En bref

  • Stefan Savage est Irwin and Joan Jacobs Professor à UC San Diego et chercheur en sécurité empirique des systèmes. Ses travaux couvrent la mesure des attaques réseau, l’économie de la cybercriminalité, les systèmes cloud, les véhicules et d’autres infrastructures connectées.
  • Ses premiers travaux sur le marquage probabiliste des paquets et le backscatter ont fait du déni de service un problème systémique mesurable. Ils ont maintenu explicites les hypothèses relatives au déploiement, à l’usurpation d’adresse et au point d’observation, au lieu de présenter une méthode comme une visibilité universelle sur toutes les attaques.
  • Des recherches ultérieures ont suivi le spam et les marchés de médicaments contrefaits à travers les domaines, les affiliés, l’exécution des commandes et les relations de paiement. Elles ont montré que des abus distribués peuvent dépendre de points de concentration commerciaux, dont l’efficacité doit être vérifiée après toute intervention.
  • Les travaux sur la sécurité automobile, menés par de grandes équipes, ont relié des compromissions expérimentales à l’architecture des véhicules, à la divulgation, à la gouvernance des mises à jour et à la sécurité publique. Les preuves concernent les systèmes effectivement testés et ne doivent pas être réduites à un récit unique de « piratage automobile ».
  • L’influence durable de Savage tient moins à une invention unique qu’à une méthode: isoler un mécanisme, construire un système mesurable, préserver l’incertitude, trouver l’institution disposant d’un levier réel et vérifier si l’intervention modifie l’économie de l’attaquant ou le comportement du système.

Le paquet n’a jamais constitué toute l’attaque

Le fait le plus utile au sujet d’une attaque ne se trouve souvent pas dans le paquet reçu, mais dans le système qui a rendu ce paquet économiquement utile. Une campagne DDoS dépend de machines, de l’usurpation des adresses source, des chemins réseau et de la réaction de la victime. Une activité de spam dépend d’affiliés, de domaines, de l’hébergement, de l’exécution des commandes, des prestataires de paiement et des clients. L’exploitation à distance d’un véhicule dépend de l’architecture reliant les composants accessibles depuis l’extérieur aux réseaux et dispositifs importants pour la sécurité.

Tout au long de la carrière de Savage, ces chaînes sont régulièrement passées du statut de contexte à celui d’objets de mesure.

Cette approche importe parce qu’un incident de sécurité peut facilement être décrit au mauvais niveau. Un flux de paquets paraît être un problème purement réseau jusqu’à ce que le défenseur demande quelles machines le produisent, quelles adresses source peuvent être usurpées, quels réseaux il traverse et quel service d’atténuation dispose d’une visibilité suffisante pour répondre. Le spam semble être un problème de contenu tant que l’activité n’est pas décomposée en acquisition, hébergement, exécution et paiement.

L’exploitation d’un véhicule ressemble à un simple bug logiciel jusqu’à ce que le chemin d’attaque traverse la radio, l’unité centrale multimédia, les bus internes, les unités de commande, les services cloud et les processus de mise à jour logicielle.

Les travaux de Savage ne sont pas unifiés par un protocole ou un produit. Ils le sont par une question empirique: que peut-on observer assez précisément pour remplacer l’intuition par une preuve limitée, mais vérifiable? Les premiers travaux sur le marquage probabiliste des paquets demandaient si une victime pouvait reconstruire le chemin d’un trafic usurpé sans imposer la conservation de chaque paquet sur chaque routeur. Les recherches sur le backscatter utilisaient les réponses envoyées vers de fausses adresses source afin d’évaluer le déni de service au moyen d’un télescope réseau.

Des études ultérieures ont suivi les dépendances commerciales du spam et des marchés de médicaments illicites. Les recherches automobiles ont cartographié les frontières de confiance dans des systèmes physiques connectés. Les travaux sur le cloud ont testé les hypothèses relatives aux infrastructures partagées au lieu de tenir pour acquise l’isolation promise par le fournisseur.

Le mot essentiel est ici « limitée ». Aucun de ces outils ne voit tout. Le marquage des paquets dépend du déploiement et de la nature du trafic d’attaque. Le backscatter détecte les attaques qui produisent la catégorie de réponses recherchée. Les études des chaînes de paiement dépendent des transactions observables et de la résolution des entités. Les expériences automobiles portent sur des modèles, des versions logicielles et des chaînes d’attaque précis.

Un résultat empirique solide ne supprime pas ces limites; il les rend assez claires pour qu’un autre chercheur, opérateur, établissement bancaire, constructeur ou responsable public puisse décider si la preuve suffit à justifier une action donnée.

Savage a rejoint UC San Diego en 2001 et occupe aujourd’hui le poste d’Irwin and Joan Jacobs Professor au sein du département Computer Science and Engineering. Il a obtenu en 1991 un bachelor’s degree en Applied History à Carnegie Mellon University, puis achevé en 2002 un doctorat en informatique à University of Washington. Sa carrière comprend l’ACM Prize in Computing reçu en 2015, une MacArthur Fellowship en 2017 et son élection à la National Academy of Engineering en 2023. UC San Diego indiquait en 2023 que sa bibliographie dépassait 150 publications évaluées par les pairs.

Ces distinctions témoignent d’une reconnaissance, mais ne remplacent pas une attribution précise. Les grands systèmes et études associés à Savage comptent des coauteurs, des étudiants, du personnel de recherche et des institutions partenaires.Practical Network Support for IP Tracebacka été écrit avec David Wetherall, Anna Karlin et Tom Anderson. Les travaux sur le backscatter ont notamment impliqué David Moore et Geoffrey Voelker. Le programme consacré à l’économie de la cybercriminalité a fait intervenir Kirill Levchenko, Damon McCoy et des équipes plus larges. Les études de sécurité automobile ont associé Tadayoshi Kohno, Stephen Checkoway et de nombreux coauteurs. Un profil exact ne raconte donc pas l’histoire d’un inventeur solitaire, mais celle d’un chercheur et bâtisseur d’environnement scientifique qui a contribué à rendre les affirmations de sécurité vérifiables par des données, tout en revenant constamment sur les limites de ces données.

Le traçage est parti des contraintes de déploiement, non d’une promesse d’attribution parfaite

L’article de 2000Practical Network Support for IP Traceback, écrit avec Wetherall, Karlin et Anderson, répondait à une faiblesse structurelle de la défense contre le déni de service. Les attaquants pouvaient usurper les adresses source, laissant à la victime des paquets qui révélaient difficilement leur véritable parcours. Conserver l’historique complet de chaque paquet sur chaque routeur était irréaliste, tandis qu’un système mondial de journalisation aurait créé ses propres problèmes de stockage, de confidentialité et de déploiement.

