💻 computer science

Beyond Resilience: Antifragility in Critical Infrastructure Cybersecurity

Cet article propose une Théorie de l'Antifragilité pour la cybersécurité des infrastructures critiques, utilisant une analyse empirique d'événements cybernétiques et de données de type « hardware-in-the-loop » pour démontrer que, bien que les secteurs adjacents à l'OT soient confrontés à des menaces de perturbation nettement plus élevées et présentent des variations de réponse mesurables, les résultats actuels établissent les prérequis nécessaires aux futurs tests d'antifragilité plutôt que de prouver un gain adaptatif.

Auteurs originaux : Stephen Flowerday, Mauricio Papa, Ethan Flowerday

Publié 2026-08-03

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Stephen Flowerday, Mauricio Papa, Ethan Flowerday

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez le monde numérique comme un gigantesque système nerveux invisible reliant tout, des lumières de votre chambre aux réseaux électriques qui alimentent une ville entière. Pendant longtemps, les experts ont pensé que la meilleure façon de protéger ce système était de le rendre « résilient ». Pensez à la résilience comme à un élastique : si vous l'étirez trop, il reprend sa forme initiale. Il survit au stress, mais il ne devient pas meilleur pour gérer le stress la fois suivante. Il redevient simplement exactement ce qu'il était avant. Mais et si un système pouvait être comme un muscle ? Lorsque vous soulevez un poids lourd, votre muscle se déchire légèrement, mais lorsqu'il guérit, il repousse plus fort et plus gros qu'avant. Cette idée est appelée « l'antifragilité ». Il ne s'agit pas seulement de rebondir ; il s'agit de rebondir vers l'avant. La grande question que se posent les scientifiques est la suivante : pouvons-nous construire des systèmes informatiques pour nos infrastructures critiques (comme les usines de traitement de l'eau et les réseaux électriques) qui apprennent réellement des attaques et se renforcent, plutôt que de simplement réparer les dommages en espérant que tout se passe bien ?

Cet article, intitulé « Beyond Resilience: Antifragility in Critical Infrastructure Cybersecurity », plonge précisément dans cette question. Les auteurs, Stephen Flowerday, Mauricio Papa et Ethan Flowerday, soutiennent que nous avons besoin d'une nouvelle façon de penser. Ils ne veulent pas seulement des systèmes qui survivent ; ils veulent des systèmes qui s'améliorent quand les choses tournent mal. Pour tester si cela est même possible, ils ont créé une nouvelle « Théorie de l'Antifragilité » (AFT). Ils ont établi un code mathématique pour définir exactement ce que signifie « devenir plus fort », en le distinguant de la simple « survie ».

Les chercheurs ne se sont pas contentés de rêver cela dans un laboratoire ; ils sont partis à la recherche de preuves dans deux endroits différents. Premièrement, ils ont examiné une base de données massive d'événements cybernétiques réels (la base de données CISSM) pour voir si différents types d'industries font face à différents types de problèmes. Ils ont découvert que les industries qui contrôlent des choses physiques — comme les centrales électriques et les usines (appelées secteurs « adjacents à l'OT ») — font face à une charge beaucoup plus lourde d'attaques perturbatrices. En fait, 65,3 % des événements cybernétiques dans ces secteurs ont causé une perturbation directe ou un mélange de problèmes, contre 46,8 % dans les secteurs qui traitent principalement de l'information, comme la finance ou la santé. Ils ont également constaté que les attaques physiques et les attaques de données étaient beaucoup plus courantes dans ces secteurs industriels, suggérant que le « muscle » de ces systèmes est testé de manières très spécifiques et dangereuses.

Deuxièmement, ils ont utilisé un ensemble de données spécial appelé HAI, qui simule un système de contrôle d'usine attaqué. Ils voulaient voir s'ils pouvaient réellement mesurer la réaction du système à une attaque. Ils ont découvert que lorsqu'une attaque se produisait, le comportement du système s'envolait hors de contrôle. Les moments étiquetés comme « attaqués » étaient 7,43 fois plus susceptibles de montrer de grandes déviations par rapport au comportement normal que les moments paisibles. C'est une étape cruciale car on ne peut pas prouver qu'un système devient plus fort si l'on ne peut même pas voir comment il réagit en étant frappé.

Cependant, voici la partie la plus importante : l'article ne prétend pas avoir trouvé un système qui est déjà antifragile. Ils déclarent explicitement que, bien qu'ils aient vu le système réagir différemment au fil du temps, ils n'ont pas vu de preuve qu'il soit réellement devenu meilleur ou qu'il ait appris à gérer la prochaine attaque plus sereinement. Les données ont montré que la réaction du système a changé, mais pas nécessairement pour le mieux. Les auteurs précisent avec prudence que l'« ingénierie du chaos » (briser intentionnellement des choses pour les tester) est simplement le verbe, tandis que l'« antifragilité » est le nom. Vous pouvez briser des choses pour tester un système, mais cela ne signifie pas automatiquement que le système est devenu antifragile.

