« Connais ton adversaire et connais-toi toi-même : alors, même après cent batailles, tu ne connaîtras pas la défaite. » Cette maxime de Sun Tzu est devenue un classique de la cybersécurité. Pourtant, elle est souvent réduite à une idée simple : connaître l'ennemi reviendrait à connaître ses outils et ses technique. Mais une question demeure largement inexplorée : comment l'attaquant construit-il sa compréhension de nos systèmes ? Que se passe-t-il dans sa tête avant même qu'il n'agisse ? Et peut-on, nous aussi, l’influencer ?
Publié le 14 octobre 2026 à 10:42 | Modifié le 02 novembre 2026 à 11:01

L'attaque commence dans le cerveau

Avant chaque exploitation technique, il existe une activité cognitive. Le hacker ne voit jamais le système d’information : il n'en voit que des fragments, et reconstruit le reste. Le neurologue Antonio Damasio le résume en une formule : « The brain maps the world. » Le cerveau cartographie le monde ; il ne le photographie pas. Un cyberattaquant procède de la même manière. Une adresse IP exposée, un profil LinkedIn, un dépôt GitHub oublié, un certificat TLS : chaque élément alimente une carte mentale de l’organisation. Avant de compromettre un système, l’attaquant construit d'abord une hypothèse sur ce dernier. « Identifier les règles, identifier le comportement attendu du système, puis commencer à le contourner pour l'amener à son propre avantage », résume V., hacker éthique. L’attaquant va ainsi « se poser les questions suivantes : comment la donnée va-t-elle d'un endroit A à un endroit B ? Comment l'infrastructure est-elle positionnée un petit peu en dessous ? Comment arrive-t-on à s'assurer que c'est bien la bonne personne qui signe ? On vient de challenger tout le chemin qui nous amène du point A jusqu'au point B. Ce raisonnement-là n'est pas linéaire. Il est très matriciel. » souligne V. et de poursuivre « Les attaquants vont assembler des éléments de manière très chaotique et dispersée dans un process que je peux qualifier de créatif. »

Le psychologue Gary Klein a montré que les experts reconnaissent une situation qui leur paraît familière, imaginent une première action plausible et en évaluent mentalement les conséquences avant d'agir (Sources of Power, 1998). L'expérience ne réduit pas l'incertitude ; elle permet de produire plus vite des hypothèses crédibles. C'est précisément ce que fait un attaquant expérimenté. « On a l'habitude de voir, sentir ou deviner aussi les biais cognitifs des défenseurs. Avec l'expérience on a la capacité à détecter qu'à cet endroit-là il a eu « la flemme », qu'à cet endroit-là, c'est peu probable qu'il ait configuré de telle manière. On arrive à deviner ou à anticiper des biais ou des erreurs cognitives classiques. » soutient V.

 

Les hackers ont aussi des biais cognitifs

Daniel Kahneman a montré combien notre pensée privilégie les raccourcis et les hypothèses plausibles plutôt que l'analyse exhaustive (Thinking, Fast and Slow, 2011). Le hacker n'y échappe pas. Il formule des hypothèses, cherche des indices qui les confirment, abandonne des pistes alternatives. Il est donc lui aussi vulnérable au biais de confirmation, à la surcharge cognitive et à la fatigue décisionnelle. D'où l'idée, en défense, de réduire la surface cognitive d’attaque : l'ensemble des indices et signaux qui permettent à un adversaire de se faire rapidement une représentation crédible de l’organisation. Chaque contrôle de sécurité agit alors de deux façons : il peut empêcher une action, mais aussi modifier la compréhension qu'a l'attaquant de la situation. « Quand on est saturé d'informations, on a plus de mal à faire le tri dans ce qui est pertinent ou pas », explique V., et d’ajouter : « En tant qu'attaquant, parfois on a la flemme mentalement donc on prend des raccourcis. On peut se taper la tête contre le mur pendant des semaines parce que l'information dont on dispose n'est pas correcte. »

 

Le cerveau de l'attaquant est aussi un économiste

Les rapports du Verizon DBIR, de Mandiant ou d'Europol le confirment : les cybercriminels raisonnent en permanence en fonction du temps, du risque et du retour sur investissement. « Quand on professionnalise l'activité, pourquoi s’attaquer à une montagne atroce alors qu'on peut atteindre nos objectifs d'une manière un peu plus simple ? On devient des agents économiques qui répondent à une incitation : financière, temporelle ou d’effort », déclare V. La plupart des attaquants recherchent donc la cible la plus rentable, ce qui change la manière de concevoir la défense. Authentification multifacteur, segmentation réseau, journalisation, sauvegardes isolées : ces mesures n'empêchent pas toujours l’attaque mais elles modifient le calcul économique de l'adversaire. Elles augmentent son temps d'exécution, son incertitude et son risque d'être détecté. Une architecture difficile à comprendre augmente non seulement le coût technique d'une attaque, mais aussi son coût cognitif. Une architecture résiliente est souvent celle qui décourage avant même de bloquer. Reste que l’humain a ses complexités : « Pour certains cette difficulté va les obséder, ils ne lâcheront pas avant d’avoir trouvé la faille. D’autres adopteront une approche très méthodologique, une sorte de contre-audit de ce qu'on a déjà réglé pour parvenir à notre fin. »