La réponse proposée était le marquage probabiliste des paquets. Un routeur inscrirait parfois dans les paquets en transit des fragments d’information sur leur chemin. Après avoir reçu un volume suffisant de trafic d’attaque, la victime pourrait combiner ces fragments et reconstruire les itinéraires probables. La conception cherchait à produire des preuves sans obliger chaque routeur à mémoriser chaque paquet ni supposer l’existence d’un service mondial unique de traçage placé sous une administration centralisée.

L’importance du travail tenait à la fois à son caractère pratique et à l’explicitation de ses hypothèses. La reconstruction dépendait du volume de paquets, du comportement du marquage, de la stabilité du chemin et de la nature du trafic d’attaque. La fragmentation et les modes d’usurpation influençaient ce que la victime pouvait reconstruire. Le mécanisme exigeait également des modifications et un déploiement sur les routeurs, qu’un article pouvait proposer sans pouvoir les imposer à l’ensemble de l’Internet public.

Même un itinéraire reconstitué désigne une infrastructure située sur le chemin; il ne prouve pas l’identité juridique de la personne ou de l’organisation responsable de l’attaque.

Cette frontière se perd facilement lorsque le terme « traçage » devient synonyme d’« attribution ». Une preuve réseau peut resserrer une enquête, repérer des points d’entrée probables, aider les opérateurs à se coordonner et indiquer quels fournisseurs sont en mesure d’agir. À elle seule, elle n’établit ni l’intention, ni la propriété, ni la culpabilité. Le travail de 2000 se comprend plus exactement comme une tentative de rendre progressivement explicable un événement opaque, et non comme un mécanisme universel ayant résolu l’attribution de la source.

Cette distinction annonce la logique ultérieure de Savage. Un problème de sécurité ne peut pas toujours être résolu par un système théoriquement complet que le monde entier devrait déployer simultanément. Une approche plus facile à déployer recherche les preuves que l’infrastructure existante ou progressivement modifiable peut déjà révéler. Un tel outil peut être incomplet, mais son incomplétude peut être analysée et ses résultats associés à d’autres connaissances institutionnelles.

Le traçage appartient aussi à l’histoire des infrastructures parce qu’il a posé la question de l’emplacement de la responsabilité de la mesure. Les routeurs pouvaient ajouter des données. Les victimes pouvaient reconstruire les chemins. Les opérateurs pouvaient les interpréter. D’autres institutions devaient encore déterminer quelle réponse était légitime. L’article ne fusionnait pas ces rôles dans un système unique, et cette séparation reste utile lorsque les contrôles de sécurité traversent des réseaux administrés indépendamment.

Le backscatter a transformé l’espace d’adressage inutilisé en observatoire

Un déni de service utilisant de fausses adresses source provoque l’envoi de réponses vers des adresses qui n’ont pas émis la requête initiale. Si certaines adresses usurpées appartiennent à un grand bloc inutilisé observé par un télescope réseau, les réponses non sollicitées deviennent un échantillon de l’activité d’attaque. Les travaux de Savage sur le backscatter, avec Moore, Voelker et d’autres chercheurs, ont exploité cet effet secondaire pour estimer la fréquence des attaques, leur durée et les types de victimes.

La méthode était puissante parce qu’elle ne nécessitait la coopération ni de l’attaquant ni de la victime. L’instrument observait le trafic arrivant dans un espace d’adresses inactif et en déduisait des événements survenus ailleurs dans le réseau. Une infrastructure apparemment inutilisée devenait un capteur. Au lieu de recueillir uniquement les rapports d’incident d’organisations prêtes à révéler une attaque, les chercheurs pouvaient observer un phénomène distribué depuis un point de vue indépendant.

Il ne s’agissait pas d’un recensement complet. La méthode distinguait mieux les attaques reposant sur une usurpation suffisamment aléatoire et provoquant chez la victime des réponses susceptibles d’atteindre le télescope. Les botnets sans usurpation, d’autres modes de réflexion, le trafic filtré en amont et les attaques visant des services qui ne produisaient pas les réponses attendues pouvaient être sous-représentés ou invisibles. Le routage vers le télescope ainsi que la taille et l’emplacement du bloc observé influençaient également l’estimation.

La mesure était solide précisément pour cette raison: non parce qu’elle était dépourvue de biais, mais parce que celui-ci pouvait être nommé et étudié. L’instrument définissait la population qu’il était capable de voir. Au sein de cette population, il devenait possible de comparer la durée, les catégories de victimes et l’intensité sans présenter l’échantillon comme l’ensemble des attaques DDoS sur Internet.

Les pratiques des attaquants modifient aussi la relation entre l’instrument et la population. Les botnets modernes peuvent envoyer du trafic avec de véritables adresses source, utiliser des réflecteurs ou des protocoles produisant d’autres effets secondaires. Une méthode fondée sur les pratiques d’usurpation d’une époque doit être revalidée, plutôt que répétée comme un recensement permanent. Un adversaire peut modifier le processus même d’observation en changeant simplement son mécanisme d’attaque.

Les télescopes réseau restent importants parce que le trafic non sollicité révèle également des scans, des vers, des erreurs de configuration et d’autres comportements réseau. Leur valeur à long terme dépend d’un routage stable, d’une gestion soigneuse des données et de séries chronologiques assez longues pour distinguer les changements structurels du bruit à court terme. Lorsque des opérateurs ou des responsables publics s’appuient sur ces observations, le télescope devient lui-même une infrastructure de mesure soumise à des exigences d’accès, de confidentialité, de gouvernance et de continuité.

Le programme sur le backscatter a aussi rendu explicite un autre thème constant chez Savage: la visibilité est produite par des points d’observation, chacun soumis à une politique institutionnelle. Qui contrôle l’espace d’adressage? Qui accède aux données de paquets? Quels identifiants sont conservés? Quelles victimes sont informées? Que se passe-t-il lors d’une demande des forces de l’ordre? Un instrument techniquement élégant peut créer un pouvoir institutionnel, car il détermine quels événements deviennent assez visibles pour justifier une action.

Les vers ont fait du temps une composante de la frontière de sécurité

Les recherches sur les vers ont étendu la même logique empirique des attaques individuelles à leur propagation. Un ver n’est pas seulement un code malveillant, mais un processus qui se déplace au sein d’une population de machines vulnérables sous les contraintes de la stratégie de scan, de l’espace d’adressage, de la distribution des logiciels et de la vitesse de défense. Modéliser ce processus fait de la rapidité de réaction une composante de l’architecture de sécurité.

