par Commandant Clémence Foufa, Jean Langlois-Berthelot
Le science-fiction prototyping a révélé que la fiction pouvait aider à explorer les implications futures d’une technologie. Le FICINT a établi que la narration pouvait rendre visibles des menaces, des ruptures et des compétitions stratégiques. Le threatcasting a montré qu’un scénario futur pouvait servir à identifier des actions à entreprendre dès aujourd’hui. Ces méthodes ont ouvert une voie. Mais la cyber impose désormais une étape supplémentaire : ne plus seulement raconter des futurs plausibles, mais les rendre jouables.
Un futur cyber utile n’est pas un décor. C’est une situation. C’est une crise simulée. C’est une architecture de risque. C’est une décision à prendre sous contrainte. C’est une capacité à construire.
Depuis le Japon, cette idée devient encore plus saillante. Ici, la frontière entre culture technologique, science-fiction, jeu vidéo, robotique, avatars, interfaces et recherche appliquée semble moins rigide qu’en Europe. Les œuvres ne sont pas seulement commentées. Elles irriguent des manières de penser le corps, la ville, la machine, le réseau, l’identité et la présence numérique. Dans un tel contexte, Ghost in the Shell ne ressemble plus seulement à une référence majeure de l’animation japonaise. Il devient une matrice pour penser le corps informationnel. Death Stranding ne ressemble plus seulement à un jeu de Kojima. Il devient une méditation opératoire sur la logistique, l’isolement, l’infrastructure et la reconstruction du lien. Cyberpunk 2077 ne ressemble plus seulement à une dystopie spectaculaire. Il devient une carte des tensions entre corps modifié, données, plateformes, sécurité privée et souveraineté.
La question n’est donc pas de rendre la cybersécurité plus séduisante par des références culturelles. La question est plus sérieuse : comment transformer ces environnements imaginaires en exercices de décision ?
Le science-fiction prototyping, associé notamment à Brian David Johnson, propose d’utiliser la fiction fondée sur des faits scientifiques pour imaginer des technologies futures, leurs usages et leurs implications. La Creative Science Foundation décrit une méthode en cinq étapes : choisir la science et construire le monde, identifier le point d’inflexion scientifique, examiner les conséquences sur les personnes, identifier le point d’inflexion humain, puis tirer les apprentissages. Le FICINT, ou fictional intelligence, développé notamment par August Cole et P.W. Singer, est présenté comme un outil analytique mêlant narration et non-fiction pour visualiser des technologies, tendances et problèmes liés à la compétition géopolitique. L’Arizona State University utilise aussi des science-fiction prototypes pour amener à réfléchir à de futures capacités numériques et cyber.
Ces approches sont utiles. Mais elles restent souvent au niveau du texte, du scénario ou de la sensibilisation. La cyber demande un cran de plus. Elle demande de passer du récit à l’exercice, de l’exercice à la décision, de la décision à la capacité.
C’est ce qu’on peux appeller les futurs cyber jouables.
Un futur cyber jouable est un scénario plausible, construit à partir de signaux réels, nourri par des imaginaires technologiques, traduit en architecture de menace, puis joué par des acteurs placés en situation de décision. Il ne s’agit pas de prédire. Il s’agit de préparer. Il ne s’agit pas de produire un récit brillant. Il s’agit de créer une situation capable de révéler des dépendances, des angles morts, des vulnérabilités, des doctrines absentes et des compétences manquantes.
La méthode peut se structurer en six étapes.
La première étape est le signal. On part d’un phénomène réel : IA agentique, identité synthétique, supply chain logicielle, implants médicaux, lunettes de réalité augmentée, robots de livraison, drones autonomes, assistants IA d’entreprise, jumeaux numériques, ville intelligente, open source critique, cloud souverain, modèle multimodal intégré à une chaîne métier, outil de développement dopé à l’IA. Le signal doit être concret. Un futur utile ne part pas d’une rêverie. Il part d’un présent déjà instable.
L’IA, par exemple, n’est pas seulement un sujet de productivité. Elle devient une surface d’attaque. MITRE ATLAS a précisément été conçu comme une base de connaissance des tactiques et techniques adverses contre les systèmes activés par l’intelligence artificielle. Une entreprise qui déploie des assistants IA sans gouvernance va au-delà du gain opérationnel. Elle crée potentiellement des vulnérabilités de données, de raisonnement, d’identité, d’autorisation, de traçabilité et de responsabilité.
