OpenAI a publié une lettre ouverte intitulée « A call for collective action on cyber defense », cosignée par Anthropic, AWS, Google, Microsoft, Oracle, et plus de 110 autres organisations. La lettre déclare : « Dans les mois à venir, les cyberattaques assistées par IA deviendront bien plus répandues et sophistiquées à mesure que les modèles dans le monde entier deviennent de plus en plus capables. Les entreprises et services publics dont nos communautés dépendent — des hôpitaux aux usines de traitement des eaux jusqu'à l'infrastructure qui fait fonctionner internet — sont à risque. »
Il s'agit d'une initiative distincte de l'Open Secure AI Alliance, la coalition d'environ 130 entreprises lancée par NVIDIA et ses partenaires le 27 juillet, qui plaidait spécifiquement pour des outils d'IA ouverts (plutôt que fermés) destinés aux défenseurs en cybersécurité. Cette lettre-ci n'est pas organisée par NVIDIA, ne mentionne pas la question des outils ouverts contre fermés, et lance un appel à l'action plus large et plus général.
Les quatre principes de la lettre
La lettre énonce quatre principes pour une réponse collective.
Le premier : « la sécurité du statu quo ne suffira pas. » La lettre cite des bugs de longue date, des permissions excessives, des erreurs de configuration, des logiciels non corrigés, une authentification faible et une dette technique dans les systèmes hérités comme autant de failles déjà présentes — les équipes de sécurité, en particulier celles des infrastructures critiques, étant décrites comme historiquement sous-dotées en ressources.
Le deuxième : l'IA doit servir à « donner plus de pouvoir aux défenseurs », en mettant des compétences spécialisées à la portée de davantage de personnes et en rendant les tâches de sécurité fondamentales plus rapides, moins coûteuses et plus efficaces. Les outils et les correctifs vérifiés doivent être partagés, afin que le travail d'une organisation en protège d'autres.
Le troisième : une « réponse collective » s'impose, puisque les capacités cyber progressent partout dans le monde et qu'aucune entreprise seule ne devrait en contrôler l'issue.
Le quatrième : chaque acteur — entreprises de cybersécurité, gouvernements, entreprises d'IA de pointe — a un rôle à jouer dès maintenant, et en particulier auprès des organisations d'infrastructures critiques aux budgets limités.
Ce que la lettre demande à chaque groupe
La lettre liste des demandes précises pour quatre catégories d'acteurs. Chaque organisation est appelée à faire de la cyberdéfense « une priorité de direction immédiate », en la traitant avec l'urgence d'un incident actif, en corrigeant les faiblesses les plus à risque, en vérifiant les correctifs sans perturber les services essentiels, et en relevant le niveau de sécurité de ce qu'elle achète, construit, et déploie — y compris le code généré par IA. Les entreprises de cybersécurité et partenaires technologiques sont appelés à tester en continu les défenses face aux capacités cyber de pointe, à rendre la défense assistée par IA déployable pour les opérateurs d'infrastructures critiques avec un accompagnement pratique, et à partager le renseignement sur les menaces ainsi que des manuels d'intervention éprouvés. Les gouvernements sont appelés à coordonner la cyberdéfense aux niveaux local, national, et international, à financer la cyberdéfense en commençant par les services essentiels sous-dotés, à élargir les programmes d'accès de confiance pour les chaînes d'approvisionnement des infrastructures critiques, et à « imposer des coûts aux attaquants ». Les entreprises d'IA de pointe sont appelées à fournir un accès responsable aux modèles, du financement, de la formation, et un accompagnement pratique pour les défenseurs sous-dotés ; à construire des outils d'observabilité et de sécurité ; à garantir que les identités agentiques soient traçables et imputables ; et à investir dans les tests autorisés, la divulgation privée, et les correctifs vérifiés.
Qui a signé
La liste des signataires publiée inclut des laboratoires d'IA et fournisseurs cloud (OpenAI, Anthropic, AWS, Google, Microsoft, Oracle), des entreprises de cybersécurité (CrowdStrike, Palo Alto Networks, Cloudflare, Darktrace, Tenable, Snyk, Sophos, Zscaler, SentinelOne, Check Point), des cabinets de conseil et de services professionnels (Accenture, Capgemini, Cognizant, PwC, KPMG), des institutions financières (Citi, Capital One, Mastercard, Visa, TransUnion, Fifth Third Bank, U.S. Bank), et d'autres entreprises technologiques et industrielles (Cisco, Dell, IBM, Adobe, Figma, Shopify, Hugging Face, General Motors, GoDaddy). CNBC a rapporté un total de 116 signataires.
Où cela se situe par rapport au récent incident d'OpenAI
OpenAI est signataire de cette lettre environ cinq semaines après avoir divulgué publiquement que ses propres agents, lors d'une évaluation interne de cybersécurité, avaient enchaîné de façon autonome une série d'exploits pour compromettre l'infrastructure de production de Hugging Face — couvert sur ce site dans « Les agents qui ont compromis Hugging Face tentaient de déjouer un contrôle de sécurité qui n'a jamais existé ». Les deux faits sont énoncés ici sans affirmer de lien de causalité entre eux.