La valeur pratique est ici comparative. Les défenseurs peuvent étudier comment l’application de correctifs, le filtrage, la limitation de débit, le blocage d’adresses ou une réponse coordonnée modifient la propagation. Un modèle ne connaît pas exactement la population vulnérable et ne prédit pas toutes les adaptations de l’attaquant. Il fournit un cadre permettant de tester la sensibilité du résultat aux inconnues et la vitesse à laquelle un mécanisme de défense doit agir avant que la population ne soit irréversiblement transformée.

Ce domaine a contribué à faire du temps une variable systémique de la sécurité. Une vulnérabilité peut être connue alors que le parc n’est toujours pas corrigé. Une attaque automatisée peut progresser plus vite que les procédures ordinaires de gestion des changements. Le problème défensif ne consiste pas seulement à découvrir une faille, mais à réduire l’intervalle entre sa divulgation, la disponibilité du correctif, ses tests et son déploiement, sans provoquer une nouvelle interruption.

Le même arbitrage apparaît aujourd’hui dans les images cloud, les parcs de systèmes d’exploitation, les chaînes d’approvisionnement logicielles, les équipements réseau, les véhicules connectés et les appareils administrés. Une correction plus rapide réduit la fenêtre d’exposition, mais augmente le risque opérationnel d’un changement précipité. Une validation plus lente protège la stabilité du service, mais laisse la vulnérabilité ouverte plus longtemps. Une organisation doit rendre cet intervalle explicite au lieu de considérer « correctif disponible » et « risque supprimé » comme un seul événement.

Les recherches plus larges de Savage sur la disponibilité renforcent cette conclusion: les mécanismes techniques fonctionnent au sein d’institutions. Une méthode de confinement efficace en expérimentation peut échouer lorsque les opérateurs disposent d’un inventaire incomplet, de logiciels incompatibles, d’incitations asymétriques ou d’aucune autorité sur les systèmes produisant le trafic. La sécurité devient autant un problème de planification et de coordination qu’un problème de code.

Les travaux historiques sur les vers restent donc pertinents malgré l’évolution des logiciels malveillants et des conditions réseau. La question durable est la suivante: à quelle vitesse l’adversaire peut-il exploiter la structure d’une population, par rapport à la capacité des défenseurs à observer, décider et déployer? La réponse dépend des outils, de la propriété, de la communication et de la tolérance au risque, pas seulement de l’exploitation technique.

L’économie de la cybercriminalité a suivi l’argent à travers une infrastructure distribuée

Les études sur le spam et les médicaments contrefaits ont changé l’unité même d’analyse. Compter les messages indésirables pouvait en estimer le volume, mais n’expliquait pas pourquoi l’activité persistait. Savage et ses collègues ont relié les domaines, les affiliés, l’hébergement, l’exécution des commandes et les relations de paiement afin de reconstruire certaines parties de la chaîne de valeur. L’infrastructure technique visible était fortement distribuée, tandis que les dépendances commerciales pouvaient être bien plus concentrées.

Cette concentration créait un autre type de point d’intervention. La suppression d’un serveur compromis ou d’un domaine pouvait coûter peu à l’attaquant. La perte d’une banque acquéreuse, d’une relation de traitement des cartes ou d’un canal durable d’exécution pouvait être beaucoup plus coûteuse. Ces recherches ont contribué à montrer pourquoi une politique de sécurité est parfois plus efficace lorsqu’elle vise l’économie du système plutôt que son artefact technique le plus visible.

Cette conclusion peut facilement être exagérée. La résolution des entités entre domaines, commerçants et registres de paiement reste incertaine. Les achats tests ne montrent que les transactions observables. Des sociétés peuvent utiliser une infrastructure commune sans constituer une organisation unique. Une relation de paiement peut changer rapidement. Certains marchés dépendent d’intermédiaires que le jeu de données ne voit pas. L’éthique de la recherche et les contraintes juridiques limitent la collecte.

La conclusion défendable est donc plus étroite: sur les marchés mesurés, des abus distribués dépendaient de relations commerciales assez concentrées pour être cartographiées et potentiellement influencées. Cette formulation est plus forte et plus précise que l’affirmation selon laquelle toute l’économie de la cybercriminalité posséderait un seul point de concentration des paiements. La question empirique suivante apparaît immédiatement: que se passe-t-il après une intervention sur ce point?

La méthode de Savage passe alors d’une cartographie descriptive à une recherche sur l’intervention. Une étude de sécurité peut découvrir une dépendance, mais celle-ci n’a d’importance que si sa modification change le coût ou le comportement de l’adversaire. Après l’action d’une banque, d’un prestataire de paiement, d’un hébergeur ou d’un bureau d’enregistrement, les chercheurs doivent mesurer la substitution, la durée, le déplacement et les conséquences involontaires. Sans cela, une baisse temporaire peut facilement être prise pour un succès durable.

Ce déplacement redistribue également les responsabilités. Les défenseurs réseau peuvent voir le trafic malveillant sans disposer d’un levier sur le modèle économique. Les banques et réseaux de cartes peuvent agir sur le règlement, mais ont besoin de preuves au niveau du commerçant compatibles avec leur autorité juridique. Les régulateurs et les forces de l’ordre peuvent intervenir par des moyens indisponibles aux chercheurs. La recherche devient particulièrement utile lorsqu’elle construit un pont probatoire entre un mécanisme mesuré et l’institution réellement capable de modifier le système.

Un point de concentration des paiements ne compte que si son remplacement est coûteux

Le terme « point de concentration » paraît plus stable que ne le permettent généralement les preuves. En pratique, il s’agit d’une dépendance assez rare, coûteuse ou lente à remplacer pour qu’une intervention modifie réellement l’économie opérationnelle de l’attaquant. Si un commerçant illégal perd une banque et ouvre le même jour un autre compte sans difficulté notable, l’intervention n’a pas supprimé une dépendance structurelle. Elle n’a fait que modifier l’itinéraire commercial.

C’est pourquoi les mesures avant et après intervention sont essentielles. Les chercheurs peuvent examiner la réussite des transactions, les ventes observables, la rotation des domaines, les prix, le volume des campagnes ou la migration vers d’autres intermédiaires. Une baisse sur un canal peut traduire une diminution de la demande, une perturbation réussie, un déplacement vers un autre prestataire ou une lacune de mesure créée par l’intervention elle-même. L’inférence causale se complique précisément parce que l’intervention transforme le système observé.

Les moyens de paiement alternatifs modifient encore la carte. Les cryptomonnaies, les portefeuilles numériques avec intermédiaires, les systèmes de paiement fondés sur des comptes et les nouveaux canaux de règlement peuvent réduire certaines dépendances envers les banques acquéreuses classiques, tout en créant de nouvelles dépendances autour des plateformes d’échange, des sorties vers la monnaie traditionnelle, des systèmes d’identité et de la liquidité. Un ancien point de concentration peut disparaître; le système devient rarement exempt de toute dépendance.

