Tour d’horizon de la recherche en cybersécurité avec Ludovic Mé (INRIA)

Chercheur chez INRIA et directeur du programme cybersécurité de l’agence de programmes du numérique (algorithmes, logiciels et usages), Ludovic Mé est depuis de longues années un des acteurs importants de la recherche en cybersécurité en France. À l’occasion des TransNumérique, première conférence inter-PEPR dédiée au continuum numérique, il nous livre sa vision des forces et des défis de la France dans ce domaine, et nous éclaire sur le rôle des campus cyber, notamment en Bretagne.

Pourquoi avoir créé les TransNumérique ?

L’initiative revient au PEPR (Programmes et équipements prioritaires de recherche) Cloud. Ce programme s’intéresse au cloud, un domaine qui concentre presque toutes les problématiques de l’informatique moderne. Les porteurs ont souhaité le traduire par la notion de continuum numérique : un ensemble qui va des capteurs et actionneurs en périphérie, ce qu’on appelle l’edge computing, jusqu’aux grands centres de données. Tout au long de ce continuum, on trouve des besoins en intelligence artificielle, en sécurité, en maîtrise de l’énergie, etc. Fort de cette vision fédératrice, le PEPR Cloud a proposé d’organiser cette conférence inter-PEPR pour mettre en lumière cette notion de continuum.

Quels étaient les objectifs de cette première édition ?

Quatorze PEPR étaient représentés, dont « Réseau du Futur », « IA » ou encore « Agroécologie et Numérique ». L’objectif central était de permettre aux chercheurs des différentes thématiques couvertes par ces PEPR de se croiser, d’échanger et de voir s’il y avait une matière commune à exploiter. De telles rencontres peuvent aussi permettre l’émergence de cas d’usage concrets, au-delà de l’identification de sujets scientifiques ou de briques technologiques d’intérêt commun.

L’organisation des TransNumérique mêlait des activités propres à certains PEPR et des sessions croisées entre plusieurs d’entre eux. Résultat : des chercheurs ont pu exprimer des besoins, tandis que d’autres ont compris qu’ils travaillaient précisément sur des sujets liés à ces besoins. Un exemple concret : un projet auquel je contribue, qui n’est pas spécifiquement orienté réseau, a découvert des travaux intéressants liés à ses propres problématiques mais menés dans un projet du PEPR « Réseau du Futur ». Ce type de connexion, c’est exactement ce que visait l’événement.

Quelles pistes pour l’avenir ?

Difficile de préciser ces pistes dès à présent, c’est peut-être encore un peu tôt, s’agissant d’une première édition. Il y a eu un effet « grand-messe » inévitable. Pour que des collaborations concrètes voient le jour, il faudra des séminaires plus ciblés, plus courts, plus précis. Ce qui est certain, c’est que des échanges ont eu lieu et que des coopérations peuvent en découler. L’avenir nous donnera des exemples concrets de telles coopérations.

Vous êtes directeur du programme « cybersécurité » de l’Agence de programmes dans le numérique porté par Inria : quel en est le périmètre ?

Ce qui distingue les agences, c’est leur vocation à financer une recherche dite « pilotée », en complément de la recherche poussée par la curiosité, incarnée par exemple par le « programme blanc » de l’ANR, où les chercheurs proposent librement des sujets. Dans le modèle des agences de programmes, c’est l’État qui oriente les priorités, potentiellement suite à des propositions des Agences et de leurs différents programmes, qui identifient des sujets stratégiques dans lesquels la nation devrait investir selon eux.

Sept agences de programme ont été créées en France, confiées à des organismes de recherche. Dans le numérique, deux agences existent : l’une confiée à Inria sur les aspects logiciels, l’autre au CEA sur les composants et le matériel. Chacune porte un programme cybersécurité : nous traitons côté INRIA la cybersécurité logicielle, tandis que le CEA couvre la cybersécurité matérielle. Ces deux programmes sont complémentaires et indissociables, car la cybersécurité forme un tout.

Au-delà du financement de travaux de recherche, l’ambition est aussi d’accélérer le passage de résultats de recherche vers l’innovation. Ce qu’on observe aux États-Unis et en Chine, c’est que les idées issues de la recherche transitent très rapidement vers le monde industriel, start-up, entreprises, services. En Europe, c’est plus long. Les agences, et tout particulièrement dans le domaine du numérique, ont pour mission de contribuer à réduire ce délai, tout en restant centrées sur leur cœur de métier : permettre de faire de la bonne recherche.

Quels sont les atouts de la France dans la recherche en cybersécurité ?

Deux domaines se distinguent clairement. Le premier, c’est la cryptographie. La France y brille de façon presque évidente : ses chercheurs sont systématiquement présents dans les consortiums internationaux qui répondent aux grands appels d’offres. L’exemple emblématique récent : les algorithmes retenus et normalisés par le NIST dans le cadre de la cryptographie post-quantique. Des équipes internationales, certes, mais avec une forte présence française et même rennaise : Pierre-Alain Fouque, par exemple, professeur à l’Université de Rennes, est co-auteur de l’un de ces algorithmes.

Le second domaine d’excellence, ce sont les méthodes formelles appliquées à la cybersécurité : comment prouver formellement des propriétés de sécurité dans des protocoles cryptographiques, pour l’authentification, le vote électronique, l’accès à distance sécurisé, etc. Il existe une école française dans ce domaine, avec des outils développés en France et des résultats de très haut niveau. Ce sont deux forces qu’il faut absolument préserver et nourrir.

Quels sont les défis à relever pour la France et l’Europe ?

Il faut d’abord distinguer deux notions souvent confondues : souveraineté et sécurité. Un système souverain n’est pas nécessairement sûr, et un système sûr n’est pas nécessairement souverain. Ces deux enjeux sont distincts, même s’ils se rejoignent sur le terrain.

Sur la souveraineté, le constat est préoccupant : nous sommes très largement dépendants de technologies étrangères. Ordinateurs, systèmes d’exploitation, infrastructures… Windows, macOS, Android représentent une très large part des OS utilisés. Qui maîtrise réellement le contenu de ces systèmes ? Et si demain une décision politique à Washington ou à Pékin coupait notre accès à certains services, quelle serait notre marge de manœuvre C’est un vrai enjeu stratégique.

En cybersécurité, le défi n’est pas nécessairement de devenir « champions du monde », même si c’est souhaitable économiquement, mais de disposer d’acteurs français et européens capables d’offrir des alternatives crédibles pour tous les outils de sécurité. En Bretagne notamment, il existe des entreprises qui font des choses très intéressantes. Mais sont-elles suffisamment importantes, suffisamment visibles ? Probablement pas encore. Gagner en indépendance, c’est aussi se donner la capacité d’intégrer dans nos systèmes des mécanismes de sécurité plus avancés et de devenir prescripteurs plutôt que suiveurs.

Comment percevez-vous le rôle des campus cyber ? Y a-t-il des spécificités en Bretagne ?

La notion de campus est encore récente, ce qui rend le bilan difficile à établir. Il faut garder en tête que les campus s’appuient souvent sur ce qui existait déjà : en Bretagne, il y avait un écosystème cybersécurité très solide bien avant la création du campus Bretagne Cyber Alliance. Il continue d’exister. Est-il plus fort aujourd’hui grâce au campus ? C’est peut-être encore trop tôt pour le dire, mais il semble évident que le campus ne peut que donner plus de la visibilité, et fédérer les acteurs via un objet commun autour duquel se rassembler.

Publié le 16 avril 2026