Sujet: cybersécurité

«[L]e Conseil fédéral a approuvé un accord sur la gestion transfrontalière des données scientifiques dans le cadre d’activités communes de recherche et développement entre la Suisse et la Chine. […] Avec le soutien du Fonds national suisse (FNS), le Secrétariat d’État à la formation, à la recherche et à l’innovation a négocié avec le ministère chinois des Sciences et de la Technologie un dispositif visant à permettre aux chercheurs suisses de collaborer avec leurs partenaires chinois dans un cadre juridique sûr. »

«La Commission européenne prévoit de mettre en place un pôle de recherche polaire de l’UE afin de renforcer la coordination et d’améliorer l’articulation entre la science et les politiques publiques. Selon un responsable de la Commission, l’objectif est de «mieux relier la recherche, l’observation et les infrastructures scientifiques, d’améliorer l’accès aux ressources de recherche et de renforcer la coordination avec les parties prenantes, y compris les peuples autochtones».»

Si la nouvelle stratégie arctique de l’UE met l’accent sur la sécurité, avec des engagements visant à protéger les câbles sous-marins, à renforcer la surveillance par satellite, à déployer davantage de brise-glaces et à améliorer la mobilité militaire, «la communauté polaire se réjouit de constater que les préoccupations environnementales n’ont pas été négligées».

415 chercheur·es, dont «Au moins 225 scientifiques spécialisés en intelligence artificielle et cybersécurité, dont le Canadien Yoshua Bengio – considéré comme l’un des pères de l’IA –, ont appelé mardi à des «changements immédiats» dans les pratiques de développement et de déploiement de l’IA afin de prévenir de futurs incidents de sécurité.»

Deux chercheurs soupçonnent que l’entrée de prompts dans des outils d’IA ont eu une influence sur le fait que l’IA les leur a volé la vedette. Antropic et OpenAI  déclarent que les prompts des utilisateurs n’auraient pas pu entrainer leurs modèles à résoudre les questions de recherche.  Certains scientifiques réexaminent aujourd’hui la manière dont ils utilisent l’IA.

Les organismes de financement de la recherche se demandent comment empêcher que des idées scientifiques confidentielles contenues dans les demandes de subvention ne fuient via les grands modèles linguistiques (LLM), par exemple lorsque les évaluateurs ont recours à l’IA pour les aider à examiner les candidatures. Car le pire des cas, cela risque de compromettre l’attribution correcte des avancées scientifiques, l’un des fondements de la science moderne.

Récemment, une polémique a éclaté dans le monde des mathématiques après qu’OpenAI a annoncé avoir résolu un problème réputé particulièrement difficile, ce qui a conduit un autre mathématicien à exiger des explications quant à l’utilisation éventuelle, par l’entreprise, d’idées qu’il avait lui-même intégrées dans ses modèles.

Certains outils d’IA offrent aux utilisateurs l’option d’empêcher que leurs sessions ne contribuent à l’entraînement du modèle. Si l’on peut se fier à ces garanties, cela donne aux scientifiques une certaine assurance quant à la possibilité d’utiliser un LLM pour développer une idée sans risque de fuite.

Mais il existe une vulnérabilité potentielle encore plus importante. Pour obtenir des fonds afin d’étudier leurs idées, les scientifiques doivent les partager avec les organismes de financement. Ces demandes de subvention sont normalement gardées strictement confidentielles, afin d’empêcher d’autres scientifiques de les devancer ou de protéger une propriété intellectuelle à forte valeur commerciale.

Pour préserver cette confidentialité, lorsque ces bailleurs de fonds utilisent des modèles d’IA, ils doivent s’assurer qu’ils n’effectuent pas d’appels vers des serveurs externes, ce qui entraînerait une fuite de ces données. Cependant, les bailleurs de fonds font généralement appel à des évaluateurs universitaires externes pour examiner les propositions. Et l’on craint de plus en plus que ces évaluateurs n’intègrent des idées de subventions dans des modèles d’IA afin de les aider à se forger une opinion.

Abel Brodeur et David Valenta  de l’Université d’Ottawa, ont ensuite examiné 327 «replication packages», des dossiers de données de recherche pour la reproduction accessibles au public, correspondant à des études menées sur des sujets humains et publiées dans 11 revues de référence en économie, en sciences politiques et en psychologie.

«Quatorze pour cent contenaient au moins une donnée permettant d’identifier directement une personne, telle que son nom, son adresse, son numéro de téléphone ou l’adresse IP de l’ordinateur qu’elle a utilisé pour répondre à un sondage en ligne», indiquent Brodeur et Valenta. «Sept pour cent supplémentaires comprenaient des informations telles que l’âge, la profession et le lieu de résidence qui, une fois recoupées, peuvent permettre d’identifier une personne.

