Dans un récent portrait qui donne à réfléchir, publié par New York Times, le Dr Hany Farid, chercheur de référence mondial en matière de détection des deepfakes, a fait une révélation qui devrait inquiéter tous les responsables de la sécurité des systèmes d’information (RSSI) et les responsables de la sécurité nationale.

Après vingt-cinq ans passés à décrypter avec succès les manipulations visuelles, Farid a admis que l’intelligence artificielle générative avait désormais dépassé les capacités de tri tant humaines que informatiques. Il a fait remarquer que, alors que le calcul des pixels et des ombres pour démasquer un deepfake peut prendre des heures, voire des jours, une fiction générée par l’IA parvient à se propager de manière virale sur Internet en quelques secondes seulement.

L'avertissement de Farid est clair : notre système visuel est en train de devenir inutile et la détection des couches de contenu est une course à l'armement que nous sommes en train de perdre.

Pour les responsables de la communication au sein des pouvoirs publics et les architectes de sécurité chargés des missions critiques, l'évaluation de Farid permet de passer d'une détection a posteriori à la prévention de l'intrusion des deepfakes dans l'environnement de communication.

Pour que les mesures d'atténuation soient efficaces, il est nécessaire de vérifier l'identité et l'appareil au moment de la communication.

La détection a toujours été la mauvaise approche

La détection suppose que des contenus synthétiques ont déjà pénétré dans le circuit d'information et ont pu influencer une décision. Dans un contexte de coordination de crise, au sein d'un réseau de commandement et de contrôle ou d'une chaîne d'information classifiée, un tel enchaînement est inacceptable. Au moment où un deepfake est détecté, la boucle OODA a déjà été compromise.

Les acteurs institutionnels qui se sont penchés sur la question des deepfakes en 2026 ont opté pour une approche de refus : la FEC s’est retrouvée dans une impasse plutôt que d’imposer la détection, le Commissaire à la protection de la vie privée du Canada a jugé illégal un outil génératif plutôt que d’exiger une détection à grande échelle, et le système de reconnaissance biométrique de YouTube est facultatif et limité à des personnes identifiées. Il s’agit dans tous les cas de contrôles en amont qui restreignent ce qui entre dans l’environnement, plutôt que d’une détection au sens opérationnel du terme. Les communications sécurisées des pouvoirs publics nécessitent la même logique, appliquée au niveau de l’infrastructure.

La vérification résout ce que la détection ne peut pas résoudre

Les attaques par « deepfake » visant les communications gouvernementales prennent généralement la forme d’une voix synthétique lors d’un appel de commande, d’une vidéo truquée montrant un haut responsable donnant un ordre, ou encore d’une image manipulée utilisée pour déclencher une intervention d’urgence. Dans tous ces cas de figure, l’attaque aboutit car le destinataire ne peut pas vérifier de manière indépendante que l’expéditeur est bien celui qu’il prétend être et que le dispositif à l’origine de la communication est autorisé.

La vérification cryptographique de l'identité et des appareils élimine totalement cette surface d'attaque.

BlackBerry® SecuSUITE® impose une authentification des appareils par certificat pour chaque appel et chaque message. L’identité de l’expéditeur n’est pas déduite à partir de la voix, de l’apparence ou du comportement. Elle est vérifiée par rapport à un identifiant cryptographique lié à un appareil enregistré et géré. Pas d’identifiant, pas de communication. Le deepfake ne peut pas franchir cette barrière, car celle-ci n’évalue pas l’aspect ou le son de la communication. Elle évalue qui l’a signée.

BlackBerry® UEM cette même logique au niveau des terminaux. Chaque terminal d’un parc géré est identifié, enregistré et évalué en permanence. Un terminal qui tente d’injecter du contenu synthétique dans une chaîne de communication est soit non enregistré — auquel cas il ne peut pas accéder au canal —, soit enregistré, et sa compromission est alors détectable grâce à l’application des politiques et à la détection d’anomalies comportementales.

BlackBerry® AtHoc® applique la même architecture de vérification aux notifications de masse et à la coordination en cas de crise. Lorsqu’une alerte est émise, les destinataires savent qu’elle provient d’un opérateur authentifié utilisant un appareil géré. La communication fait autorité au nom de l’institution, car l’infrastructure garantit l’identité de celle-ci.

La dimension de la souveraineté

Selon Farid, le grand public devrait considérer par défaut les images et les vidéos comme non fiables, à l'instar des e-mails non signés, et vérifier leur provenance cryptographique ainsi que leur source institutionnelle.

Les organismes publics ne devraient pas attendre que le débat public rattrape son retard. L'architecture que Farid décrit comme un objectif futur en matière d'éducation aux médias existe déjà au sein des infrastructures de communication gouvernementales bien établies : provenance cryptographique, vérification institutionnelle des sources, identité liée à un appareil.

Dans les contextes liés à la défense et à la sécurité nationale, la distinction essentielle réside dans la souveraineté des clés. BlackBerry SecuSUITE sur le principe selon lequel les clés cryptographiques validant chaque communication restent sous le contrôle de l’organisme qui déploie la solution, et non sous celui d’un fournisseur. C’est l’État qui détient l’ancre de confiance. Aucun tiers ne peut être contraint, piraté ou manipulé de manière à la compromettre.

C'est là l'architecture qu'exige la menace des deepfakes. Pas une meilleure détection. Une meilleure traçabilité. Pas une analyse plus fine a posteriori. Des filtres plus rigoureux en amont.

Défendre les limites de la vérité

Farid a raison de dire que les écosystèmes de l'information publique sont corrompus. Les grandes plateformes de réseaux sociaux, axées sur l'engagement et la rapidité, ne disposent pas de l'infrastructure unifiée nécessaire pour valider les milliards de fichiers multimédias mis en ligne chaque jour. En dehors du pare-feu du réseau, le « dividende du menteur » persistera probablement, et le scepticisme du public restera élevé.

Cependant, le réseau gouvernemental n’est pas un réseau social public. Il s’agit d’un espace contrôlé, réglementé et sécurisé. Les opérations critiques doivent simplement garantir la responsabilité cryptographique au niveau de nos terminaux. Lorsque l’identité des appareils et l’authentification des utilisateurs sont incontestables, les illusions synthétiques perdent leur pouvoir de tromperie.

Conclusion opérationnelle

La détection a perdu la course. Ce retard est structurel, et non pas fortuit, et chaque nouvelle version d’un modèle génératif ne fait que l’aggraver. Les organisations qui continuent d’investir dans la détection comme principale mesure de lutte contre les deepfakes mettent en place des défenses qui, de par leur nature même, sont structurellement dépassées au moment de l’application.

Les organismes publics les mieux équipés pour fonctionner dans cet environnement ont adopté une approche différente. Plutôt que d’essayer de déterminer a posteriori si un message est authentique, ils en vérifient l’authenticité dès le départ. Ils savent qui est l’expéditeur. Ils savent quel appareil a envoyé le message. Ils contrôlent les clés cryptographiques qui le prouvent.

Il ne s'agit pas d'une préférence technologique. En 2026, ce sera une exigence opérationnelle.

BlackBerry^® Secure Communications fournit des communications cryptées de bout en bout et vérifiées par cryptographie aux organismes de défense, aux administrations publiques et aux organisations gérant des infrastructures critiques à l'échelle mondiale. BlackBerry SecuSUITE, BlackBerry UEM et BlackBerry AtHoc certifiés conformes aux normes Common Criteria, FIPS 140-2 et de l'OTAN.