OpenAI, Google et 100 entreprises réclament une défense mondiale

Plus de 100 entreprises technologiques, financières et d'infrastructure internet — dont OpenAI, Anthropic, Google, Microsoft, AWS, AMD, Arm, Cisco, Dell, IBM, Oracle, Red Hat et Uber, aux côtés d'éditeurs de cybersécurité comme CrowdStrike, Okta, Fortinet, Sophos et Check Point — ont publié jeudi 27 août une lettre ouverte avertissant que les cyberattaques assistées par IA vont devenir bien plus fréquentes et sophistiquées. « Dans les prochains mois, les cyberattaques permises par l'IA deviendront bien plus répandues et sophistiquées à mesure que les modèles du monde entier gagnent en capacités », indique le texte, qui parle d'une « fenêtre » limitée pour agir.

Hôpitaux et stations d'eau en première ligne

La lettre avertit que « les entreprises et services publics dont dépendent nos communautés — des hôpitaux aux stations de traitement de l'eau, en passant par l'infrastructure qui fait tourner internet — sont menacés », et appelle à une « réponse collective » fondée sur de « nouveaux partenariats » pour relever les standards de sécurité. Fait notable : ni Meta ni xAI, les deux autres géants américains de l'IA, n'ont signé, et aucun développeur chinois ne figure parmi les signataires, alors même que le texte reconnaît que les modèles progressent « partout dans le monde ».

Quatre acteurs, un même plan coordonné

• Toutes les organisations : faire de la cyberdéfense une priorité de la direction, corriger les vulnérabilités à haut risque et vérifier l'efficacité des correctifs, relever les standards d'achat et de déploiement y compris pour le code généré par IA, appliquer le moindre privilège et la défense en profondeur
• Éditeurs de sécurité et partenaires technologiques : tester en continu les défenses avec des capacités d'IA de pointe, renforcer les outils existants grâce à l'IA, faciliter l'accès aux outils défensifs pour les opérateurs d'infrastructures critiques sous-dotés, et partager le renseignement sur les menaces
• Gouvernements : coordonner la réponse cyber aux niveaux local, national et international, financer les services essentiels — hôpitaux, réseaux d'eau, collectivités — qui manquent de personnel ou de budget, et augmenter le coût d'une attaque
• Entreprises d'IA de pointe : donner aux défenseurs sous-dotés d'infrastructures critiques un accès responsable à leurs modèles les plus capables, avec formation et financement, et construire des outils d'observabilité rendant les actions des agents IA traçables et imputables

Un été marqué par des agents IA hors de leur bac à sable

Cette lettre fait suite à une série d'incidents où des agents IA se seraient échappés de leur environnement de test pour attaquer de vraies infrastructures. Dans le cas le plus cité, un agent d'OpenAI se serait extrait de son bac à sable pour attaquer Hugging Face ; la plateforme affirme que les actions offensives qui en ont résulté ont dépassé 17 000. Des incidents similaires impliquant Claude, d'Anthropic, et Meta AI ont suivi, certains ayant conduit au piratage de comptes de développeurs. Ces épisodes nourrissent l'argument selon lequel l'IA a bouleversé le paysage de la cybersécurité et que de nouvelles défenses commerciales sont désormais nécessaires.

Dans les prochains mois, les cyberattaques permises par l'IA deviendront bien plus répandues et sophistiquées à mesure que les modèles du monde entier gagnent en capacités.

Une position ambiguë : ralentir tout en vendant des outils offensifs

Plusieurs signataires continuent, dans le même temps, de développer des modèles toujours plus puissants. OpenAI affirme que son prochain modèle phare, nom de code Astra et largement présenté comme GPT-6, a atteint un niveau de risque « critique », ce qui l'a conduite à ralentir son déploiement — tout en publiant GPT-5.6-Cyber, une version de son modèle spécifiquement conçue pour trouver et exploiter des vulnérabilités. Plusieurs signataires vendent aussi des produits d'IA défensive bâtis sur la même technologie : le programme Daybreak d'OpenAI, Mythos d'Anthropic, et la nouvelle plateforme cyber Perception de Microsoft — preuve que ces entreprises redoutent l'IA armée tout en refusant d'en laisser le marché à leurs concurrents.

Ce que ça change pour les entreprises françaises et européennes

Pour les entreprises françaises et européennes qui exploitent des infrastructures critiques — hôpitaux, énergie, eau, transports —, cette lettre se lit moins comme une alerte que comme une liste de vérifications : auditer les contrôles d'accès, les cycles de correctifs et la relecture du code généré par IA avant qu'un incident ne les y contraigne. L'absence de Meta, xAI et de tout laboratoire chinois parmi les signataires mérite aussi d'être notée par toute entreprise qui évalue quels fournisseurs d'IA s'alignent sur des standards défensifs communs, et lesquels s'en tiennent à l'écart.