Les participant·es ont souvent divulgué ces informations en répondant à des questions «à réponse libre» dans les questionnaires, allant parfois jusqu’à fournir leur nom et leur numéro de compte bancaire pour s’assurer de recevoir la rémunération promise en échange de leur participation à l’étude. Les auteurs de l’étude ont rendu ces informations publiques par inadvertance.

«Ce Programme national de recherche réunira des projets interdisciplinaires intégrant des éléments transdisciplinaires afin de renforcer les infrastructures critiques face aux cyberattaques et aux perturbations numériques.»

Environ deux ans après la signature d’un accord avec la Fondation Dieter Schwarz, l’ETH Zurich inaugure un nouveau site à Heilbronn,un nouveau pôle de recherche et d’enseignement axé sur l’IA et la cybersécurité. L’objectif est de faire progresser la transformation numérique dans l’économie et la société. L’ETH Zurich s’engage à long terme à Heilbronn et renforce ainsi son réseau au sein de l’espace européen de la recherche.

«Face à un contexte géopolitique en mutation et à l’intensification des collaborations internationales en recherche, le président du groupe de travail mis en place par swissuniversities fin 2024 sur mandat de la CSHE a présenté aujourd’hui une stratégie globale pour renforcer la sécurité des connaissances dans les institutions suisses, tout en préservant leur excellence scientifique et leur ouverture.»

Le rapport s’adresse aux hautes écoles et aux instances gouvernementales.

La Communauté de recherche allemande (DFG) a lancé une initiative visant à sécuriser les bases de données menacées, stockées sur des serveurs cloud étrangers.  Elle met en garde contre le risque que ces données ne soient plus disponibles pour la science, que ce soit aujourd’hui ou à l’avenir. Il est donc important de sécuriser les données pertinentes et de les rendre accessibles en permanence aux chercheurs locaux. L’objectif principal est de renforcer la résilience des infrastructures de données dans le domaine de la recherche.

La plus importante et la plus grande organisation scientifique autonome pour la promotion de la recherche en Allemagne soutient, dans le cadre de cette initiative, des mesures telles que l’acquisition de capacités de stockage et la mise à disposition de ressources humaines pour l’exploitation, la conservation ou l’agrégation technique des données. Les vérifications juridiques nécessaires ainsi que l’intégration des stocks sécurisés dans des structures et des clouds suprarégionaux ou européens sont également éligibles à un financement. L’accent est mis sur le développement de conditions-cadres et de technologies permettant d’intégrer les référentiels correspondants dans ces réseaux européens.

En substance, la DFG se positionne ainsi en faveur de la souveraineté numérique tant vantée. Il s’agit pour elle de pouvoir disposer de ses propres données, infrastructures et technologies et d’en décider de manière autonome. Le principal problème réside dans le cadre juridique américain, en particulier le Cloud Act. Cette loi autorise les autorités américaines à accéder, dans certaines circonstances, aux données stockées par des entreprises américaines. Cela vaut également lorsque ces bits et octets se trouvent physiquement sur des serveurs situés en dehors des États-Unis.

Cette loi représente un risque considérable pour la recherche allemande, car les informations et les résultats sensibles sont théoriquement exposés à l’accès par des autorités étrangères. Elles pourraient également ne plus être disponibles du jour au lendemain pour des raisons politiques ou réglementaires. La dimension politique entre ici en jeu, notamment sous la forme du président américain Donald Trump. Sa ligne imprévisible et protectionniste, qui pourrait remettre en cause les accords transatlantiques existants, y compris en matière d’échange de données, est considérée comme un signal d’alarme pour les aspirations actuelles à la souveraineté.

Le 28 octobre, la Commission européenne a présenté plusieurs initiatives pour renforcer la sécurité de la recherche dans l’UE. Ces mesures incluent la création d’une plateforme de diligence raisonnable destinée à aider les chercheurs à évaluer les risques liés à la coopération internationale, ainsi qu’un centre d’expertise sur la sécurité de la recherche, prévu pour mi-2026.

Selon Claire Gray (LERU), les chercheurs manquent d’outils fiables et accessibles pour évaluer les risques de collaboration internationale, les solutions existantes étant coûteuses et incomplètes. Des modèles étrangers existent, comme la plateforme américaine Secure Center soutenue par la NSF, mais leurs coûts restent incertains.

Lors d’une conférence européenne sur la sécurité de la recherche, la Commission a insisté sur la mise en œuvre d’un cadre européen adapté. Des participants, tels que Vincent Klein Ikkink (Cesaer), ont averti contre une copie du modèle américain et plaidé pour une approche européenne proportionnée, collaborative et adaptée à la diversité du système de recherche.

Les experts recommandent que le futur centre d’expertise intègre un guichet d’aide, une boîte à outils virtuelle et une plateforme d’échange sécurisée pour partager incidents, bonnes pratiques et leçons tirées.