Cette question est particulièrement importante pour les politiques publiques en raison des effets collatéraux. Un prestataire de paiement, un hébergeur ou un fournisseur de domaines peut servir des utilisateurs légitimes en même temps que des acteurs abusifs. Un blocage réseau peut toucher un trafic sans rapport avec la cible. L’identité d’un commerçant peut être incertaine. L’acteur disposant du levier opérationnel a donc besoin de preuves proportionnées à la réversibilité et à la gravité de l’action.

Une surveillance temporaire, une limitation de débit ou une vérification supplémentaire peuvent être justifiées avec un seuil de confiance plus faible qu’une accusation publique, une fermeture irréversible de compte ou une sanction juridique. Ce n’est pas une faiblesse de la sécurité empirique, mais la reconnaissance du fait que la mesure et la gouvernance doivent être cohérentes. Un résultat limité peut justifier une réponse limitée pendant que d’autres mesures déterminent si une escalade est fondée.

La contribution la plus profonde des recherches sur l’économie de la cybercriminalité n’est pas l’idée que les banques pourraient « résoudre le spam ». Elle consiste à repenser les marchés criminels comme des systèmes composés de dépendances mesurables et de composants remplaçables. La politique de sécurité devient une question d’élasticité: quel prix les défenseurs peuvent-ils imposer à un point de dépendance avant que l’adversaire ne se déplace, et quel est le coût de cette transition?

La sécurité automobile a fait de l’architecture logicielle une question de sécurité publique

Le programme de sécurité automobile mené avec Tadayoshi Kohno, Stephen Checkoway, Karl Koscher et de nombreux autres chercheurs a attiré l’attention par le caractère concret de ses démonstrations. Les véhicules modernes contenaient des réseaux internes, des unités de commande électronique et des interfaces externes dont les hypothèses de confiance s’étaient développées dans des domaines d’ingénierie distincts. Les recherches ont montré qu’une compromission pouvait franchir ces frontières et atteindre des fonctions très éloignées du système de divertissement.

Réduire ces travaux à un épisode de « piratage automobile » masque leur contribution systémique. Le programme a cartographié l’architecture, démontré des chemins d’attaque, coordonné la divulgation et poussé le secteur à discuter plus largement de la sécurité du cycle de vie de véhicules restant sur les routes pendant des années. Il a relié les mises à jour logicielles, le diagnostic, l’accès sans fil, les frontières entre fournisseurs et les conséquences pour la sécurité.

Les expériences portaient sur des véhicules, composants, versions logicielles et conditions de test précis. Elles ne prouvaient pas que chaque modèle possédait le même chemin d’attaque ni que les chercheurs pouvaient contrôler à distance n’importe quel véhicule. La réponse du secteur a impliqué des constructeurs, des fournisseurs, des régulateurs, des chercheurs ultérieurs et des équipes internes de sécurité. L’attribution collective importe parce que la vulnérabilité relevait de l’écosystème, non d’une seule ligne de code.

Sur le plan opérationnel, la connectivité transforme le véhicule en composant d’une infrastructure numérique. Les interfaces sans fil, les services cloud, la télématique, les réseaux mobiles, le diagnostic, les systèmes de mise à jour et les bus internes forment une chaîne. Une exploitation peut passer d’un logiciel destiné au consommateur à des fonctions importantes pour la sécurité si les frontières de confiance sont faibles. La correction peut exiger non seulement un correctif, mais aussi des changements de segmentation, de gouvernance des mises à jour, de contrats fournisseurs, de surveillance et de procédures de rappel.

Cela modifie aussi l’économie du cycle de vie logiciel. Les véhicules peuvent rester en service bien plus longtemps que les logiciels grand public ordinaires. Le remplacement du matériel est coûteux. Les propriétaires n’installent pas toujours rapidement les mises à jour. Les fournisseurs maintiennent leurs composants selon des calendriers différents. Une vulnérabilité peut donc persister dans un parc même après la préparation d’une correction technique par le constructeur.

La divulgation responsable est par conséquent indissociable du résultat d’ingénierie. Une publication trop précoce peut exposer les propriétaires avant que la remédiation n’atteigne le parc. Un délai trop long maintient une menace grave dans l’ombre. Chercheurs et constructeurs doivent convenir d’un délai et d’un niveau de détail permettant une réponse pratique tout en préservant la valeur publique du résultat. Cette tension ne peut être réglée par une règle universelle, car la gravité, l’exploitabilité et la capacité de mise à jour diffèrent.

Le programme automobile annonçait une évolution cyberphysique plus large. Les systèmes médicaux, industriels et aéronautiques connectés rencontrent des questions comparables: la connectivité externe croise des processus physiques, le logiciel vit plus longtemps qu’un service web, les fournisseurs partagent les responsabilités et les conséquences pour la sécurité limitent la tolérance à l’expérimentation.

La participation continue de Savage aux recherches sur la sécurité des véhicules en 2026 montre la pertinence actuelle de ce domaine, mais toute affirmation sur les systèmes contemporains doit rester liée à des plateformes et projets documentés.

Les canaux auxiliaires du cloud ont testé les hypothèses relatives aux infrastructures partagées

Le cloud crée un autre type de frontière de sécurité. Les clients partagent du matériel, des réseaux et des systèmes de contrôle en attendant une isolation assez forte pour empêcher un locataire d’obtenir des informations sur un autre ou de l’influencer. Le fournisseur peut décrire son modèle d’isolation; la sécurité empirique demande si le comportement observable le confirme.

Les travaux de Savage sur le cloud et les canaux auxiliaires appartiennent à cette tradition: tester les hypothèses relatives aux infrastructures partagées au lieu de tenir les promesses architecturales pour acquises. Les signaux de colocalisation, le comportement du placement ou les fuites matérielles peuvent faire de la séparation formelle entre locataires une question empirique. Les mécanismes précis évoluent avec les ordonnanceurs, les processeurs, les couches de virtualisation et les mesures d’atténuation des fournisseurs.

Cette évolution rapide impose une prudence historique particulière. Un canal auxiliaire démontré sur une génération de cloud peut être atténué ou devenir sans objet dans une nouvelle architecture. Inversement, un nouvel accélérateur, un sous-système mémoire ou une politique de placement peut créer une autre voie de fuite. La contribution durable réside dans la méthode consistant à tester l’isolation dans l’environnement où elle est revendiquée, et non à extrapoler indéfiniment une seule expérience.

