Un exercice à Zhurihe illustre la logique opérationnelle qui irrigue la doctrine de l’Armée populaire de libération (APL) : des batteries factices et des « figurants professionnels » ont amené une force adverse à tirer sur des fantômes et à révéler ses propres positions, montrant que la guerre de demain ne vise pas seulement les capteurs ou les hommes, mais les modèles qui interprètent leurs signaux. Cette dynamique ne relève pas de l’anecdote, puisqu’elle s’inscrit dans une conception intégrée de la lutte contre l’intelligence artificielle adverse, qui se déploie simultanément sur les données, les algorithmes et la puissance de calcul.

L’enjeu dépasse ainsi la seule guerre électronique. Les revêtements et leurres multispectraux trompent l’ISR, la pollution de données et les attaques adversariales retournent les modèles, tandis que la saturation électromagnétique épuise les ressources de calcul. Si les forces occidentales n’intègrent pas de manière systématique ces effets dans leur entraînement et dans l’entraînement de leurs modèles, une « deception gap » pourrait inverser des avantages technologiques apparents. Le défi consiste à durcir toute la chaîne de valeur de l’IA, généraliser le red‑teaming et adapter la formation ainsi que l’OPFOR pour restaurer la résilience opérationnelle.

La contre‑IA de l’Armée populaire de libération reconfigure le centre de gravité en visant données, algorithmes et calcul

La doctrine de « contre‑IA » de l’APL ne se présente pas comme un catalogue de techniques, puisqu’elle articule une triade cohérente visant simultanément les données, les algorithmes et la puissance de calcul. Cette approche, mise en avant par des publications militaires chinoises, place les pipelines adverses au cœur de la manœuvre, afin de les pousser à « chasser des fantômes » au lieu de confirmer et engager les véritables menaces. Dans un article de Defense One, cette architecture de combat est décrite comme visant à « briser l’intelligence » en frappant les trois maillons de manière synchronisée, plutôt qu’en isolant le capteur, l’opérateur ou la liaison.

Cette grille de lecture change la nature du centre de gravité. L’IA adverse devient un ensemble cible, avec un travail assigné pour frapper chaque partie de la chaîne. Les écrits insistent sur une logique algorithmique, en testant le processus de décision des modèles, en brouillant les signaux qui guident des essaims de drones, ou en manœuvrant de manière inattendue pour déstabiliser les régularités privilégiées par les systèmes d’apprentissage. L’objectif consiste à pousser l’IA à préférer des voies stériles, en la conduisant vers des impasses de charge de calcul où s’allongent latences et boucles OODA.

Cette ambition s’appuie aussi sur une boîte à outils soft‑kill explicitée dès 2024 par des chercheurs chinois, listant pollution de données, inversion, insertion de portes dérobées et attaques adversariales. La logique est assumée, puisqu’elle vise à manipuler le comportement des modèles, plutôt qu’à simplement détruire l’infrastructure. Côté occidental, l’intuition n’est pas nouvelle. Dès 2018, le site C4ISRNET consacrait un article à ce sujet, dans lequel le lieutenant‑général Edward Cardon posait la question d’une stratégie de contre‑IA, en soulignant qu’une IA peut être trompée par de minimes altérations visuelles.

Dans le même temps, l’effort chinois s’inscrit dans une trajectoire politique structurée. La reprise en main par le Parti communiste chinois des domaines clés, dont l’IA, l’espace et le quantique, vise une cohérence de moyens et d’effets pour gagner la compétition technologique et militaire. Cette « verticalisation » stratégique éclaire la détermination à traiter le « contre‑IA » comme un modèle intégré, et non comme un bricolage opportuniste, comme l’illustre la reprise en main de l’IA par le PCC (Parti Communiste Chinois). 

Leurres multispectraux et faux positifs industrialisés saturent l’ISR et couvrent les moyens réels

L’APL associe des revêtements, des émetteurs et des paillettes multibandes pour remodeler les signatures radar, infrarouge et visuelles des véhicules. L’objectif est simple, puisque l’IA de renseignement, surveillance et reconnaissance (ISR) se trouve alors incitée à classer un profil imité à la place de la plateforme réelle. Les solutions ne sont pas théoriques. Les descriptions disponibles montrent des systèmes capables d’aller jusqu’à simuler la vibration moteur pour mimer l’empreinte fine d’un autre engin, de sorte que les classifieurs assistés par IA confondent plateforme et leurre en toutes bandes.

