Comment la psychologie devient une arme de la cyberdéfense : Exploiter les Biais Cognitifs pour Dégrader la Performance des Attaquants

Source : Chen, P.-Y., Hsing, H.-W., Oh, J., Lau, N., Beltz, B., Doty, J., Trent, S., Fonken, Y., Wu, P., Srivastava, K., Gurney, N., & Zhu, Q. (2026). Exploiting Type I cognitive processing with bias triggers for cyber defense: Effects on network penetration and attack resource allocation [Preprint].

Sommaire : Cette étude teste l'impact de « déclencheurs de biais » cognitifs sur des hackers dans un réseau simulé. Quarante-deux participants ont effectué un test d'intrusion de deux jours. Les déclencheurs ont réduit la profondeur de pénétration et détourné du temps, des commandes et des techniques vers des systèmes non critiques. L'efficacité a varié selon l'expertise et le type de biais, les coûts irrécupérables et la confirmation étant les plus marquants. Les limites incluent la taille de l'échantillon, le périmètre réseau et l'absence de mesures cognitives directes.

1. Introduction : Vers une Défense Active Basée sur les Facteurs Humains Oppositionnels (OHF)

Le paradigme actuel de la cybersécurité fait face à une crise d'efficacité. Selon le rapport Verizon 2025 (DBIR), le volume de menaces a atteint un sommet historique avec plus de 22 000 incidents et 12 195 brèches confirmées. L'impact financier suit cette courbe ascendante : le FBI a rapporté pour 2024 des pertes records de 16,6 milliards de dollars, soit une hausse de 33 % en un an.

Pourtant, les cadres de référence comme le NIST CSF 2.0 persistent dans une impasse stratégique. En traitant l'adversaire comme une simple variable technique ou un risque algorithmique, ces frameworks ignorent un angle mort fondamental : l'humain dans la boucle décisionnelle. La transition vers les Facteurs Humains Oppositionnels (OHF) marque une rupture nécessaire. Il ne s'agit plus seulement de durcir les systèmes, mais de dégrader délibérément l'environnement cognitif de l'attaquant. En utilisant des leviers cognitifs et des artefacts déceptifs, la défense peut transformer les forces de l'intrus en vulnérabilités exploitables.

2. Le Fondement Théorique : La Théorie du Double Processus en Contexte d'Attaque

La psychologie cognitive, via la théorie du double processus, nous enseigne que le cerveau opère selon deux modes distincts :

• Traitement de Type I : Rapide, automatique, heuristique et intuitif. Il est activé pour économiser les ressources cognitives.
• Traitement de Type II : Lent, analytique et délibéré. Il intervient pour surveiller et corriger les erreurs potentielles du Type I.

Dans le chaos d'une opération offensive, l'attaquant est soumis à une charge de travail écrasante, une incertitude constante et des contraintes de temps strictes. Ces conditions forcent un basculement disproportionné vers le Traitement de Type I. L'objectif stratégique de la recherche GAMBiT (Guarding Against Malicious Biased Threats = Protection contre les menaces exploitant les biais cognitifs) est d'implanter des « déclencheurs de biais » (bias triggers) pour induire des erreurs systématiques en exploitant ces raccourcis mentaux automatiques.

3. Méthodologie de l'Étude GAMBiT 

L'étude GAMBiT a mobilisé 42 participants qualifiés (N=42) au sein d'un cyber-range SimSpace de haute fidélité comprenant 40 machines virtuelles (VM).

Protocole et Expertise : Les participants ont été segmentés selon leurs scores au test de compétences "Cedar Bunny" :

• Division Open : Scores entre 420 et 800.
• Division Expert : Scores entre 801 et 1200.

Collecte de Données et Télémétrie : Pour une analyse granulaire, l'étude a utilisé une application sur mesure nommée "Liberator", capable de corréler les actions réseau avec les marqueurs de biais. Ces données ont été complétées par une annotation des journaux de commandes via des modèles de langage avancés (GPT-4o-mini), permettant de mapper chaque action sur les techniques du framework MITRE ATT&CK.

Déclencheurs de biais intégrés (VM it-ubuntu-1) :

4. Analyse de l'Impact sur la Progression et l'Allocation des Ressources

L'introduction de biais cognitifs modifie radicalement l'efficacité de l'attaque.

• Profondeur de pénétration : Les résultats montrent que la cyber-tromperie "écrase" littéralement la progression. Le groupe témoin (Control) affiche un rang de progression médian de 4, tandis que le groupe exposé aux biais (Triggers Embedded) chute à un rang médian de 2.

• Empoisonnement de l'entonnoir décisionnel : La télémétrie révèle une mauvaise allocation massive des ressources. Les attaquants ont été détournés vers des cibles non critiques et hors du chemin d'attaque optimal.
• Interaction entre Expertise et Biais : L'analyse des interactions démontre que les déclencheurs impactent de manière disproportionnée la division « Ouverte ». L'effet est statistiquement significatif pour le volume de commandes et l'usage des techniques MITRE. Cependant, il n'est que marginalement significatif pour le temps passé (p = .069), suggérant que même les experts, bien que plus résilients dans leurs choix techniques, peinent à s'extraire temporellement des pièges cognitifs.

5. Efficacité Comparative des Heuristiques Exploitées

L'étude souligne une hiérarchie dans l'efficacité des pièges :

1. Le levier dominant : La combinaison « Sunk Cost + Confirmation Bias » (coût irrécupérable + biais de confirmation) s'est révélée être le prédicteur le plus puissant du gaspillage de temps, particulièrement lors des tâches d'élévation de privilèges (β = .81, p = .002). L'incitation à l'escalade de l'engagement force l'attaquant à rationaliser son investissement initial au lieu de pivoter.
2. Les échecs relatifs : Le « Base Rate Neglect » (l'oubli de la fréquence de base) et la « Loss Aversion »  (l'aversion à la perte) n'ont pas produit d'effets significatifs. Deux raisons majeures sont identifiées :
   • Automatisation : La vérification des comptes et privilèges est souvent automatisée, court-circuitant l'intuition de Type I.
   • Propension au risque et investissement : L'aversion à la perte nécessite souvent un investissement préalable massif pour être efficace. De plus, les données suggèrent que la propension générale au risque de l'attaquant influence davantage l'usage de techniques de persistance que la simple menace de détection sur une cible initiale.

6. Implications pour la Gestion des Risques et la Stratégie de Défense

Pour les responsables cyber, ces résultats imposent d'intégrer la psychologie comme couche de défense en profondeur :

• Génération de Renseignement : Les interactions avec les leviers cognitifs offrent une télémétrie de haute fidélité. En observant quel biais piège un attaquant, les défenseurs peuvent modéliser ses futurs mouvements et saboter ses vecteurs de déplacement latéral avant qu'ils ne soient activés.
• Défense Adaptative : La résilience partielle des experts indique que les artefacts déceptifs doivent gagner en subtilité. Plus l'attaquant est qualifié, plus le piège doit paraître « coûteux » ou « obscur » pour forcer une erreur de jugement.

7. Limites de la Recherche et Perspectives

Malgré sa rigueur, l'étude GAMBiT présente des limites : un échantillon de 42 sujets, une topologie réseau orientée PME et le biais inhérent au cadre expérimental (conscience du test).

Les futurs travaux devront :

• Explorer l'aversion à l'ambiguïté, identifiée par Carney et al. (2025) comme un levier potentiellement plus puissant que l'aversion à la perte en environnement incertain.
• Affiner les modèles de décision via l'analyse automatisée par LLM des commandes exécutées pour identifier le point de bascule précis où le processus de Type II échoue à corriger une heuristique défectueuse.