptographes humains en 2013.

Et voici le chiffre qui remet les choses à l'échelle : même après cette accélération, l'attaque demande encore un nombre d'opérations à 27 chiffres. C'est-à-dire toujours totalement hors de portée de l'humanité entière, pendant des milliards d'années. 800 fois plus rapide qu'impossible, cela reste impossible.

Le coût : environ 100 000 dollars de calcul par résultat, plus des centaines d'heures de vérification par des humains.

La conséquence, tombée le lendemain : l'équipe qui développe HAWK a confirmé le résultat et retiré son algorithme de la course à la normalisation. Le médicament a été arrêté avant sa mise sur le marché — c'est exactement à cela que servent les essais.

Ce que les titres déforment

« L'IA a cassé le chiffrement bancaire. » Non — et c'est Anthropic elle-même, qui aurait pourtant tout à gagner à impressionner, qui écrit que ces travaux n'affectent aucun système en service. Sept tours ne sont pas dix.

« Un algorithme officiel est tombé. » HAWK n'était officiel nulle part : c'était un candidat, jamais déployé, et la démonstration porte sur une version volontairement affaiblie fournie aux chercheurs comme cible d'entraînement.

« Les banques centrales paniquent à cause de ça. » Deux histoires sont confondues. Il est vrai que la Banque centrale européenne a convoqué en urgence, fin mai, les dirigeants des grandes banques de la zone euro, imitée par la Réserve fédérale américaine et la Banque d'Angleterre. Mais le motif était antérieur et différent : le même modèle avait alors trouvé, en un mois, plus de 10 000 failles dans des logiciels très répandus — systèmes d'exploitation, navigateurs. Sujet réel, mais qui n'est pas celui du chiffrement.

Ce qui est réellement historique — et qu'il ne faut pas minimiser

Rassurer en minimisant serait malhonnête. Trois choses, ici, sont sérieuses.

Une machine a vu ce que des experts avaient manqué pendant deux ans. HAWK avait traversé deux tours complets d'examen par la communauté mondiale de la cryptographie. Personne n'avait repéré cette faiblesse. Ce n'est pas de la force brute : c'est une idée.

Une décision internationale a été prise à cause de ce résultat. Le retrait de HAWK n'est pas un communiqué : c'est un processus de normalisation qui change de cap. À notre connaissance, c'est la première fois qu'une découverte d'IA produit cet effet.

Le prix a changé de nature. 100 000 dollars pour un résultat de ce niveau, c'est dérisoire comparé à ce que coûtait jusqu'ici une équipe de chercheurs spécialisés pendant des mois. La question n'est plus « une machine peut-elle faire ce travail ? » mais « qui peut se l'offrir, et pour quoi faire ? ». C'est précisément ce qui a motivé les convocations des banques centrales — et pourquoi l'accès à ce modèle reste restreint à un cercle fermé.

Et demain ? Ce qu'on peut raisonnablement anticiper

Ici, nous quittons les faits pour la projection. Nous le signalons clairement, et nous distinguons ce qui est déjà en mouvement de ce qui relève du scénario.

Dans un an — ce qui est déjà engagé

D'autres résultats du même type, très probablement. La méthode fonctionne et elle est reproductible : les algorithmes candidats à la normalisation, encore en examen, sont des cibles naturelles. Il faut s'attendre à ce que d'autres faiblesses soient trouvées — et c'est plutôt une bonne nouvelle : mieux vaut qu'elles apparaissent pendant les essais qu'après le déploiement mondial.

L'IA va entrer dans le processus d'évaluation lui-même. Faire relire un algorithme par une machine avant de le normaliser va devenir une étape attendue, comme l'est aujourd'hui la relecture par des pairs humains. Le retrait de HAWK crée un précédent difficile à ignorer.

La question de l'accès va devenir politique. Elle l'est déjà : des banques européennes se sont vu refuser l'accès à ce modèle, des États en réclament, plusieurs acteurs développent leur propre version. Le débat « qui a le droit d'utiliser l'outil le plus puissant » ne fait que commencer.

Rien ne changera pour votre banque au quotidien. Les migrations cryptographiques prennent des années et ne s'improvisent pas ; aucune n'est déclenchée par ces résultats.

Dans dix ans — trois scénarios, pas une prédiction

Personne ne sait, et méfiez-vous de qui l'affirme. Mais les issues plausibles se laissent décrire.