Cette logique s’appuie sur un écosystème commercial déjà en action. Des entreprises chinoises diffusent des treillis, tenues, revêtements et leurres gonflables à l’échelle, en complément de générateurs de fumée, simulateurs de signature, réflecteurs radar et matériaux absorbants. La « contre‑données » ne passe donc pas uniquement par le numérique, puisqu’elle s’adosse à une offre industrielle capable de produire en volume de quoi saturer l’ISR adverse de faux positifs et de trajectoires trompeuses, tout en préservant les véritables moyens engagés.

Les exercices de l’APL intègrent d’ailleurs des « cibles réelles et fausses » pour contraindre opérateurs et modèles à apprendre à distinguer les signatures authentiques des leurres. La pratique crée une acculturation à la désignation ambiguë, dans laquelle humains et algorithmes doivent arbitrer sous pression. L’adversaire qui ne s’entraîne pas face à cette ambiguïté subit mécaniquement la dispersion de ses feux et la révélation involontaire de ses positions de tir.

Ainsi, un schéma mêlant habillage multispectral, leurres gonflables et signaux électromagnétiques factices peut suffire à créer des tirs amis sur des signatures fantômes. Les pipelines de ciblage automatisés se retrouvent, de fait, neutralisés, puisqu’ils dépensent leur capital décisionnel sur de fausses pistes. Les unités réelles, elles, conservent l’initiative, à l’abri d’un écran de pollution de données qui allonge les boucles adverses et les empêche de converger à temps. 

Empoisonnement des données et attaques adversariales plient les modèles sans détruire l’infrastructure

La littérature chinoise met en avant l’empoisonnement de données, l’insertion de portes dérobées et les exemples adversariaux comme méthodes opérationnelles pour dégrader des modèles. L’idée n’est pas de casser l’outil frontalement, mais d’en plier les habitudes, jusqu’à lui faire rejeter les signaux utiles ou confondre le signal et le bruit. Cette approche rejoint les inquiétudes juridiques et opérationnelles occidentales, puisque le Comité international de la Croix‑Rouge souligne que l’efficacité et la licéité des systèmes d’IA reposent d’abord sur la qualité et la traçabilité des données, ainsi que sur la préservation du jugement humain dans le cycle de ciblage.

Face à ces attaques, plusieurs briques existent côté occidental, sans que l’effort soit complet. Les programmes de l’Agence pour les projets de recherche avancée de défense (DARPA) sur la robustesse adversariale, et ceux de l’Agence de recherche avancée en renseignement (IARPA) sur la détection de backdoors, complètent les cadres d’évaluation et de gestion des risques du NIST. La logique qui se dessine consiste à instituer des campagnes permanentes de tests et d’évaluation, plutôt que des démonstrations ponctuelles, afin de « durcir » les modèles avant leur déploiement.

La vulnérabilité reste, toutefois, pragmatique et concrète, puisque de petits artifices visuels sur un véhicule, un uniforme ou une antenne peuvent suffire à tromper la classification d’un drone économique. Des variations millimétrées sur un motif, une texture ou une bande spectrale font dérailler une filière de perception qui, en laboratoire, paraissait robuste. La conséquence opérationnelle est directe, car les erreurs de classement se traduisent aussitôt par des erreurs de priorisation et de feux.

Il devient donc essentiel d’instrumenter la « résilience des modèles » dans les architectures, et de l’entraîner en continu. Les tests de robustesse aux attaques adversariales, la chasse aux backdoors et l’outil d’alerte sur les anomalies de données doivent converger. L’enjeu ne relève pas seulement du développement logiciel, puisqu’il exige de conserver une télémétrie explicite sur la santé des modèles en théâtre, et des mécanismes de repli sécurisés lorsque l’incertitude dépasse un seuil défini. 

La guerre électromagnétique tend un piège à calcul qui allonge la latence et brouille la priorisation

La doctrine distingue deux leviers contre la puissance de calcul. Le « hard‑kill » vise les centres de données, liaisons et nœuds par des moyens cinétiques ou cyber. Le « soft‑kill » s’appuie sur la guerre électromagnétique, en saturant l’environnement de bruit et de faux signaux, de sorte que l’IA adverse mobilise ses ressources limitées sur du clutter et des artefacts. Cette approche allonge mécaniquement la latence décisionnelle, tout en raréfiant la puissance disponible pour suivre et engager les cibles utiles.

Le marché chinois alimente ce besoin, en proposant des systèmes générant de faux signaux, des simulateurs radar, ainsi que des solutions de brouillage capables de composer des environnements complexes avec interférences multi‑cibles. L’objectif est de créer un espace électromagnétique confus où la boucle de décision adverse s’enlise. La défense souffre alors de l’impossibilité de prioriser, tandis que la détection alliée, calibrée, maintient une image plus claire de la situation.