La commissaire Ekaterina Zaharieva souhaite par ailleurs inscrire la sécurité de la recherche dans la loi, via le futur European Research Area (ERA) Act, afin de prévenir les transferts technologiques indésirables ou les atteintes à l’éthique. Cette proposition suscite des réserves, certains craignant une surréglementation.
Pour Science Europe, la loi doit seulement fixer des normes minimales communes, sans alourdir la charge administrative ni freiner la collaboration internationale.

Les discussions ont mis en avant la difficulté d’équilibrer ouverture et protection, chaque État membre ayant ses propres priorités. L’objectif n’est pas d’isoler l’Europe, mais de mieux gérer les risques dans un contexte géopolitique complexe.

Enfin, plusieurs intervenants, dont Julien Chicot (The Guild), ont insisté sur la nécessité d’un changement culturel : les outils techniques et juridiques ne suffisent pas. Il faut développer une culture de la sécurité de la recherche fondée sur la confiance, la responsabilité et la sensibilisation, sans opposer science ouverte et sécurité.

À la suite d’une série de tests, l’informaticien Urs Pfister affirme que le navigateur Safe Exam Browser, [utilisé par plusieurs universités suisses] pour des examens en ligne, a des nombreuses failles de sécurité qui n’ont pas été patchés après un hack en 2022, contrairement à une annonce des développeurs. Il démontre combien il est facile de manipuler ce navigateur et de contourner un concept de sécurité qu’il juge défaillant. Il déplore l’absence de base juridique claire et le manque de souveraineté numérique du système.

A son avis le logiciel ne devrait plus être utilisé. Il ne s’agit pas seulement de prévenir la triche, mais aussi de se demander ce qui se passe lorsque des appareils sont compromis pour une vengence personnelle par exemple contre un·e ex-partenaire. «Et qu’en est-il de la responsabilité? L’ETH Zurich et l’Université de Zurich, qui développent le Safe Exam Browser, sont directement impliquées: comment peuvent-ils vérifier de manière neutre où se trouvent (leurs) erreurs? À quelles interventions les étudiants doivent-ils se soumettre? Que voient les surveillants chez les candidats, volontairement ou non? Et que voient les entreprises technologiques américaines?»

Le Conseil scientifique allemand (Wissenschaftsrat) a déclaré dans un communiqué : «Le tournant international en matière de politique de sécurité pose également des défis fondamentaux au système scientifique et à notre société : les cyberattaques, l’influence et la fuite des connaissances menacent les universités et les instituts de recherche allemands.» Le Conseil «appelle à une sensibilisation accrue et à une gestion professionnelle des risques liés au savoir». Il liste ainsi les menaces actuelles envers la recherche:

• La fuite des connaissances, en citant notamment l’exemple du réseau Khan.
• L’influence indésirable, en particulier des gouvernements. Le gouvernement chinois est cité en exemple, des professeur·es étant signalé·es aux autorités et des autorités annulant certaines activités scientifiques.
• Les dépendances financières et scientifiques. Les collaborations avec les États-Unis sont actuellement inquiétées.
• La violation des principes éthiques de la recherche, en particulier le cas de l’anonymisation des sources dans le contexte de questions de migration par exemple.
• Les partenaires de pays critiques. «La collaboration avec des partenaires scientifiques ou économiques comporte également des risques potentiels. […] Le risque de fuite des connaissances est double.» Des erreurs conscientes peuvent être intégrées à des modèles et des bases de données sensibles peuvent être mises en accès.

Finalement, Conseil scientifique allemand plaide pour une plate-forme nationale pour la sécurité des connaissances, qui devrait être mise en place le plus rapidement possible. «En tant que point de contact central, elle doit soutenir les acteurs scientifiques de manière rapide et non bureaucratique dans l’évaluation des risques liés aux connaissances en leur fournissant des informations complètes.» L’article publié sur wissenschaftsrat.de comporte un schéma qui «résume de manière idéale l’évaluation des risques».

Le groupe de pirates informatiques Anonymous Sudan, (qui «n’a, selon les experts, aucun lien avec l’organisation mondiale de piratage informatique Anonymous ni avec le pays du Soudan»), a revendiqué la cyberattaque qui a été subie par les universités de Cambridge et de Manchester en justifiant cette action par le «soutien continu du Royaume-Uni à Israël.» La cyberattaque a provoqué des perturbations à la connexion internet et la situation s’étant rétablie en quelques heures, «[u]n porte-parole de Jisc, le consortium informatique de l’enseignement supérieur britannique, a déclaré que si les perturbations ont été largement contenues, l’ampleur de l’attaque pourrait également avoir eu un impact sur d’autres institutions.»