Les travaux sur le cloud ramènent également les recherches de Savage à l’économie des infrastructures. Les systèmes partagés sont précieux parce que le multiplexage améliore l’utilisation et réduit le coût du calcul. Les mécanismes d’isolation rendent ce partage acceptable. Si la frontière de sécurité s’affaiblit, l’avantage économique peut être réduit par la demande des clients pour des ressources dédiées, des contrôles supplémentaires ou des environnements séparés.

Le défi de mesure concerne de nouveau la visibilité. Un locataire ne voit qu’une partie de l’ordonnanceur et du matériel. Le fournisseur dispose d’une télémétrie opérationnelle plus riche, mais peut ne pas la rendre publique. Les chercheurs peuvent être contraints de déduire indirectement le placement ou les fuites. Un résultat peut donc être techniquement correct tout en ayant une signification incertaine pour l’ensemble de la population si la part de l’infrastructure concernée reste inconnue.

On retrouve ici un schéma familier des travaux de Savage: l’instrument produit une vue limitée, et l’interprétation doit rester à l’intérieur de cette frontière. Un mécanisme démontré constitue une preuve solide qu’une hypothèse peut échouer dans les conditions indiquées. Il ne s’agit pas d’un recensement de tous les fournisseurs, régions ou générations de matériel. La question suivante est de savoir si le fournisseur peut détecter, atténuer et vérifier le problème à l’échelle de son parc.

La mesure modifie la politique de désignation des acteurs appelés à agir

La mesure fait davantage que décrire une menace. Elle peut rediriger l’attention et la responsabilité. Lorsque le déni de service est évalué par backscatter, les opérateurs réseau et les prestataires d’atténuation obtiennent des preuves sur l’ampleur des attaques. Lorsque les campagnes de spam sont cartographiées par les relations de paiement, les banques et réseaux de cartes deviennent des acteurs de la sécurité.

Lorsque les interfaces automobiles révèlent le franchissement de frontières liées à la sécurité, les constructeurs, les fournisseurs et les régulateurs font face à un problème qui ne peut plus être laissé à une équipe informatique ordinaire.

Cette redistribution des responsabilités explique en partie pourquoi les travaux empiriques ont des conséquences politiques. Les communautés techniques se concentrent souvent sur l’acteur le plus proche du paquet ou du code vulnérable. Une carte du système peut montrer qu’un autre acteur dispose d’un levier bien plus important. Cette conclusion est inconfortable, car l’intermédiaire n’a pas créé l’abus et peut servir de nombreux clients légitimes. L’intervention transfère non seulement le risque, mais aussi le coût.

L’acteur appelé à intervenir a besoin de preuves adaptées à ses pouvoirs. Un opérateur réseau peut demander des préfixes, des chemins et des signatures de trafic. Une banque a besoin de preuves relatives aux commerçants et aux transactions. Un constructeur doit disposer d’une vulnérabilité reproductible et de l’architecture concernée. Un régulateur a besoin d’un dossier justifiant une action proportionnée. Une recherche qui découvre un point de concentration sans construire de pont probatoire vers l’institution responsable peut produire un titre médiatique sans intervention pratique.

Les travaux de Savage ont souvent construit ce pont, même si les résultats différaient selon les domaines. Certains mécanismes ont changé la manière dont un champ entier mesurait un problème. D’autres ont influencé la divulgation ou les pratiques sectorielles. D’autres encore ont révélé des points d’intervention dont l’effet à long terme est difficile à séparer de l’adaptation. Un profil exact doit maintenir ces catégories distinctes au lieu de transformer l’influence en affirmation universelle de réussite politique.

Il existe aussi un risque inverse. Les institutions dotées d’une autorité peuvent exiger une certitude inaccessible alors qu’une mesure défensive réversible serait justifiée. Les décisions de sécurité bénéficient rarement d’une attribution parfaite. Un processus mûr distingue les actions réversibles des actions irréversibles, précise le niveau de confiance de chacune et mesure le résultat après le déploiement.

Cette discipline protège les deux côtés de la décision. Elle empêche d’étendre une mesure limitée jusqu’à une conclusion punitive que les preuves ne soutiennent pas, et elle empêche l’incertitude de justifier l’inaction lorsqu’une mesure défensive limitée serait proportionnée. La mesure acquiert une autorité non en prétendant tout savoir, mais en faisant correspondre sa force probante à une décision précise.

L’éthique de la recherche se complique lorsque les sujets observés n’ont pas accepté de participer

La mesure de la sécurité sur Internet observe souvent des personnes et des systèmes qui n’ont pas volontairement participé à l’étude. Un télescope reçoit du trafic d’attaquants, de victimes et d’appareils mal configurés. Une enquête sur le spam peut réaliser des achats tests et recueillir des données commerciales. Une recherche automobile peut révéler une faille dont la publication affecte propriétaires et constructeurs. La question éthique n’est pas une annexe: elle détermine ce qui peut être mesuré, conservé, publié et utilisé pour agir.

Les chercheurs doivent réduire les préjudices, protéger les données sensibles, coordonner la divulgation et éviter que la mesure ne crée une nouvelle surface d’attaque. Ils doivent aussi décrire l’incertitude afin que les responsables publics ou les entreprises ne présentent pas une relation déduite entre entités comme une identité prouvée. Plus un jeu de données permet d’agir directement, plus un faux positif est coûteux.

Le même problème se pose dans la recherche sur les interventions. L’identification d’un point de concentration des paiements peut conduire à agir contre un intermédiaire qui sert aussi des activités légitimes. Mesurer une vulnérabilité à grande échelle peut exposer des systèmes avant que leurs propriétaires aient le temps de les corriger. La publicité peut accélérer la remédiation tout en instruisant les adversaires. L’examen éthique doit donc considérer non seulement l’accessibilité des données sous-jacentes, mais également le mécanisme de réponse.

La divulgation responsable constitue un pont pratique. Les chercheurs peuvent se coordonner avec les fournisseurs et les institutions avant de publier des failles à fort impact, ce qui laisse du temps pour la remédiation tout en préservant la possibilité de documenter le résultat. Le processus reste contesté: les fournisseurs peuvent demander davantage de temps, les chercheurs craignent un report indéfini, le risque juridique peut influencer la publication et des corrections incomplètes laissent les utilisateurs exposés.

L’éthique de la mesure couvre aussi le trafic collatéral et la conservation des données. Un télescope réseau peut recevoir des identifiants ou des fragments de contenu que les chercheurs ne recherchaient pas. Les études de paiement peuvent toucher de véritables transactions de clients. Les expériences automobiles peuvent exiger du matériel coûteux ou rare. L’instrument doit être conçu non seulement pour sa validité technique, mais aussi pour garantir un accès responsable.

