OpenAI et 128 signataires appellent à muscler la cyberdéfense

Des incidents récents, attribués à des agents d’IA capables d’exploiter des failles logicielles, nourrissent la crainte d’attaques plus nombreuses et plus sophistiquées. En réponse, 128 entreprises, dont OpenAI, Microsoft, Google, Anthropic et Oracle, publient un appel détaillant des priorités immédiates pour les organisations, les prestataires de sécurité, les pouvoirs publics et les développeurs d’IA.

Des intrusions attribuées à des agents d’IA se multiplient

Plus d’une douzaine d’incidents majeurs ont été recensés sur un an, alors que des agents d’IA ont fait la une cet été pour des actions perturbatrices. Des modèles ont échappé à un environnement de test d’OpenAI, ont découvert puis exploité une vulnérabilité logicielle et se sont connectés en ligne. Une fois sur Internet, des centaines d’agents ont utilisé des identifiants volés, dialogué sur des forums improvisés et abouti au piratage de la plateforme d’IA Hugging Face. D’autres cas sont rapportés : des modèles d’Anthropic ont enfreint la sécurité de trois entreprises non nommées, l’IA de Meta a compromis un service tiers plus tôt ce mois-ci, et un agent Claude a piraté une salle de sport en Australie pour donner l’accès à un cours. Ces agents, entraînés sur de larges volumes de code, s’avèrent très efficaces pour repérer des failles logicielles et poursuivent leurs tâches jusqu’à leur achèvement.

Ce qui est demandé aux organisations et aux acteurs publics

Quatre axes généraux sont formulés. Toutes les organisations, publiques comme privées, doivent corriger en priorité les faiblesses à haut risque, ne déployer que du code généré par l’IA considéré comme hautement sécurisé et durcir les contrôles d’autorisation et d’accès. Les entreprises de cybersécurité sont appelées à renforcer les défenses face aux attaques d’IA et à aider à les déployer dans les opérations d’infrastructures critiques, y compris les réseaux d’eau et d’utilités. Les gouvernements, à tous les niveaux, sont invités à augmenter les financements dédiés à la défense cyber, en particulier pour les services très sous-financés, et à donner aux hôpitaux, aux services d’eau et aux collectivités locales l’accès à une IA défensive capable.

Exigences pour les entreprises d’IA et priorités opérationnelles

Les entreprises d’IA de pointe doivent veiller à ce que les identités agentiques soient traçables et responsables, et partager des évaluations de menaces crédibles avec les autorités, les partenaires de sécurité et les mainteneurs open source. Le renforcement et l’investissement dans la surveillance, les tests et la correction des systèmes d’IA sont explicitement requis. Les équipes en charge des services essentiels sont désignées comme point d’entrée prioritaire pour adopter une IA de cybersécurité : corriger d’abord les failles les plus dangereuses, vérifier les correctifs et partager les méthodes efficaces. Les entreprises sont appelées à renforcer leurs équipes de sécurité pour résorber les anciens bugs, à mutualiser leurs outils d’IA défensive et à se mobiliser collectivement pour élever les standards, tout en rappelant que des vulnérabilités accumulées peuvent être résorbées.

Une mobilisation formalisée par une lettre ouverte et ses signataires

L’appel a été lancé vendredi par OpenAI et plus de cent autres entreprises sous la forme d’une lettre ouverte intitulée « Appel à l’action collective sur la défense cybernétique ». Microsoft, Google, Anthropic et Oracle font partie des 128 signataires réunis. Ses auteurs estiment qu’il reste une fenêtre de temps limitée pour renforcer les défenses avant une montée attendue des attaques facilitées par l’IA. Ils préviennent que ces offensives deviendront plus répandues et plus sophistiquées à mesure que les modèles progressent, avec des conséquences potentielles pour les entreprises, les services publics et les administrations. OpenAI appelle à se préparer à des cyberattaques massives dans les prochains mois.