Marc Oehler, directeur de la société genevoise Infomaniak, estime que les autorités fédérales n’ont toujours pas avancé sur le dossier du cloud public. Il dénonce un manque d’implication politique. «Aujourd’hui, la Confédération pourrait décider de s’appuyer sur l’économie locale pour développer un partenariat public-privé qui intègre aussi les milieux académiques afin de créer un cercle vertueux. Cela permettrait à l’argent de rester en Suisse, tout en formant des spécialistes qui pourront trouver des débouchés ici.»

Par ailleurs, il trouve «effarant» que les EPF aient annoncé un partenariat avec des multinationales comme Microsoft, Google et Amazon pour favoriser la création d’IA sûres. «En tant que contribuable, je suis abasourdi de voir que l’argent des impôts sert à renforcer des entreprises américaines. Ces institutions académiques auraient mieux fait de développer un tel partenariat dans l’open source. Et si vraiment elles veulent faire des donations à des privés, elles auraient pu choisir de le faire pour des sociétés suisses, ou au moins européennes…»

««Dans une démarche collaborative, l’Ecole polytechnique fédérale de Lausanne (EPFL), la Haute Ecole d’ingénierie et de gestion du Canton de Vaud (HEIG-VD) et l’Université de Lausanne (UNIL) ont décidé d’unir leurs compétences – inédites, complémentaires et reconnues internationalement – afin de répondre aux multiples défis relatifs à la confiance numérique et à la cybersécurité», indiquent-elles mercredi dans un communiqué. […] «Il existe une complémentarité évidente, mais malheureusement sous-exploitée, entre les domaines de prédilection des trois hautes écoles – les deep tech à l’EPFL, la cybersécurité appliquée à la HEIG-VD et la criminalité informatique à l’UNIL. Le Programme «seal» est un outil qui offrira des opportunités concrètes de collaboration et ouvrira ainsi de nouveaux champs d’innovation», explique Sylvain Pasini, professeur à la HEIG-VD.»

«L’EPFZ, l’EPFL et la Confédération vont travailler avec Microsoft, Google ou Amazon pour tenter de réduire les risques liés à l’intelligence artificielle. Des chercheurs vont collaborer avec des ingénieurs. Pour la Suisse, c’est un coup de projecteur important.»

La sécurité de la recherche est un sujet de plus en plus sensible en Europe. Slaven Misljencevic, chargé de mission à la direction de la recherche de la Commission européenne, déclare: «Depuis la fin de l’année 2019 […] nous avons observé un nombre croissant de cas d’ingérence étrangère ciblant les établissements d’enseignement supérieur et les organismes de recherche de l’UE. […] C’était relativement nouveau parce qu’à l’époque, il était question de science ouverte et d’ouverture sur le monde. Soudain, nous avons été confrontés à un problème qui a peut-être été facilité par cette ouverture.» En 2021, la Commission européenne a proposé une nouvelle approche de la coopération internationale en matière de recherche et d’innovation. En janvier 2022, elle a publié des lignes directrices sur l’ingérence étrangère dans la recherche de l’UE, qui définissent des mesures sur la manière dont les établissements d’enseignement supérieur et les organismes de recherche peuvent identifier et traiter les risques d’ingérence étrangère.

La Commission travaille sur des recommandations qui visent, pour la première fois en Europe, une définition commune du problème de la coopération internationale en matière de recherche, selon le principe directeur «ouvert là où c’est possible, fermé là où c’est nécessaire».

La coopération ouverte doit rester l’option par défaut de l’Europe en matière de collaboration internationale dans le domaine de la recherche, malgré la situation géopolitique difficile actuelle, juge l’Association européenne de l’université (EUA). «L’Europe reste «assez ouverte», mais on a le sentiment que «les choses pourraient devenir beaucoup plus fermées»», déclare Thomas Jørgensen, directeur de la coordination des politiques et de la prospective à l’EUA

Après la Fondation Verdeil dans le canton de Vaud attaquée il y a deux semaines et l’Université de Zurich visée en février, c’est au tour de la Haute école de Lucerne (HSLU) d’avoir des sueurs froides. Des machines virtuelles de leur département Informatique ont été victimes d’un ransomeware. L’école en elle-même et les données des étudiant∙es ne seraient pas en danger, mais «[l]es spécialistes travailleraient d’arrache-pied pour vérifier l’ampleur de l’attaque.»

La HSLU a porté plainte, mais jusqu’à présent, aucun groupe n’a revendiqué l’attaque.

Le site web « hassbilder-verletzen.ch« , auquel participent l’Université de Fribourg et des HES Grisons, a été piraté. Grâce à des mesures de sécurité préventives, les données personnelles et sensibles n’ont pas été mises en danger. Des inconnus avaient déjà perturbés la conférence de presse hybride de présentation du projet le 3 février moyennant un «troll».