Scénario 1 — l'outil devient un instrument de routine. Les IA analysent en continu algorithmes et logiciels, trouvent les faiblesses avant les attaquants, et la sécurité globale s'améliore. La cryptographie tient, parce qu'elle est constamment éprouvée. C'est le prolongement de ce qui se passe aujourd'hui, et l'issue la plus probable si l'accès reste encadré.

Scénario 2 — la course s'accélère. Des algorithmes aujourd'hui en service finissent par être affaiblis, obligeant à des migrations mondiales — comme celle, déjà en cours pour d'autres raisons, vers la cryptographie post-quantique. Ce ne serait pas la fin du monde : ce serait un chantier long, coûteux, et gérable pour qui l'a anticipé. Les organisations capables de changer d'algorithme sans tout reconstruire s'en sortiraient bien mieux que les autres.

Scénario 3 — l'asymétrie. La capacité se diffuse plus vite que les défenses ne s'adaptent, et l'avantage passe aux attaquants pendant une période. C'est le scénario que les régulateurs cherchent à éviter en restreignant l'accès — pari qui tiendra ou non selon la vitesse à laquelle des capacités équivalentes apparaissent ailleurs.

Ce qui est commun aux trois — et donc ce sur quoi il est rationnel d'agir : la valeur d'une organisation ne sera pas dans le choix du « bon » algorithme, mais dans sa capacité à en changer vite. Ce qu'on appelle l'agilité cryptographique n'est pas un sujet d'expert : c'est la version technique d'un principe simple — ne jamais dépendre d'une hypothèse qu'on ne peut pas réviser.

Et la leçon qui déborde le sujet

Cette affaire dit quelque chose de plus large sur la période : la vitesse rend la prédiction inutile et la mesure indispensable. Il y a dix-huit mois, personne n'imaginait qu'une machine retirerait un candidat de la normalisation cryptographique mondiale. Ceux qui avaient raison ne sont pas ceux qui avaient prédit — ce sont ceux qui regardaient.

C'est vrai en sécurité, et c'est vrai pour tout ce qui touche à l'IA. Y compris, plus prosaïquement, pour la place de votre entreprise dans les réponses de ces mêmes IA : elle change vite, elle ne se devine pas, elle se constate.

Ce que ça change pour vous, concrètement

Aucune action urgente. Vos paiements, vos mots de passe, vos échanges chiffrés reposent sur des systèmes qui n'ont pas été affaiblis. Les bonnes pratiques habituelles — mots de passe uniques, double authentification, vigilance face aux messages frauduleux — restent, et de très loin, ce qui vous protège vraiment au quotidien.

Une question à poser à vos prestataires, si vous gérez des systèmes sensibles : « saurions-nous changer d'algorithme de chiffrement en quelques mois si c'était nécessaire ? ». Si la réponse est non, ce n'est pas cette annonce qui pose problème — c'est votre dépendance.

Et un réflexe de lecture. Cette affaire est un cas d'école : un résultat réel, documenté par ceux qui l'ont obtenu, avec leurs propres réserves écrites noir sur blanc — transformé en quelques heures en « la sécurité bancaire est cassée ». Personne n'a menti ; le raccourci a suffi.

Notre métier consiste à mesurer ce que les IA disent — pas à les croire sur parole, ni à croire ce qu'on raconte à leur sujet. Si vous voulez savoir ce que ChatGPT, Perplexity, Gemini et Claude répondent aujourd'hui quand on les interroge sur votre entreprise, c'est l'objet de notre audit de visibilité IA.

État des informations publiques au 30 juillet 2026. Résultats publiés par Anthropic le 28 juillet 2026 (« Discovering cryptographic weaknesses with Claude », https://www.anthropic.com/research/discovering-cryptographic-weaknesses), avec deux articles techniques et leurs éléments de reproductibilité ; l'équipe HAWK a retiré son algorithme du processus de normalisation du NIST le 29 juillet après confirmation du résultat. Les travaux sur AES portent sur une variante réduite à 7 tours d'AES-128, contre 10 tours en production. Les convocations de banques par la BCE, la Réserve fédérale et la Banque d'Angleterre datent de mai 2026 et concernent un sujet distinct (découverte de vulnérabilités logicielles). La section « Et demain ? » est prospective et présentée comme telle : elle décrit des scénarios, pas des prédictions. Cette affaire est récente ; de nouveaux éléments peuvent préciser ou nuancer ce récit.