Chapeaux blancs, gris et noirs
En cybersécurité, ce qui distingue un chapeau blanc d'un chapeau noir n'est pas la technique mais le cadre. La même idée vaut pour la neuropsychologie cognitive : ses connaissances servent aussi bien à protéger qu'à manipuler.
Chapeau blanc
Agit avec autorisation, dans un périmètre défini, avec consentement éclairé et débriefing. Son but est de corriger la faille.
Chapeau gris
Intention défensive, mais sans autorisation ou sans cadre complet. Zone d'incertitude éthique, à examiner au cas par cas.
Chapeau noir
Exploite la faille pour nuire ou en tirer profit, sans l'accord des personnes concernées.
Ce qui fait le chapeau
- Autorisation et périmètre : qui a accepté, pour quoi, et jusqu'où. C'est l'équivalent des règles d'engagement d'un test d'intrusion.
- Consentement éclairé : contrairement à un système informatique, les personnes sont ici la cible. Un exercice sans leur accord n'est pas un test, c'est une manipulation.
- Proportionnalité et protection : pas de stress au-delà du réaliste, arrêt possible à tout moment, aucune exposition de personnes vulnérables.
- Minimisation des données et anonymat : indicateurs agrégés, aucun individu désigné.
- Divulgation responsable : signaler une faille de procédure à son responsable avant de la rendre publique.
- Transparence sur la méthode : dire les limites de ce qu'on a mesuré.
Le code de déontologie des psychologues (2021) et la déclaration d'Helsinki sur la recherche impliquant des personnes s'appliquent en plus. Voir aussi les références.
Mêmes connaissances, deux usages
Chaque notion de neuropsychologie cognitive est à double usage. Ce tableau reste au niveau des principes : il ne décrit jamais comment exploiter une faille.
| Notion | Usage chapeau blanc | Usage chapeau noir | Ce qui les distingue |
|---|---|---|---|
| Mémoire de travail et charge cognitive | Mesurer, avec accord, à quel moment une procédure de vérification cède sous charge, puis l'alléger. | Provoquer la surcharge d'une personne pour lui faire valider une demande sans vérification. | Qui est informé, et ce qui est fait du résultat. |
| Attention et cécité attentionnelle | Révéler à une équipe ses angles morts de veille lors d'un exercice annoncé. | Détourner délibérément l'attention d'une cible pour qu'elle manque un signal réel. | Un signal réel contre un exercice délimité. |
| Mémoire de source et faux souvenirs | Apprendre aux analystes à tracer la source d'une information et à démentir sans répéter la fausse affirmation. | Faire circuler une affirmation fausse jusqu'à ce que sa familiarité la rende crédible. | Vérité rendue visible contre fausseté rendue familière. |
| Récompense et renforcement variable | Auditer sur papier les mécanismes de rétention d'un produit et proposer des limites par défaut. | Concevoir un produit pour prolonger l'usage au détriment de l'intention de l'utilisateur. | L'intérêt de la personne reste-t-il l'objectif ? |
| Décision, émotion et délai de refroidissement | Entraîner la pause avant les décisions à enjeu et mesurer son effet. | Provoquer la peur ou la honte pour obtenir un engagement immédiat. | Donner du temps contre en retirer. |
| Déclin cognitif et vulnérabilité à la fraude | Concevoir des protections (délais, personne de confiance) qui ne reposent pas sur le seul jugement individuel. | Cibler des personnes dont le jugement est altéré. | Protéger contre cibler : ligne rouge absolue. |
| Psychométrie et mesure | Mesurer l'efficacité d'une sensibilisation avec fiabilité, comparaison et honnêteté sur les limites. | Annoncer des chiffres d'efficacité sans méthode pour vendre une solution ou une influence. | Honnêteté sur la méthode. |
Hack cognitif est un site de chapeau blanc. Les fiches décrivent les mécanismes pour les repérer et s'en protéger. Les protocoles red team ne contiennent que des exercices fictifs, consentis et débriefés, sans paramètres pour manipuler. Une proposition qui ne respecte pas ce cadre n'a pas sa place ici.
Quel chapeau ?
Six situations fictives à classer. La réponse est discutée à chaque fois, car la frontière entre gris et noir dépend du cadre.
Une équipe de sécurité annonce un exercice de fraude fictive à la direction, avec accord écrit, puis fait un débriefing sans nommer d'individus.
Un chercheur étudie publiquement une campagne d'influence réelle à partir de contenus publics, sans contacter les personnes concernées, pour alerter sur ses mécanismes.
Quelqu'un envoie un faux message urgent à un employé réel, sans prévenir personne, pour « voir s'il tombe dans le piège ».
Une chargée d'étude découvre qu'une procédure de validation est contournable par la pression sociale, la signale en privé à la direction et attend la correction avant de publier.
Un freelance conçoit une application dont l'engagement est maximisé par des récompenses imprévisibles, sans limite d'usage, pour une audience adolescente.
Une équipe teste une procédure sur des volontaires informés avec des scénarios fictifs, puis publie des résultats agrégés avec leurs limites.
Les trois couleurs sont une convention de la cybersécurité, pas une classification juridique.