Résumé technique : Qualité du signal et le piège du silence dans la gouvernance collaborative de la cybersécurité

1. Énoncé du problème

La gouvernance collaborative de la cybersécurité repose sur des « capteurs sociétaux » (les utilisateurs publics) pour détecter les vulnérabilités, mais les régulateurs sont confrontés à une asymétrie d'information significative et au défi du filtrage des rapports bruyants. Les cadres théoriques existants, en particulier les modèles de jeux évolutifs tripartites, opèrent généralement sous l'hypothèse d'une « surveillance parfaite ». Ces modèles supposent que les rapports des citoyens sont précis, vérifiables, et qu'une augmentation des récompenses monétaires se traduit linéairement par une participation et une conformité accrues.

Cependant, la réalité empirique de la cybersécurité (par exemple, les programmes de bug bounty) révèle un déluge de signaux de faible qualité, incluant des faux positifs, des rapports malveillants et du bruit invérifiable. Lorsque le coût de la vérification de ces signaux bruyants devient prohibitif, les bénéfices théoriques de la gouvernance collaborative peuvent s'effondrer. La littérature actuelle ne parvient pas à modéliser explicitement le « seuil technologique » requis pour que les incitations fonctionnent, menant à un dilemme politique où les gouvernements tentent de stimuler la participation en augmentant les récompenses financières, sans réaliser que, sans une précision de vérification adéquate, ces mesures peuvent exacerber le rapport bruit/signal et accélérer la défaillance du système.

2. Méthodologie

L'étude utilise un cadre de théorie des jeux évolutifs (EGT) tripartite impliquant trois agents à rationalité limitée :

1. Le Gouvernement (G) : Choisit entre une supervision stricte et une supervision laxiste.
2. L'Entreprise (F) : Choisit entre la conformité et la non-conformité.
3. L'Utilisateur Public (U) : Choisit entre la participation (signalement) et le silence.

Extensions du modèle :
Contrairement aux modèles de base qui supposent des signaux déterministes, cette étude endogénéise deux paramètres de friction critiques :

• Précision de la vérification ($q$) : La probabilité conditionnelle qu'un rapport valide soit vérifié avec succès (taux de vrais positifs).
• Pénalités pour rapports erronés ($f$) : La pénalité imposée aux utilisateurs pour les rapports non étayés.

Approche analytique :

• Dynamique de réplicateur : Les auteurs dérivent des équations différentielles pour l'évolution des stratégies ($x, y, z$) basées sur les comparaisons de gains marginaux.
• Analyse de stabilité : La matrice Jacobienne est analysée pour déterminer les Stratégies Évolutivement Stables (ESS) sous des conditions idéales (surveillance parfaite) et de friction.
• Simulations numériques : MATLAB est utilisé pour visualiser les trajectoires dynamiques et construire des « Cartes de régimes politiques » afin d'identifier les limites entre la collaboration réussie et l'effondrement du système.

3. Principales contributions

L'article apporte deux contributions théoriques majeures à la littérature sur la gouvernance collaborative et la conception de mécanismes :

1. Identification du « Seuil de qualité du signal » ($q^*$) :
   L'étude dérive analytiquement un seuil critique de précision de vérification. Elle démontre que si la capacité de vérification tombe en dessous de ce seuil ($q < q^*$), le système entre dans un « Piège du silence ». Dans cet état, la participation des utilisateurs ne répond plus aux incitations monétaires ; l'augmentation des récompenses ($N$) ne parvient pas à restaurer la collaboration car le risque de pénalités pour faux positifs l'emporte sur les gains potentiels. Cela remet en question l'hypothèse prédominante de la « solution monétaire ».

2. Révélation du « Paradoxe de la dissuasion » :
   L'article identifie une dynamique contre-intuitive où des pénalités plus sévères pour les rapports non étayés ($f$) peuvent supprimer les signaux valides. Bien que les pénalités soient nécessaires pour limiter le bruit, elles augmentent le seuil technique ($q^*$) requis pour la participation. Si un régulateur impose des pénalités strictes sans une infrastructure de vérification suffisamment robuste, il supprime par inadvertance les lanceurs d'alerte honnêtes, repoussant le système vers le Piège du silence.

3. Passage d'un équilibre statique à un équilibre dynamique :
   L'étude révèle que sous des conditions de haute précision, le système ne converge pas vers un état statique de pleine conformité. Au lieu de cela, il présente des oscillations de type « prédateur-proie », où la participation des utilisateurs et la conformité des entreprises fluctuent de manière cyclique. Cela suggère qu'une gouvernance réussie est un processus continu de tension et d'ajustement plutôt qu'un équilibre terminal fixe.

4. Résultats clés

Le modèle de base (Surveillance parfaite)

Dans des conditions idéales ($q=1, f=0$), le modèle confirme la « solution monétaire » standard : tant que les incitations totales ($N+M$) dépassent les coûts de participation ($C_4$), les utilisateurs évolueront inévitablement vers un signalement actif ($z \to 1$) lorsque les entreprises sont non conformes.

Le modèle étendu (Surveillance imparfaite)

Lorsque les frictions de signal sont introduites, la dynamique change fondamentalement :

• Le Piège du silence : Si $q < q^*$ (où $q^* = \frac{f + C_4}{N + M + f}$), le gain net attendu pour le signalement devient négatif, quelle que soit la taille de la récompense. Le système converge vers $z \to 0$ (Silence), entraînant un échec total de la gouvernance.
• Cartes de régimes : Les simulations numériques visualisent une « Région faisable » au-dessus de la courbe de seuil ($q > q^*$) et une « Région d'échec » en dessous. Un déplacement horizontal (augmentation des récompenses $N$) ne peut pas sortir de la région d'échec si le système est en dessous du seuil vertical de précision de vérification.
• Stabilité oscillatoire : Dans les régimes de haute précision ($q=0,9$), le système maintient un équilibre dynamique caractérisé par des fluctuations cycliques entre une participation/conformité élevée et une participation/conformité faible, plutôt qu'un état stationnaire statique.

5. Signification et revendications

Les auteurs affirment que cette recherche déplace le paradigme de la conception de la gouvernance collaborative d'une approche purement économique vers une approche « Priorité à la technologie ».

• Nécessité structurelle : L'article soutient que la durabilité de la régulation participative est conditionnée par la précision de la vérification en tant que complément fondamental aux incitations monétaires. Dans les environnements à faible technologie, l'échec de la gouvernance est une fatalité structurelle, et non simplement le résultat d'un manque de financement.
• Redirection des politiques : Les conclusions suggèrent que les décideurs politiques devraient prioriser la mise à niveau de l'infrastructure de vérification (augmenter $q$) plutôt que l'expansion des budgets de bug bounty (augmenter $N$) lorsque la qualité du signal est faible.
• Intégration théorique : En intégrant la théorie de la détection du signal à la théorie des jeux évolutifs, l'étude comble le fossé entre le problème du « bruit/signal » observé en pratique et les modèles théoriques de conformité réglementaire, fournissant une base rigoureuse pour comprendre pourquoi la participation basée sur les incitations échoue sous la surcharge d'informations.

L'étude conclut qu'une gouvernance efficace nécessite un « Triade de gouvernance » équilibrant Incitations, Vérification et Dissuasion, où l'équilibre géométrique de ces dimensions détermine la stabilité, plutôt que la maximisation linéaire de n'importe quel paramètre unique.