La deuxième étape est le monde. Le signal est placé dans un environnement plausible. C’est ici que les imaginaires cyber deviennent utiles. Un bon monde n’est pas une décoration futuriste. C’est une architecture d’acteurs, d’infrastructures, de dépendances et de comportements.
Ghost in the Shell donne l’univers du corps connecté et de l’identité manipulable. Cyberpunk 2077 donne le monde de la ville plateforme, des implants, des mégacorporations et de la sécurité privatisée. Death Stranding donne l’environnementde la logistique comme infrastructure sociale. Watch Dogs donne le monde de la smart city attaquable. Deus Ex donne le contexte de l’augmentation humaine comme conflit politique. Metal Gear Solid donne le monde de la guerre technologique, de la dissuasion, des systèmes autonomes et de la manipulation informationnelle.
Ces références ne sont pas des ornements. Elles sont des bibliothèques d’environnements. Elles permettent aux participants de comprendre rapidement un régime de vulnérabilité. Dans un univers inspiré de Ghost in the Shell, la question centrale est l’intégrité du soi. Dans un monde inspiré de Cyberpunk, c’est la capture des corps et des données par des acteurs économiques puissants. Dans un écosystème inspiré de Death Stranding, c’est la résilience des liens. Dans un monde inspiré de Watch Dogs, c’est l’interconnexion urbaine comme point faible.
La troisième étape est l’incident. Un futur devient utile lorsqu’il se casse. Le cœur de la méthode est donc l’incident fictionnel. Il doit être plausible, précis et inconfortable.
Un assistant IA interne, connecté à la messagerie, au CRM et à la documentation technique, est manipulé pendant plusieurs mois pour orienter des décisions commerciales. Un implant médical connecté reçoit une mise à jour compromise. Une ville intelligente subit une attaque indirecte par son prestataire de maintenance. Une entreprise industrielle découvre qu’un package open source intégré à sa chaîne de développement exfiltre des secrets. Un avatar de dirigeant est utilisé dans une fraude à l’ordre de virement. Un modèle IA d’aide au recrutement est empoisonné pour favoriser certains profils. Une plateforme de réalité augmentée expose les routines sensibles de cadres dirigeants. Une chaîne logistique semi-autonome est perturbée par des données de capteurs falsifiées.
L’incident ne doit pas seulement être spectaculaire. Il doit forcer un arbitrage. Couper un service protège la sécurité mais détruit la continuité. Communiquer vite protège la confiance mais augmente le risque juridique. Accuser un fournisseur protège l’organisation à court terme mais détruit un partenariat stratégique. Révéler une faille aide l’écosystème mais expose la réputation. Payer une rançon peut accélérer une reprise apparente, mais ne garantit ni la restauration ni la suppression des données volées.
Le cyber intéressant commence lorsqu’il n’existe plus de bonne option pure.
La quatrième étape est la traduction. Une fiction non traduite reste une histoire. Une fiction traduite devient un outil. L’événement déclencheur doit donc être relié à des cadres cyber existants. MITRE ATT&CK permet de décrire les tactiques et techniques adverses observées dans le réel. NIST CSF 2.0 permet de rattacher l’incident à la gouvernance, à l’identification, à la protection, à la détection, à la réponse et au rétablissement. Dans les scénarios liés à l’IA, ATLAS permet d’examiner les attaques visant modèles, données, chaînes d’apprentissage et usages opérationnels.
Cette traduction est le moment où l’imaginaire cesse d’être une référence et devient une discipline. On ne dit plus : “cela ressemble à Cyberpunk”. On demande : quelles identités sont compromises ? Quelles données sont critiques ? Quels privilèges sont abusés ? Quelle surface est exposée ? Quelle dépendance fournisseur est révélée ? Quelle technique adverse est plausible ? Quelle fonction NIST est défaillante ? Quel défaut de conception a rendu la crise possible ? Quelle capacité manque ?