La saturation du spectre agit comme un piège à calcul. Les chaînes adverses consomment du temps et des cycles sur des hypothèses inutiles, pendant que les pistes significatives se noient dans la masse. La perte ou l’altération des liaisons fragilise encore la télémétrie et la surveillance de santé des modèles déployés en périphérie. Des mécanismes de secours deviennent indispensables, avec des seuils d’alerte et des modes dégradés explicitement entraînés, afin d’éviter la défaillance silencieuse.

Dans cet environnement, la menace des essaims se combine naturellement à la déception électromagnétique. De fait, une prochaine génération de drones d’attaque dotés d’IA va créer une capacité de saturation et d’interdiction à bas coût, difficile à contrer sans défenses scalables. Cette convergence entre « leurres » et « masses » impose d’anticiper des scénarios où la supériorité de calcul apparente se retourne en vulnérabilité, lorsque l’adversaire parvient à forcer l’IA à traiter l’accessoire plutôt que l’essentiel. 

Former l’override et outiller l’OPFOR pour ériger la résilience des modèles tout en gardant l’humain aux commandes

La réponse ne peut être uniquement technologique. Les forces qui s’exposent à la « contre‑IA » doivent former leurs chefs à repérer quand la machine se trompe et à exercer l’override. La multiplication de scénarios de tromperie dans les simulations et de wargames homme‑machine oblige les opérateurs à repérer les conseils erronés et à les contester rapidement. L’humain‑dans‑la‑boucle reste le socle, mais il exige une culture de l’escalade contrôlée et des procédures de modes dégradés déjà éprouvées en entraînement.

Parallèlement, les armées doivent moderniser leurs Opposing Force (OPFOR, force adverse) en dotant l’ennemi d’exercice de kits de « contre‑IA » combinant reconnaissance assistée par IA et tromperie. C’est exactement l’esprit des initiatives américaines #BreakAI et #CounterAI, pensées pour instituer tests, vérification et défenses opérationnelles contre les attaques adversariales, comme le détaille Breaking Defense.

Il faut aussi préserver la philosophie du « Mission Command » sans la diluer dans la fascination pour l’algorithme. L’intégration efficace de l’IA dans le processus de décision militaire doit aider les chefs à moduler entre centralisation et décentralisation, afin d’optimiser la précision et la vitesse, sans chavirer dans le pilotage automatisé. Ce rappel méthodologique s’inscrit dans la réflexion de The Defense Horizon Journal, qui souligne l’importance de la compréhension et de l’attribution humaines des sorties pour éviter la dérive vers un « black‑box » sans responsabilité.

Dans le même esprit, les wargames chinois font appel à des IA capables de reproduire doctrines et biais décisionnels adverses, afin de confronter les officiers à des comportements crédibles et piégeux. Cette acculturation à la déception algorithmique nourrit la cohérence du « contre‑IA » en formation. Elle se double d’un rappel politique fort sur les limites à respecter : « En 2024, le lieutenant‑général He Lei a plaidé pour des limites strictes à l’emploi de l’IA en temps de guerre et a insisté pour que l’autorité sur les décisions de vie ou de mort demeure humaine. » Cette position accompagne l’orientation opérationnelle présentée dans une IA de wargame qui reproduit les biais des chefs adverses.

Enfin, l’obsession de l’efficacité algorithmique ne doit pas masquer les risques opérationnels d’une automatisation trop poussée. Les retours sur les équipages réduits et la robotisation à bord de frégates modernes invitent à la prudence, car le facteur humain demeure décisif pour la maintenance, l’endurance et la maîtrise des dégradés. Les débats sur la réduction d’équipage des frégates Type 32 l’illustrent. 

Une confiance non résiliente dans l’IA accroît les risques opérationnels, juridiques et d’escalade

L’usage d’IA dans le cycle de ciblage accroît les risques de mauvaise identification, de biais et d’hallucinations, avec des conséquences civiles potentiellement graves. Le « black‑box² », produit par l’empilement de données synthétiques et de modèles successifs, rend parfois impossible la traçabilité causale d’une recommandation. Cette opacité fragilise la conformité au droit des conflits armés, d’autant que la tentation d’accélérer le tempo via l’automatisation pousse au contournement du jugement humain, pourtant indispensable au principe de précautions et à l’évaluation de la proportionnalité.

La dynamique de « deception gap » ajoute un risque stratégique. Si les armées occidentales ne maîtrisent pas les outils émergents de « contre‑IA », un adversaire capable d’induire l’erreur dans leurs modèles pourrait inverser un avantage technologique apparent. La supériorité perçue en matière d’IA se transforme alors en vulnérabilité calculatoire, dès lors que l’adversaire impose ses leurres multispectraux, sa pollution de données et sa guerre électromagnétique.

