Le lexique de l'informatique appliqué à la cognition.
Emprunter les mots de la cybersécurité pour penser les failles humaines apporte une méthode : diagnostiquer, prioriser, corriger, vérifier. Les contre-mesures de chaque fiche sont des patchs cognitifs.
Quatre types de patchs cognitifs
Patch d'environnement
Changer le contexte pour que la faille ne soit plus sollicitée. Exemple : supprimer la possibilité de valider seul un virement. Robustesse : élevée, car il ne dépend pas de la vigilance de chacun.
Patch de procédure
Une règle explicite et simple, comme rappeler sur un numéro connu ou exiger une double validation. Robustesse : élevée si elle est appliquée aussi sous pression.
Patch d'outil
Une aide technique : clé de sécurité physique, vérification de provenance, filtre. Robustesse : élevée, mais contournable et à maintenir à jour.
Patch d'entraînement
Formation et sensibilisation. Robustesse : plus faible. Deux grandes études en entreprise ne trouvent pas d'effet protecteur notable de la formation au hameçonnage seule : il ne faut pas s'y fier seul, et toujours en mesurer l'effet. (voir Lain et coll. 2022, Ho et coll. 2025)
Correspondances
| Terme | En informatique | Équivalent cognitif | Exemple | Limite de la métaphore |
|---|---|---|---|---|
| Attaques et vulnérabilités | ||||
| Chaîne d'approvisionnement | Attaque qui compromet un fournisseur, un logiciel ou une mise à jour de confiance pour atteindre ses clients. | Sources intermédiaires de confiance dont la compromission contamine l'aval. | Un média, un prestataire ou un assistant relais. | |
| Charge utile (payload) | Partie d'un code malveillant qui réalise l'action recherchée une fois l'accès obtenu : chiffrement, vol de données, porte dérobée. | Contenu qui produit l'effet recherché. | Une demande de virement, un narratif, une image. | |
| Déni de service (DoS) | Attaque qui rend un service indisponible en le saturant de requêtes ; on parle de DDoS quand elle vient de nombreuses machines à la fois. | Saturation informationnelle : noyer l'attention. | Flot de contenus qui épuise la capacité de tri (voir DIMA TE0433). | |
| Exploit | Programme ou technique qui tire parti d'une vulnérabilité pour obtenir un effet non prévu : exécuter du code, élever ses droits, lire des données. | Technique qui tire parti d'une faille. | Fausse urgence combinée à une fausse autorité. | L'effet est probabiliste, jamais garanti. |
| Mouvement latéral | Progression d'un attaquant d'une machine compromise vers d'autres systèmes du même réseau. | Propagation d'une demande ou d'un narratif vers l'entourage. | Un contact compromis relaie le message. | |
| Surface d'attaque | Ensemble des points par lesquels un système peut être attaqué : services exposés, comptes, interfaces, logiciels installés. | Ensemble des points exposés d'une personne ou d'un collectif : attention, confiance, décisions, informations publiques. | L'organigramme et les projets publiés en ligne. | Elle varie selon la fatigue, la charge et le contexte. |
| Vecteur | Voie d'entrée utilisée par une attaque : pièce jointe, lien, clé USB, service exposé sur Internet. | Canal par lequel arrive la tentative. | E-mail, appel, réseau social, assistant IA. | |
| Vulnérabilité (faille) | Faiblesse d'un logiciel, d'un matériel ou d'une configuration qu'un attaquant peut exploiter pour compromettre un système. | Biais ou limite de traitement exploitable. | Le biais d'autorité face à un faux dirigeant. | Un biais est aussi une heuristique utile : on ne le supprime pas. |
| Zero-day | Vulnérabilité inconnue de l'éditeur, ou pas encore corrigée, au moment où elle est exploitée. | Technique exploitant un mécanisme pas encore documenté ni défendu. | Nouveaux usages de l'IA conversationnelle. | Difficile à établir avant coup. |
| Défense | ||||
| Authentification multifacteur | Vérification d'identité qui combine au moins deux facteurs de nature différente : ce que l'on sait, ce que l'on possède, ce que l'on est. | Vérifier une information par plusieurs sources ou canaux indépendants. | Confirmer une demande par un second canal. | |
| Bac à sable (sandbox) | Environnement isolé où l'on exécute un programme ou un fichier suspect sans risque pour le reste du système, afin d'observer son comportement. | Délai et espace de vérification avant d'agir ou de relayer. | Attendre avant de partager une image sensible. | |
| Défense en profondeur | Superposition de protections indépendantes, de sorte que la défaillance de l'une ne suffise pas à compromettre le système. | Plusieurs barrières indépendantes. | Vérification hors canal, double validation, signalement. | Chaque barrière ajoute de la friction au travail. |
| Durcissement (hardening) | Réduction de la surface d'attaque d'un système : désactiver les services inutiles, fermer les accès superflus, appliquer des configurations sûres. | Réduction de la surface d'attaque. | Limiter ce que l'organisation publie sur ses équipes. | Trop durcir peut nuire à la transparence et à la confiance. |
| Moindre privilège | Principe qui n'accorde à chaque utilisateur, programme ou service que les droits strictement nécessaires à sa tâche. | Ne déléguer que ce qui est nécessaire, à une personne comme à un assistant. | Un assistant qui propose sans pouvoir valider. | |
| Patch | Correctif publié par un éditeur pour supprimer une vulnérabilité ou un défaut. | Correction ciblée d'une vulnérabilité : environnement, procédure, outil ou entraînement. | Règle de rappel sur un numéro connu. | Pas de mise à jour du cerveau : l'entraînement s'érode. |
| Détection, test et analyse | ||||
| Indicateur de compromission (IOC) | Trace technique qui signale une compromission possible : adresse IP, nom de domaine, empreinte de fichier, comportement anormal. | Signal observable d'une tentative de manipulation. | Demande de secret, changement de canal, urgence injustifiée. | Un indicateur isolé ne prouve rien. |
| Journalisation (logs) | Enregistrement horodaté des événements d'un système (connexions, actions, erreurs), qui permet de détecter une attaque et de reconstituer ce qui s'est passé. | Traçabilité des échanges et décisions sensibles. | Carnet des demandes de paiement exceptionnelles. | À encadrer pour respecter la vie privée. |
| Pentest / red team | Test d'intrusion autorisé (pentest) ou simulation complète d'un adversaire (red team), menés dans un périmètre convenu pour éprouver les défenses. | Simulation encadrée pour tester la défense. | Message fictif dans une organisation consentante. | Exige consentement, cadre éthique et débriefing. |
| Rétro-ingénierie | Analyse d'un programme ou d'un logiciel malveillant pour comprendre son fonctionnement sans disposer de son code source. | Analyser une campagne pour reconstituer son fonctionnement. | Étudier un cas public d'hameçonnage ciblé. | |
| Score de gravité (CVSS) | Note de 0 à 10 qui évalue la gravité d'une vulnérabilité selon des critères normalisés : exploitabilité, impact, portée (Common Vulnerability Scoring System). | Évaluer une faille par sa probabilité d'exploitation, son impact et la facilité de la corriger. | À construire pour les failles cognitives. | Exercice de priorisation, pas une mesure objective. |
Ce lexique est une aide de pensée, pas un modèle littéral du cerveau. Un biais est aussi une heuristique utile, et le cerveau ne se met pas à jour comme un logiciel : un patch cognitif change surtout le contexte ou la procédure, plus rarement l'individu.