La cinquième étape est le jeu. Le futur est joué par des acteurs placés en situation. Direction générale, RSSI, DSI, CTO, DPO, juridique, communication, responsable produit, fournisseur, client critique, assureur, régulateur, journaliste, autorité publique, équipe SOC, équipe de crise, adversaire simulé. Le scénario évolue par injects successifs : nouvel indice technique, fuite presse, revendication, pression client, erreur de communication, découverte d’un second point de compromission, rumeur sur les réseaux, exigence du régulateur, désaccord interne, perte de confiance d’un partenaire.
C’est ici que les jeux vidéo apportent une grammaire très utile. Un bon exercice doit avoir une carte, des ressources, des règles, des points aveugles, une temporalité, des adversaires, des conséquences. Il ne suffit pas de demander : “que faites-vous ?” Il faut créer une mécanique de décision. Le futur n’est plus un texte. Il devient une situation manipulable.
Cette logique va plus loin qu’un simple exercice de table. Elle ajoute une couche de monde. Elle ne demande pas seulement : “comment répondez-vous à cette attaque ?” Elle demande : “dans quel type de monde cette attaque devient-elle naturelle ?” C’est cette question qui permet d’anticiper. L’attaque ne se réduit pas àt un événement. Elle est le symptôme d’une architecture.
La sixième étape est l’extraction capacitaire. C’est le point décisif. À la fin, l’exercice doit produire quelque chose : une note, une doctrine, une feuille de route, une liste de capacités, un plan de formation, une cartographie de dépendances, une modification de gouvernance, une exigence de sécurité produit, une recommandation d’investissement.
La question finale n’est pas : “le scénario était-il intéressant ?”
La question finale est : “que savons-nous maintenant que nous ignorions avant de le jouer ?”
Avons-nous découvert une dépendance critique ? Un angle mort juridique ? Une incapacité de communication ? Une faiblesse dans les sauvegardes ? Une absence de doctrine IA ? Une ambiguïté contractuelle ? Une donnée trop sensible ? Un prestataire trop central ? Une équipe trop isolée ? Une chaîne de décision trop lente ? Une confusion entre sécurité produit et sécurité organisationnelle ?
Sans extraction capacitaire, le futur jouable n’est qu’un exercice créatif. Avec extraction capacitaire, il devient un outil de puissance.
Cette méthode répond à un besoin concret. Les organisations disposent de normes, de tableaux de bord, de référentiels, d’audits, de politiques et de plans de conformité. Mais elles manquent souvent de situations. Elles savent décrire leur maturité. Elles savent moins souvent prouver leur capacité à décider dans un environnement instable. Or la cyber est précisément une discipline de l’instabilité : incertitude technique, pression temporelle, asymétrie adversaire, exposition médiatique, dépendances cachées, responsabilité diffuse, normes mouvantes.
Les futurs cybers jouables servent à entraîner ce muscle.
Pour les écoles d’ingénieurs, l’intérêt est direct. Les étudiants doivent apprendre que les systèmes qu’ils conçoivent produisent des comportements. Un outil d’IA mal gouverné crée une surface d’attaque. Une interface mal pensée crée une vulnérabilité humaine. Une architecture trop intégrée crée un point de propagation. Une API trop ouverte crée des abus possibles. Un produit non sécurisé par défaut transfère le risque au client. Former un ingénieur sans lui faire jouer les conséquences cyber de ses choix de conception est une lacune.
Pour les écoles de commerce, l’intérêt est tout aussi fort. Les futurs dirigeants ne doivent pas apprendre la cyber comme un sujet technique périphérique. Ils gagnent à la comprendre comme une condition de stratégie. Une fusion-acquisition peut importer une dette cyber. Une politique d’IA peut créer une responsabilité nouvelle. Un fournisseur peut devenir un risque systémique. Une plateforme peut enfermer l’entreprise dans une dépendance. Un incident peut détruire la confiance plus vite qu’un mauvais trimestre. La cyber n’est pas une ligne de budget. C’est une théorie pratique de la fragilité des organisations numériques.
Pour les institutions publiques et la défense, cette méthode permet de relier anticipation, simulation et capacité. La Red Team Défense française a déjà montré l’intérêt de mobiliser auteurs et scénaristes de science-fiction avec des experts scientifiques et militaires pour imaginer des menaces pouvant mettre en danger la France et ses intérêts à l’horizon 2030-2060. Mais dans le domaine cyber, il faut prolonger cette logique vers des formats encore plus opératoires. Le scénario doit pouvoir devenir une alerte, une doctrine, une formation, un test de coordination, un plan de résilience.