Alors, qu'ont-ils réellement accompli ? Ils ont construit le mètre ruban. Ils ont prouvé que nous pouvons distinguer les industries qui sont fragiles de différentes manières, et ils ont prouvé que nous pouvons mesurer comment un système vacille lorsqu'il est frappé. Ils ont préparé le terrain pour l'avenir, montrant que les outils pour tester le « rebond vers l'avant » existent, mais que les systèmes réellement « super-forts » n'ont pas encore été construits. L'article est une feuille de route, pas une destination. Il nous dit que pour obtenir des systèmes antifragiles, nous devons cesser de simplement réparer les choses et commencer à concevoir des systèmes capables d'apprendre en toute sécurité de leurs cicatrices, mais que le chemin est encore long avant de pouvoir dire que nous en avons construit un avec succès.

Résumé technique : Au-delà de la résilience : l'antifragilité dans la cybersécurité des infrastructures critiques

Énoncé du problème
Les cadres de cybersécurité actuels pour les infrastructures critiques (IC) privilégient la résilience, définie comme la capacité à se rétablir et à revenir à un état opérationnel acceptable après une perturbation. Cependant, les auteurs soutiennent que la résilience est insuffisante pour les IC car un système peut se rétablir de manière répétée après des chocs sans pour autant devenir plus fort, ce qui le laisse vulnérable aux mêmes voies de défaillance. L'article identifie un fossé conceptuel : alors que l'« ingénierie du chaos » (le verbe de la perturbation contrôlée) est pratiquée, il n'existe pas de théorie empiriquement fondée ou de cadre de mesure pour l'« antifragilité » (le nom du gain par le désordre) dans les technologies opérationnelles (OT) et les systèmes de contrôle industriel (ICS). La littérature existante confond souvent stabilité, robustesse et résilience, échouant à distinguer les systèmes qui survivent simplement de ceux qui s'améliorent grâce à une volatilité bornée.

Cadre théorique : Théorie de l'Antifragilité (AFT)
L'article propose une Théorie de l'Antifragilité (AFT) ancrée dans un modèle de système résilient à cinq états (Fragile, Fiable, Robuste, Résilient, Antifragile). L'antifragilité est définie non pas comme un gain illimité par le chaos, mais comme une propriété contrainte par la sécurité où un désordre borné conduit à une amélioration mesurable post-perturbation.

La théorie repose sur deux prérequis mathématiques :

Gain de Jensen : La fonction d'utilité du système doit être convexe sur une distribution de facteurs de stress bornés, ce qui signifie que l'utilité attendue sous la variabilité est supérieure à l'utilité de la valeur attendue ( $E[U(s)] > U(E[s])$ ).
Gain post-perturbation : Suite à une étape d'adaptation, la configuration du système doit performer de manière mesurablement meilleure sous la même perturbation bornée que la configuration pré-adaptation.

Les auteurs distinguent l'antifragilité de la « robustesse sacrificielle » (par exemple, les boucliers thermiques ablatifs ou les commandes manuelles), où un système survit en dépensant des ressources mais ne s'améliore pas structurellement. La véritable antifragilité nécessite de convertir la perturbation en avantages architecturaux durables, tels qu'une susceptibilité réduite ou une récupération plus rapide.

Méthodologie
L'étude emploie un design empirique à deux niveaux pour tester les prérequis d'une future validation de l'antifragilité, plutôt que de prétendre avoir prouvé qu'un système est antifragile.

