Source : Henderson, M., Solomko, A., Simmons, H., Jin, N., Kloucek, M., & Wingate, J. (2026). Simplifying cyber cat(astrophe)s with cyber kittens: Power law plausibility for cyber insurance risks [Preprint]. arXiv.

Sommaire : La rareté des données empiriques sur les méga-catastrophes cyber (Cyber Cats > 1 Smilliard) rend leur modélisation complexe. Pour y remédier, une méthodologie s'appuie sur le classement par LLM de réclamations d'assurance pour analyser les Cyber Kittens : des événements systémiques de moindre ampleur.
L'étude démontre que ces événements suivent une loi de puissance (coefficient α=1,74), utilisant le nombre de victimes pondéré comme indicateur de perte. Cette approche permet de quantifier la fréquence des événements extrêmes (Gray Swans) : un sinistre de 20 milliards de dollars présente une période de retour de 28 ans, contre 206 ans pour 200 milliards.

1. Problématique de la Donnée dans le Risque de Queue Cyber

La quantification des risques de queue (tail risks) systémiques cyber se heurte historiquement à une pénurie critique de données empiriques. Alors que les assureurs disposent de statistiques suffisantes pour tarifer les risques attritionnels, les événements dits « cyber cats » - dépassant le milliard de dollars de pertes économiques - sont statistiquement rares. Avec seulement 24 événements majeurs répertoriés en 30 ans, la construction de modèles causaux complexes pour des scénarios de queue s'avère précaire, limitant la capacité du marché à retenir ces risques sans une dépendance massive à la réassurance.

L'évolution du paysage technologique a déplacé l'attention des pertes de haute fréquence et faible sévérité vers des préoccupations systémiques majeures. Le défi actuariel consiste à déterminer si ces événements relèvent du « Black Swan » imprévisible ou s'ils suivent une structure statistique identifiable. L'absence de consensus sur la modélisation souligne l'urgence d'une méthodologie simplifiée capable de prédire les propriétés macroscopiques du risque. Plutôt que de modéliser chaque vecteur d'attaque, l'approche par loi de puissance permet de capturer la dynamique de distribution des pertes à partir de l'observation d'événements de moindre magnitude.

2. Méthodologie : L'Exploitation des « Cyber Kittens » via LLM

Pour pallier le manque de données sur les catastrophes majeures, cette étude introduit le concept de « Cyber Kittens » : des événements systémiques impliquant plusieurs victimes mais dont les pertes économiques restent inférieures au seuil de 1 milliard de dollars. L'hypothèse centrale est que ces « kittens » et les « cats » partagent une même distribution génératrice de type loi de puissance.

Le pipeline d'extraction des données a été structuré comme suit :

• Collecte de données : Analyse d'un sous-ensemble de réclamations d'assurance cyber (2020-2024).
• Classification par LLM : Utilisation de Google Gemini (gemini-3-flash-preview) pour classifier les réclamations comme « attritionnelles » ou « systémiques ».
• Identification d'événements : Pour les réclamations systémiques, le LLM génère un label d'événement unique (ex: « MOVEit »).
• Dédoublonnement et Correction : Application d'une passe de similarité textuelle et d'une revue manuelle pour corriger les collisions de labels (ex: « CrowdStrike update » vs « CrowdStrike »).
• Filtrage de seuil : Exclusion de tout événement n'impliquant pas au moins deux victimes uniques pour garantir la nature systémique de l'échantillon.
• Validation de fidélité : Une vérification manuelle sur un échantillon de 600 réclamations a révélé un taux d'erreur de 1 %, validant la robustesse du typage par LLM.

3. Le Nombre de Victimes Pondéré comme Proxy de Perte Économique

L'utilisation des données de pertes assurées pour modéliser le risque systémique est limitée par le phénomène de « clipping » : les franchises (deductibles) et les limites de garantie masquent la réalité des pertes économiques sous-jacentes. En conséquence, l'étude privilégie le « nombre de victimes pondéré » comme proxy macroscopique plus stable. Cette pondération est essentielle pour corriger les asymétries de volume annuel des réclamations analysées (biais temporel) ; pour les années disposant de moins de données, chaque réclamation reçoit un poids plus élevé afin de maintenir une cohérence statistique.

Top 5 des événements systémiques par nombre de victimes pondéré (2020-2024)

Note : La relation entre le volume de victimes et la perte économique est fonctionnelle mais bruitée. Par exemple, CDK Global se classe au 7ème rang par nombre de victimes bien qu'étant classé comme "cat", illustrant la variabilité stochastique du risque.