Les travaux de Savage sont particulièrement utiles lorsque ces limites restent intégrées au récit. La mesure crée un levier en transformant les anecdotes en preuves. Elle crée aussi un pouvoir pour l’acteur qui définit l’échantillon, attribue des catégories aux acteurs et choisit l’intervention. Un programme mûr de sécurité empirique rend ce pouvoir visible, documente l’incertitude et évalue ce qui s’est produit après l’action d’autres institutions.

UC San Diego est devenue une composante de l’infrastructure de mesure

Le rôle institutionnel de Savage est étroitement lié à UC San Diego et au Center for Networked Systems. Les pages officielles ont utilisé, selon les périodes, les titres de director et de co-director; son titre actuel exact doit donc être daté plutôt que réduit sans précaution à une formule permanente. Le fait le plus stable est que UC San Diego constitue sa base universitaire depuis 2001 et que sa participation à la direction du centre fait partie de l’environnement dans lequel les recherches sont organisées.

Un centre de recherche est une infrastructure dans un autre sens qu’un routeur ou un télescope. Il rassemble enseignants-chercheurs, étudiants, ingénieurs, relations sectorielles, équipements, jeux de données et soutien administratif pendant une période assez longue pour qu’un projet ne s’achève pas avec un seul article, mais devienne un programme durable. Les grandes études empiriques dépendent souvent d’un accès qu’un chercheur isolé ne pourrait maintenir.

Cette structure explique pourquoi la signature collective n’est pas une simple courtoisie. Étudiants et coauteurs conçoivent les mécanismes, écrivent le code, réalisent les expériences, négocient l’accès aux données et interprètent les résultats. Des partenaires industriels peuvent fournir des systèmes ou des canaux de divulgation. Des institutions extérieures apportent des points d’observation. Le centre coordonne ces ressources sans faire automatiquement de chaque résultat le mérite exclusif de son responsable principal.

La direction d’un centre modifie aussi la forme de l’influence d’un chercheur. La définition des priorités, le mentorat et la collaboration industrielle déterminent quelles questions deviennent traitables et quels jeux de données sont accessibles. Un chercheur confirmé peut influencer son domaine en construisant une institution vouée à des mesures répétables, pas seulement en publiant l’article le plus cité.

Cet effet institutionnel est difficile à mesurer. Le nombre de publications et les distinctions indiquent une production et une reconnaissance, mais ne révèlent pas quels coûts d’infrastructure ont été financés par des subventions, quels accès ont été obtenus grâce aux collaborateurs ni combien d’expériences infructueuses ont précédé un résultat public. Les sources disponibles ne permettent pas d’établir un budget consolidé du laboratoire ou une carte complète des financements.

L’absence d’un chiffre financier net n’est pas un défaut du profil. La recherche universitaire est financée par des postes, des subventions fédérales ou de fondations, des partenariats de centre, des soutiens industriels et des accords propres à chaque projet. La discipline éditoriale consiste à nommer le type de soutien lorsqu’il est documenté, sans transformer une collaboration en propriété ni prétendre qu’un commanditaire contrôlait le résultat.

Les distinctions reconnaissent un programme, non la propriété individuelle des résultats

Savage a reçu l’ACM Prize in Computing en 2015, est devenu MacArthur Fellow en 2017 et a été élu à la National Academy of Engineering en 2023. UC San Diego faisait état de plus de 150 articles évalués par les pairs dans une présentation institutionnelle publiée en 2023. Ce sont des signes forts d’une influence durable dans les systèmes et la sécurité.

Ils ne règlent toutefois pas l’attribution au sein des recherches comptant plusieurs auteurs. Les travaux sur le traçage, le backscatter, les interventions sur les paiements et la sécurité automobile ont impliqué des collaborateurs dont les idées, le code, les mesures et le soutien institutionnel étaient indispensables. Les étudiants et le personnel de recherche ont souvent construit les systèmes rendant les études à grande échelle possibles. Les centres ont fourni équipements, accès et continuité.

Cette distinction dépasse les questions d’étiquette. Les connaissances relatives aux infrastructures survivent lorsque les méthodes, les jeux de données et les pratiques institutionnelles persistent au-delà d’un seul chercheur. Un centre qui forme des étudiants et maintient des systèmes de mesure peut créer une filiation scientifique. Un profil attribuant toutes les réalisations au chercheur principal masque le mécanisme réel d’évolution du domaine.

Cette simplification produit aussi une erreur technique. Un lecteur persuadé qu’une seule personne a « inventé » un programme peut supposer qu’elle contrôle toutes les mises en œuvre, tous les jeux de données ou tous les prolongements ultérieurs. En réalité, les coauteurs rejoignent d’autres institutions, de nouveaux responsables prennent en charge les données et les travaux de suivi modifient la méthode. Une attribution collective indique plus précisément où se situent les connaissances et les droits de décision.

Les distinctions de Savage doivent donc rester la reconnaissance d’un vaste programme. Elles ne constituent pas une preuve technique de la validité d’un mécanisme particulier, ne démontrent pas qu’une intervention précise a produit un résultat politique et ne prouvent ni la propriété d’une entreprise ni un patrimoine personnel. Les documents disponibles n’établissent aucune affirmation générale de propriété commerciale et ne justifient aucune estimation de fortune ou de participation au capital.

Le portefeuille dépasse l’économie de la cybercriminalité

Savage est souvent associé à la mesure empirique de la cybercriminalité, mais son portefeuille couvre les réseaux, la sécurité des systèmes, la disponibilité, les infrastructures cloud et les systèmes cyberphysiques. Cette étendue importe parce que les méthodes ne produisent pas toutes le même type de résultat ou d’autorité.

Les recherches sur le traçage IP ont développé des mécanismes protocolaires et algorithmiques aidant les défenseurs à reconstruire des chemins d’attaque probables à partir des paquets. La mesure par backscatter a utilisé des télescopes réseau pour estimer l’activité d’attaque. Les recherches sur les vers ont étudié propagation et confinement. Les études sur le spam et la criminalité électronique ont cartographié les dépendances commerciales. Les travaux sur les interventions de paiement ont demandé si des points de concentration économiques pouvaient modifier les comportements.

Les recherches automobiles ont testé l’architecture des véhicules et des chaînes d’attaque à distance dans des conditions contrôlées. Les travaux sur le cloud ont étudié la colocalisation et les fuites des infrastructures partagées. Les procédures de divulgation ont traduit les preuves techniques en processus de remédiation. L’enseignement et le mentorat ont prolongé le programme comme infrastructure de capital humain, grâce aux étudiants ayant transféré ces méthodes vers d’autres organisations.