Niveau Macro (Fragilité sectorielle) :
- Données : Un sous-ensemble de la base de données d'événements cyber CISSM (10 589 événements de 2014 à 2026) couvrant sept secteurs : Services publics, Transports, Industrie manufacturière, Administration publique, Information, Santé et Finance.
- Approche : Les secteurs ont été regroupés en « adjacents à l'OT » (Services publics, Transports, Industrie manufacturière) et « non-OT » (Administration publique, Information, Santé, Finance). L'étude a analysé les types d'événements pour déterminer si les secteurs adjacents à l'OT supportent une charge plus élevée d'attaques perturbatrices, physiques ou d'intégrité des données par rapport aux secteurs centrés sur l'information.
- Tests statistiques : Des tests de chi-deux de Pearson et le V de Cramér ont été utilisés pour évaluer les différences de composition des événements.
Niveau Micro (Observabilité de la perturbation de processus) :
- Données : Le jeu de données HAI (HIL-Based Augmented Industrial Control System) 23.05, un banc d'essai matériel (Hardware-in-the-loop) comprenant 54 000 observations avec 2 981 intervalles étiquetés comme attaques.
- Approche : L'étude a mesuré les écarts d'état de processus pendant les fenêtres d'attaque par rapport aux opérations normales en utilisant 65 variables de processus informatives.
- Métriques : Les écarts ont été quantifiés à l'aide de z-scores absolus moyens, de la distance RMS de la ligne de base et de la distance de Mahalanobis (pour tenir compte de la covariance entre les canaux de capteurs).
- Analyse : L'étude a testé si les observations étiquetées comme attaques produisaient des écarts significativement plus importants que les observations normales et si la dynamique de réponse variait selon les fenêtres d'attaque successives.

Résultats clés

Différenciation sectorielle (H1 & H2) :
- Les secteurs adjacents à l'OT présentaient une part significativement plus élevée d'événements cyber perturbateurs ou mixtes (65,3 %) par rapport aux secteurs non-OT (46,8 %) ( $p < 0,001$ ).
- Les secteurs adjacents à l'OT montraient une concentration disproportionnée de sous-types d'attaques physiques et de données (40,9 % contre 21,4 % pour les non-OT). Plus précisément, les attaques physiques étaient 14 fois plus fréquentes dans les secteurs adjacents à l'OT (4,2 % contre 0,3 %).
- Cela confirme que la charge de fragilité est structurée et mesurable, les secteurs adjacents à l'OT faisant face à un profil de menace qualitativement différent et opérationnellement perturbateur.
Observabilité au niveau du processus (H3 & H4) :
- Les observations étiquetées comme attaques dans le jeu de données HAI étaient 7,43 fois plus susceptibles de dépasser le 95e percentile de l'écart de la ligne de base par rapport aux observations normales ( $p < 0,001$ ).
- L'analyse de la distance de Mahalanobis a confirmé que les conditions d'attaque produisaient des écarts multivariés significativement plus importants (ratio de 2,69) que les conditions normales.
- À travers les fenêtres d'attaque successives, l'écart moyen de l'état du processus a montré une tendance à la baisse statistiquement significative (Spearman $\rho = -0,688$ , $p = 0,007$ ). Cependant, les auteurs notent qu'il s'agit d'une preuve exploratoire de variation de la réponse, et non d'une preuve de gain adaptatif, car les types d'attaques étaient hétérogènes et aucune étape d'adaptation explicite n'a été documentée.

Principales contributions
L'article apporte trois contributions spécifiques :

Théorique : Il définit l'antifragilité pour la cybersécurité des IC comme une capacité d'amélioration bornée et contrainte par la sécurité, en la formalisant via les métriques de gain de Jensen et de gain post-perturbation au sein d'un modèle de système à cinq états.
Méthodologique : Il établit un design empirique à deux niveaux combinant les données d'événements sectoriels (CISSM) avec la télémétrie de processus (HAI) pour combler le fossé entre la cartographie macro de la fragilité et la réponse micro du système.
Empirique : Il démontre que deux prérequis pour le test de l'antifragilité sont mesurables dans les données publiques : (a) la charge de fragilité est différenciée selon les secteurs, et (b) les perturbations cyber-physiques bornées peuvent être observées et quantifiées au niveau du processus.

Signification et affirmations
Les auteurs déclarent explicitement que l'article ne prétend pas avoir validé un système antifragile. Il établit plutôt le fondement nécessaire pour une telle validation. La signification réside dans le fait de passer le discours au-delà de la métaphore en prouvant que :

La fragilité n'est pas uniforme ; elle est concentrée dans les secteurs adjacents à l'OT avec des profils de menaces spécifiques (attaques physiques/données) qui nécessitent des solutions de type « bounce-forward » (rebondir vers l'avant) plutôt qu'une simple récupération.
Les perturbations au niveau du processus sont observables et structurées, satisfaisant l'exigence empirique de mesurer la réponse du système au stress.

L'article conclut que la résilience doit être traitée comme un « plancher » (garantissant la sécurité et la continuité), tandis que l'antifragilité représente un « plafond » (atteignant l'amélioration). Les travaux futurs devront introduire des étapes d'adaptation explicites et retester les systèmes sous des perturbations comparables pour mesurer si la susceptibilité ou le temps de récupération s'est réellement amélioré, satisfaisant ainsi les critères formels de la classification de l'antifragilité.

Résumé technique : Au-delà de la résilience : l'antifragilité dans la cybersécurité des infrastructures critiques

Articles similaires