La menace ne se limite pas au champ cinétique. Les opérations adversariales contre les systèmes d’IA s’étendent à l’ensemble des secteurs critiques. La course entre défense et attaque, où l’assaillant n’a besoin que d’une seule faille pendant que le défenseur doit envisager toutes les attaques possibles, impose une montée en gamme des défenses. The Cipher Brief met en avant l’importance décisive du « contre‑IA » comme bataille invisible, mais structurante, pour la sécurité nationale, dans cet article.

L’argument opérationnel recoupe d’ailleurs un constat stratégique plus large. Une confiance non résiliente dans l’IA peut augmenter les risques d’escalade, notamment lorsque l’emploi massif de drones et de systèmes autonomes réduit les freins politiques et accroît la prise de risque. Une analyse des effets de la généralisation des drones et de l’IA sur l’escalade illustre combien l’illusion de maîtrise algorithmique peut raccourcir les fenêtres de désescalade. 

Durcir les pipelines, tester en continu et standardiser l’effort industriel pour une défense crédible

La première ligne d’action consiste à durcir les pipelines et les modèles. Protéger la provenance des données, instrumenter une télémétrie de santé des modèles, détecter les anomalies, et préserver des mécanismes de repli sûrs en exploitation doivent devenir des exigences opérationnelles. Ces mesures s’appliquent du laboratoire au théâtre, avec des seuils de confiance définis pour basculer en mode dégradé, et des journaux d’audit exploitables pour reconstituer et corriger plus vite les défaillances.

La seconde ligne d’action relève du test et de l’évaluation continus. Les campagnes de red‑teaming doivent devenir la norme, en mobilisant les briques existantes de robustesse adversariale, de détection de portes dérobées et d’évaluation des risques. L’idée est d’anticiper l’ennemi et ses « attaques adversariales », plutôt que de courir derrière, en intégrant ces essais à la cadence de mise à jour des modèles comme à l’entraînement opérationnel. Le « testing » n’est plus un jalon, mais un flux.

La troisième ligne d’action concerne l’entraînement. Équiper l’OPFOR avec des kits de « contre‑IA » – leurres multispectraux, scénarios d’empoisonnement de données, pollution de capteurs – généralise le réalisme adversarial. Dans le même mouvement, il faut encourager l’émergence de standards partagés entre alliés et une montée en puissance industrielle qui produise à la fois défenses logicielles et équipements de leurre à coût acceptable. L’essor de solutions performantes et économiques dans la défense offre des pistes concrètes pour répondre au défi de la masse et du coût, tels qu’exposés par cet article.

La dernière ligne d’action consiste à rapprocher doctrine et instrumentation. Des exemples concrets montrent qu’une IA bien calibrée peut tamiser et fusionner des flux massifs de données pour accroître la pertinence des détections, tout en préservant le passif et la traçabilité. L’important est d’inscrire ces capacités dans une architecture contrôlable par les opérateurs et les chefs, et non l’inverse. La démarche engagée pour tamiser et fusionner des flux massifs de données acoustiques au profit des « oreilles d’or » offre un cadre utile pour instrumenter la santé des modèles et les audits, en temps réel comme en différé. 

Conclusion

On le voit, la « contre‑IA » chinoise déplace le centre de gravité tactique vers la contestation active des systèmes d’IA adverses. Les leurres physiques multispectraux, la pollution de données, les manipulations algorithmiques et la saturation des ressources de calcul convergent pour provoquer des erreurs, allonger la latence décisionnelle et retourner des avantages technologiques apparents. Dans cette équation, l’IA adverse n’est plus un atout à craindre, mais une cible à traiter, tout au long de sa chaîne de valeur.

On comprend de ce qui précède que l’outillage occidental existe déjà en partie pour riposter, des cadres de robustesse adversariale aux campagnes de tests et d’évaluation. Dans le même temps, la réponse n’aboutira qu’avec une mise à l’échelle industrielle, un partage de normes entre alliés, et une transformation de l’entraînement incluant une OPFOR dotée de kits de « contre‑IA ». La maîtrise de la résilience des modèles, de la provenance des données et des modes dégradés décidera, enfin, du tempo. Sans cette adaptation, la « deception gap » risque de transformer l’avance algorithmique en vulnérabilité stratégique, à l’heure où la guerre électromagnétique, les leurres multispectraux et les attaques adversariales deviennent des standards du champ de bataille.