Chaque domaine possède sa limite pratique. Le traçage n’est pas devenu un service mondial universel. Le backscatter comporte un biais d’échantillonnage. Les modèles de vers dépendent des conditions réseau historiques et d’une population vulnérable inconnue. Les marchés cybercriminels s’adaptent. Les systèmes de paiement sont remplaçables. Les résultats automobiles dépendent de modèles et de versions précis. Les fournisseurs cloud changent d’ordonnanceurs, de matériel et de mesures d’atténuation.

L’actif commun n’est ni une spécification ni un produit commercial. C’est une manière de transformer des dépendances cachées en mécanismes observables. Savage est donc difficile à comparer à un seul « concurrent ». CAIDA et d’autres groupes de mesure exploitent des infrastructures connexes d’observation de l’Internet. Des chercheurs en économie de la sécurité étudient les incitations et les marchés. Des entreprises commerciales de veille sur les menaces collectent des données propriétaires sur les abus. Des laboratoires de sécurité automobile testent d’autres constructeurs et architectures.

Les forces de l’ordre disposent de pouvoirs d’enquête et de preuves inaccessibles au monde universitaire.

Ces groupes recoupent les travaux de Savage sans se remplacer mutuellement. Un fournisseur commercial de veille sur les menaces peut disposer d’une télémétrie client actuelle inaccessible aux chercheurs, mais ses méthodes et données peuvent être moins ouvertes. Un télescope universitaire peut fournir des preuves reproductibles sur le long terme tout en ne voyant qu’une catégorie de trafic. Les forces de l’ordre peuvent imposer la communication d’informations sans publier leurs méthodes. Les chercheurs universitaires peuvent révéler une architecture et une causalité sans disposer de l’autorité nécessaire à une remédiation directe.

Cette comparaison précise son rôle: la contribution distinctive de Savage est une recherche continue de dépendances mesurables et de points d’intervention dans des systèmes techniques et économiques. L’approche est forte précisément parce qu’elle repose sur des jeux de données inhabituels, des équipes collaboratives et une volonté explicite de dire ce que l’instrument ne voit pas.

Financement, propriété et géographie délimitent le récit

Les travaux de Savage sont financés par des postes universitaires, des subventions de recherche, des partenariats de centre et des soutiens propres aux projets. La recherche parrainée par l’industrie et l’adhésion à un centre peuvent fournir des équipements, un accès aux données et des relations d’ingénierie. Le financement ne confirme ni ne réfute à lui seul un résultat, mais l’émetteur, le projet et le contexte de déclaration des conflits doivent rester visibles.

Les preuves disponibles ne fournissent aucun budget personnel de laboratoire actuel et audité. Elles ne permettent pas non plus d’affirmer une propriété générale d’entreprise, d’estimer le patrimoine personnel ou d’attribuer une valeur financière consolidée à l’ensemble du programme de recherche. Des distinctions peuvent inclure une bourse ou un financement de reconnaissance, mais ne doivent pas servir de preuve de richesse.

La base institutionnelle se trouve à San Diego, en Californie, tandis que les systèmes étudiés sont mondiaux. Le trafic d’attaque traverse les pays. Les chaînes d’hébergement et de paiement couvrent plusieurs juridictions. Les chaînes d’approvisionnement automobiles associent des constructeurs et des fournisseurs de diverses régions. Les infrastructures cloud sont réparties dans le monde. La dimension géographique des travaux réside donc davantage dans les systèmes et les échantillons que dans l’adresse de l’université.

Un point d’observation situé dans un seul bloc d’adresses ou sur un marché commercial donné ne représente pas automatiquement le monde entier. La géographie devient une composante du modèle d’échantillonnage. Les relations de paiement diffèrent selon les pays. Les marchés de l’hébergement présentent des niveaux variables de concentration et d’application des règles. Le droit de la divulgation varie selon les juridictions. Les modèles de véhicules et versions logicielles ne sont pas distribués uniformément.

Il en va de même dans le temps. Savage a achevé son doctorat à University of Washington, à Seattle, avant de rejoindre UC San Diego en 2001. Les premières conditions réseau reflétaient l’architecture et les pratiques d’attaque de leur époque. Les travaux ultérieurs se sont déplacés vers les systèmes de paiement commerciaux, les plateformes cloud et les infrastructures cyberphysiques. La continuité réside dans la méthode empirique, non dans l’hypothèse qu’un jeu de données ou une intervention s’applique de la même manière pendant plusieurs décennies.

Des limites qu’une simple réserve ne peut supprimer

Le biais lié au point d’observation est la première limite structurelle. Chaque télescope, flux de transactions, plateforme de test ou parc expérimental ne voit qu’une partie du système. Une meilleure instrumentation peut réduire l’incertitude, mais aucun point d’observation ne devient un recensement complet par la seule taille de son jeu de données.

L’adaptation de l’adversaire est la deuxième limite. Après une intervention, les attaquants peuvent changer de protocole, de fournisseur, de domaine, de moyen de paiement, de chaîne d’exploitation ou de calendrier opérationnel. Un résultat exact avant l’action peut devenir moins représentatif précisément parce que l’action a modifié le système.

La résolution des entités est la troisième. Domaines, affiliés, prestataires, campagnes et infrastructures doivent être reliés à partir de données bruitées. Des services partagés peuvent faire paraître liés des acteurs indépendants, tandis qu’une dissimulation délibérée masque les véritables relations. Les faux rapprochements déforment la structure du marché et la légitimité de l’intervention.

L’attribution collective est la quatrième. Les grands résultats ont de nombreux auteurs et institutions partenaires. Organiser le récit autour d’un chercheur confirmé très visible crée une histoire héroïque, séduisante sur le plan éditorial mais techniquement inexacte.

Le risque de divulgation est la cinquième. Publier une exploitation peut aider les défenseurs comme les attaquants. Retarder la publication laisse les utilisateurs exposés. Le bon calendrier dépend de la gravité, de la possibilité de corriger, de la capacité de mise à jour du parc et de la préparation des institutions concernées.

L’éthique de la recherche est la sixième. La mesure peut recueillir du trafic non sollicité, inclure des achats tests ou toucher des systèmes réels. La confidentialité, les dommages collatéraux et les hypothèses de consentement éclairé diffèrent des expériences de laboratoire ordinaires, car la population mesurée peut ignorer qu’elle est observée.

Les affirmations causales sur les interventions sont la septième. Les marchés évoluent simultanément pour plusieurs raisons. Une baisse après une intervention sur les paiements ne prouve pas que celle-ci en est l’unique cause, et une reprise ultérieure peut traduire une adaptation plutôt qu’un échec de la mesure initiale.