 

Défendre, c'est influencer

Le stratège américain John Boyd affirmait que le véritable avantage ne consistait pas à détruire les capacités de l'adversaire, mais à désorganiser son cycle de décision. Sa célèbre boucle OODA (Observe - Orient - Decide - Act) rappelle qu'avant d'agir, tout adversaire doit observer puis interpréter son environnement. Cette phase d'interprétation est la plus fragile. Un système difficile à cartographier, des privilèges cloisonnés, des chemins d'accès peu prévisibles compliquent non seulement l'exploitation technique, mais aussi la construction d'une représentation mentale cohérente. Et un adversaire qui doute prend de moins bonnes décisions. On peut même l'induire en erreur, comme en contre renseignement : « On peut créer des enregistrements civils par centaines de milliers pour pourrir une source de données, on peut recevoir de fausses informations de la part du serveur en se connectant à un site web. On entre dans la sécurité par l’obscurité », explique V. Une méthode réservée à des acteurs disposant déjà d’une certaine maturité.

 

La réalité du terrain

La réduction de la surface cognitive s'adresse donc aux attaquants de haut-niveau. « Avant de se poser la question comment raisonne un attaquant, il faut rappeler que de très nombreuses structures sont aujourd’hui avec des systèmes catastrophiques. Les fondamentaux sont donc loin d’être inutiles : l'hygiène numérique et la réduction de la surface d’attaque. Dans beaucoup de groupes de ransomware, il y a énormément d'opérateurs de très bas niveau à qui l'on demande juste d'être capables de lire un PDF et de taper sur un clavier. Et pourquoi est-ce que ces gens arrivent encore à rentrer ? Parce qu'aujourd'hui, il y a toujours des misconfigurations béantes dans les protections numériques de certaines entreprises, parce qu'il y aura toujours une personne qui cliquera sur un lien ou qui donnera son mot de passe, parce qu'il y aura toujours une vulnérabilité dans un logiciel […] qui ne sera pas patché correctement. » clame V. et d’ajouter : « On voit dans les systèmes d'information des mairies, des hôpitaux, etc., de telles choses qu’un adolescent voire un enfant pourrait exploiter. À l’opposé, vous avez le phénomène d’un État-nation qui attaque un autre État-nation : effectivement, on peut réduire la surface cognitive, mais la surface d'attaque technique et numérique devient tellement énorme que ça devient très compliqué de tout corriger. »

 

L'IA : effet de ciseau

Comme toute technologie, l’IA accélère les choses : « ça augmente la baseline, et ça augmente les écarts. Les IA convergent toutes plus ou moins vers les mêmes vulnérabilités. Quelqu'un qui s'en sert sans trop réfléchir va trouver plus de choses, mais il va trouver la même chose que les autres. Les plus expérimentés, eux, s'en servent pour explorer des terres plus inconnues », soutient V. Si se reposer sur celle-ci trop fortement « enlève une forme de créativité, quand on parvient à l'utiliser correctement, on s'en sert comme d'un partenaire pour nous challenger sur nos propres biais. » Quant au fantasme du moment, l’IA qui attaquerait seule, livrée à elle-même : « On est dans du marketing. On n'est pas encore à l’IA qui, comme dans Skynet, déciderait seule de prendre le contrôle des infrastructures ou le contrôle de tous nos ordinateurs. On en est encore assez loin. » conclut V.

Reste que l'IA ne change rien à l'essentiel : elle accélère la construction de la carte, elle ne la dessine pas à notre place. C’est là que la maxime de Sun Tzu retrouve tout son sens. Connaître son ennemi, ce n'est pas seulement connaître ses outils. C'est savoir ce qu'il sait, ou croit savoir, de nous. Le défenseur n'empêchera jamais un attaquant de cartographier son système : il peut, en revanche, décider de ce qui figurera sur la carte.

 

 

Produit par S&D Magazine, cet article invite à adopter le point de vue de l’attaquant pour mieux comprendre ses méthodes et anticiper les menaces.

S&D Magazine - média spécialisé dans le numérique et la cybersécurité