4. Plausibilité Statistique de la Loi de Puissance

L'ajustement de la distribution des "Cyber Kittens" à une loi de puissance a été testé selon une méthodologie rigoureuse de maximum de vraisemblance. Ce modèle est particulièrement pertinent pour les systèmes critiques auto-organisés présentant une distribution à queue épaisse.

Paramètres statistiques de l'ajustement (Loi de puissance)

• Formule : p(x) ∝ x^-α
• Coefficient de pente (α) : 1,74
• Seuil inférieur (xmin) : 1,1509
• Vraisemblance et Robustesse : Plausibilité confirmée par le test de Kolmogorov-Smirnov (KS) avec une p-value de 0,524 (obtenue par 10 000 itérations de bootstrap).
• Indice de décroissance : s = -(α - 1) = -0,74. Une augmentation de magnitude de 10x (10^1) correspond à une décroissance de la probabilité d'occurrence de 5,5x (10^0,74).

Ces résultats suggèrent que le risque cyber est régi par des mécanismes de réseau où la probabilité d'un événement extrême, bien que décroissante, reste significative.

5. Comparaison avec d'autres Distributions de Queue

Pour valider la sélection de la loi de puissance pure, une analyse comparative a été effectuée via le ratio de vraisemblance logarithmique (R). Les tests ont comparé le modèle à la loi log-normale et à la loi de puissance avec coupure (cutoff).

• Loi Log-normale : Bien qu'affichant un ratio R moyen négatif (-0,638), sa supériorité n'est pas statistiquement significative (p-value de 0,430).
• Loi de Puissance avec coupure : Ce modèle ne surpasse pas la loi pure de manière probante (R = -0,341 ; p-value = 0,483).

La loi de puissance pure a été retenue comme le modèle le plus robuste et conservateur pour l'extrapolation, car elle évite de sous-estimer la probabilité des événements de queue par une décroissance exponentielle prématurée.

6. Extrapolation et Périodes de Retour des "Gray Swans"

Le modèle permet de projeter la fréquence d'événements extrêmes non encore observés. L'événement MOVEit est utilisé comme référence de base, avec une magnitude fixée conservativement à 2 milliards de dollars (arrondi supérieur des estimations économiques des quatre catastrophes récentes).

Extrapolation des pertes extrêmes (Modèle Loi de Puissance)

Cette approche transforme le risque cyber de "Black Swan" en "Gray Swan" : un péril dont la date reste incertaine, mais dont la magnitude et la fréquence sont quantifiables par des lois macroscopiques.

7. Analyse Comparative et Mécanismes de Rétroaction

Cyber vs Cat Nat

La mise en perspective avec les catastrophes naturelles est éclairante. Le marché de l'assurance a absorbé 5 catastrophes naturelles dépassant les 100 milliards de dollars chacune au cours des 20 dernières années. En comparaison, une perte cyber de 200 milliards de dollars présente une période de retour estimée à plus de 200 ans. Le risque cyber, bien que techniquement complexe, reste dans des limites de sévérité gérables par le capital mondial par rapport aux périls physiques historiques.

Facteurs d'Atténuation Systémiques

L'extrapolation pourrait s'avérer pessimiste en raison de boucles de rétroaction (feedback loops) limitant la propagation. Lors de l'attaque NotPetya, la déconnexion manuelle et préventive des serveurs par les entreprises a agi comme une réponse immunitaire systémique. De même, les changements de comportement lors de la pandémie de COVID-19 ont illustré comment l'adaptation des acteurs réduit les taux de transmission réels par rapport aux prédictions initiales des modèles épidémiologiques simples.

8. Conclusion sur la Stabilité du Risque Cyber

L'application de la loi de puissance à la distribution des « Cyber Kittens » offre une simplification mathématique valide de la complexité des réseaux cyber. En privilégiant les propriétés macroscopiques - comme le volume de victimes pondéré - plutôt que les détails techniques volatils des vulnérabilités, cette méthode démontre que les événements catastrophiques suivent une logique de fréquence prévisible. Ces résultats suggèrent une stabilité relative du risque cyber en tant que classe d'actifs. Malgré la nature interconnectée du péril, les périodes de retour et les magnitudes projetées confirment sa viabilité et sa soutenabilité pour le secteur de la réassurance.