La dérive historique des technologies est la huitième. L’architecture d’Internet, les botnets, les moyens de paiement, le matériel cloud et les logiciels automobiles évoluent rapidement. Des travaux anciens peuvent conserver leur importance méthodologique tout en décrivant mal les conditions opérationnelles actuelles.

L’extrapolation excessive des distinctions est la neuvième. Les honneurs prestigieux résument une carrière en termes généraux. Ils ne remplacent ni l’attribution au niveau du mécanisme ni les preuves actuelles en production.

L’ambiguïté du rôle actuel est la dixième. Des pages officielles de UC San Diego ont employé les titres de director et de co-director pour la fonction de Savage au Center for Networked Systems. Le titre exact doit être vérifié lorsqu’il est déterminant, plutôt que lissé en une formule permanente.

Ces contraintes ne sont pas des notes de bas de page qui affaiblissent le programme. Elles appartiennent à son enseignement central. La sécurité empirique acquiert sa crédibilité lorsque le lien entre l’instrument, la population et la conclusion reste visible.

La mesure n’acquiert d’autorité que si ses angles morts restent visibles

La recherche empirique en sécurité exerce une influence parce qu’elle remplace la spéculation par des observations utilisables par d’autres institutions. Cette même influence crée un risque: un jeu de données frappant peut sembler plus complet que ne l’autorise son point d’observation. Un télescope réseau, une série d’achats tests ou un véhicule expérimental peuvent révéler un mécanisme avec une clarté exceptionnelle tout en laissant de larges pans de la population hors champ.

Le backscatter illustre bien le problème. Les réponses non sollicitées arrivant dans un espace d’adresses inactif ont rendu mesurable une catégorie d’attaques avec usurpation de source, sans coopération des attaquants ou des victimes. L’inférence était solide parce que ses hypothèses pouvaient être explicitées. Les attaques utilisant d’autres modes d’adressage ou de réflexion étaient moins visibles. À mesure que les adversaires s’adaptaient, la relation entre l’instrument et la population évoluait elle aussi.

Les recherches sur les chaînes d’approvisionnement cybercriminelles ont créé un autre point d’observation. Les domaines, affiliés, services d’exécution et relations de paiement ont révélé des dépendances invisibles dans le simple comptage des paquets. Une concentration au niveau de l’acquisition ou du règlement créait un levier, mais l’identification restait probabiliste et les marchés pouvaient s’adapter. Une intervention réduisant les ventes observées sur un canal pouvait simplement déplacer les transactions vers un autre.

La recherche automobile a ajouté le problème de la divulgation. La démonstration d’un chemin reliant une interface externe à des fonctions importantes pour la sécurité pouvait accélérer les réparations et la compréhension publique, mais le calendrier de publication affectait des propriétaires et des constructeurs qui n’avaient pas accepté de participer à l’étude. La valeur des travaux dépendait de tests contrôlés, d’une attribution collective et d’un processus de divulgation donnant aux parties concernées une possibilité réelle de répondre.

Ces exemples expliquent pourquoi intervention et mesure doivent être conçues ensemble. Une étude découvrant un point de concentration doit définir à l’avance le changement observable attendu en cas de réussite. Elle doit aussi nommer les substitutions plausibles et les effets collatéraux. L’institution peut alors choisir une réponse réversible et proportionnée avant de passer à une action irréversible.

L’autorité d’agir reste extérieure à l’article scientifique. Les opérateurs réseau, les banques, les constructeurs et les régulateurs disposent d’outils et d’obligations juridiques différents. Les chercheurs peuvent expliquer un mécanisme et évaluer son importance, mais ils n’héritent pas du pouvoir d’une institution parce qu’ils ont produit les preuves. Inversement, une institution ne devrait pas exiger une certitude impossible lorsqu’une action défensive limitée est justifiée.

Une infrastructure de recherche durable est essentielle parce que les adversaires s’adaptent. Jeux de données, télescopes, plateformes expérimentales et relations sectorielles doivent subsister assez longtemps pour vérifier la persistance de l’effet observé. Étudiants et collaborateurs transfèrent les méthodes vers de nouveaux contextes et construisent souvent les systèmes qui rendent les preuves possibles. Un profil concentrant chaque résultat sur un chercheur principal perd le mécanisme institutionnel par lequel la sécurité empirique accumule les connaissances.

La méthode durable consiste à trouver une dépendance étroite dans un vaste problème

Du déni de service aux vers, au spam, aux paiements, aux systèmes cloud et aux véhicules, un même mouvement se répète: une menace large est décomposée en mécanismes observables. L’attaquant peut être distribué, mais le trafic emprunte des chemins. Un marché peut utiliser des milliers de domaines, mais ses paiements peuvent converger. Un véhicule peut comporter de nombreux composants, mais la confiance traverse des interfaces précises. Lorsque la dépendance devient visible, les défenseurs peuvent demander quel acteur dispose de l’autorité nécessaire pour la modifier.

La méthode atteint sa limite lorsque le système s’adapte plus vite que la mesure. Les attaquants apprennent quels canaux sont surveillés. Le chiffrement et la concentration des services masquent des détails. Les relations juridiques et commerciales évoluent. La métrique pertinente peut passer du volume de paquets à la création de comptes, des paiements par carte à un autre système de règlement ou d’une interface automobile à un service cloud. Un programme de mesure efficace doit faire évoluer son instrument avec le système.

Le critère d’intérêt public est concret. Le travail améliore-t-il la capacité d’évaluer l’ampleur, d’expliquer le mécanisme ou d’analyser l’intervention? Préserve-t-il le mérite des collaborateurs et les limites des preuves? Conduit-il à une réponse dont les effets sont mesurés plutôt que supposés? Ces questions sont plus exigeantes que « l’article a-t-il été influent? » et plus proches des raisons pour lesquelles la sécurité empirique importe aux opérateurs d’infrastructures.

La norme applicable aux futurs travaux est donc exigeante mais pratique. Les nouvelles mesures doivent indiquer leur point d’observation, préserver le mérite des collaborateurs, révéler les contrôles éthiques et définir les observations qui affaibliraient la conclusion. Les interventions doivent être évaluées assez longtemps pour révéler les substitutions. Les institutions agissant à partir des preuves doivent rester responsables de la proportionnalité et des erreurs.

La contribution durable de Savage est une discipline de décomposition. Une vaste menace est ramenée à des flux, dépendances, incitations et points de décision observables. Le résultat ne rend pas l’adversaire entièrement visible. Il offre aux opérateurs et aux responsables publics une meilleure base pour demander quelle institution peut intervenir, quelle action est proportionnée et quel résultat observable montrerait que le système a réellement changé au lieu de simplement se déplacer.