Trois exemples permettent de comprendre la méthode.
Premier cas : Ghost in the Shell appliqué à l’hôpital connecté. Un implant neurologique reçoit une mise à jour compromise. Les patients ne sont pas seulement victimes d’une fuite de données. Ils deviennent des surfaces d’attaque corporelles. L’exercice oblige à traiter sécurité produit, responsabilité médicale, preuve technique, communication, consentement, régulation et continuité de soin. La capacité extraite n’est pas “mieux protéger les implants” en général. Elle est plus précise : définir une doctrine de crise pour dispositifs médicaux cyber-physiques.
Deuxième cas : Cyberpunk 2077 appliqué à l’entreprise augmentée. Les employés utilisent assistants IA, lunettes AR, avatars, outils de génération de code et accès cloud. Un adversaire manipule l’écosystème par identités synthétiques, empoisonnement de données et compromission de dépendances logicielles. L’exercice oblige à traiter shadow AI, gestion des identités, validation du code, sécurité des modèles, journalisation, gouvernance fournisseur. La capacité extraite : une politique opérationnelle d’IA sécurisée, testée par crise.
Troisième cas : Death Stranding appliqué à une supply chain critique. Une organisation dépend d’un réseau logistique semi-autonome reliant fournisseurs, entrepôts, drones, véhicules, prestataires et plateformes de réputation. L’attaque ne détruit rien au départ. Elle modifie des données de confiance. Les bons colis vont aux mauvais endroits, les priorités sont manipulées, les alertes sont noyées. L’exercice oblige à traiter intégrité des données, résilience, redondance, cartographie des tiers, responsabilité contractuelle. La capacité extraite : une doctrine de continuité pour logistique numérique dégradée.
Le mot “jouable” est important. Il ne signifie pas léger. Il signifie manipulable. Un futur jouable est un futur que l’on peut tester avant d’y être enfermé. C’est un futur que l’on peut interrompre, rejouer, modifier, contester, comparer. Cette capacité devient précieuse dans un monde où beaucoup de systèmes réels deviennent difficiles à arrêter une fois déployés : IA, cloud, automatisation, plateformes, villes connectées, infrastructures critiques, dispositifs médicaux, outils de développement, systèmes d’identité.
Il faut donc apprendre à jouer ces futurs avant de les subir.
La méthode peut se résumer ainsi : le science fiction prototyping imagine le futur ; le FICINT le rend plausible ; le jeu le rend manipulable ; l’analyse cyber le rend opérationnel ; l’extraction capacitaire le rend utile.
Cette chaîne permet d’éviter deux écueils. Le premier est l’académisme abstrait : parler de futurs technologiques sans produire de décision. Le second est le gadget pédagogique : utiliser les jeux vidéo ou le cyberpunk pour rendre un cours plus sympathique sans transformer la compréhension. Les futurs cyber jouables ne sont ni une théorie décorative ni une animation. Ils sont une méthode de lecture, de simulation et de décision.
Le Japon rappelle que cette démarche n’est pas artificielle. Dans un pays où Society 5.0 assume explicitement la fusion du cyberespace et de l’espace physique, où les recherches sur l’augmentation humaine, les avatars et les interfaces sont particulièrement visibles, les imaginaires cyber ne paraissent pas extérieurs au réel. Ils en sont souvent les éclaireurs.
La menace cyber devient plus rapide, plus industrialisée, plus distribuée, plus liée aux logiciels, aux tiers, aux identités et aux IA. Les organisations ne peuvent plus se contenter d’appliquer des normes en retard. Elles doivent entraîner leur capacité à voir : voir les architectures, les dépendances, les comportements, les mondes qui arrivent, les failles avant qu’elles ne soient exploitées.
Les jeux vidéo, le cyberpunk et la fiction stratégique ont déjà construit beaucoup de ces mondes. Le travail sérieux commence maintenant : les traduire en exercices, en doctrines, en formations et en capacités.
Faire jouer les futurs cyber, ce n’est pas fuir le réel.
C’est se donner une longueur d’avance sur lui.
The post <strong>Le Japon</strong>, laboratoire des futurs Cyber – des futurs cybers jouables aux capacités de défense appeared first on INCYBER NEWS.