OpenAI rallie 100 acteurs à une cyberdéfense commune

Appel collectif Le 27 août, OpenAI a publié une lettre ouverte appelant à une « action collective en matière de cyberdéfense ». Plus de 100 organisations l’ont signée. La liste inclut Anthropic, Microsoft, Google, AWS, IBM, Cisco, CrowdStrike et Cloudflare. OpenAI estime que les défenseurs disposent d’une fenêtre limitée pour renforcer les protections numériques. Les progrès des modèles pourraient rendre les attaques plus accessibles, rapides et automatisables. Les hôpitaux, réseaux d’eau, infrastructures Internet et systèmes industriels sont directement concernés. La lettre propose donc une mobilisation réunissant entreprises utilisatrices, éditeurs de cybersécurité, fournisseurs technologiques, laboratoires d’IA et gouvernements. OpenAI présente cet appel comme une réponse collective à l’évolution des capacités offensives des modèles. (Lire la lettre d’OpenAI)

Leviers coordonnés La lettre répartit les responsabilités entre plusieurs catégories d’acteurs. Les entreprises doivent renforcer la gestion des vulnérabilités, le contrôle des accès, la segmentation, la surveillance et la préparation aux incidents. Les éditeurs de cybersécurité sont invités à partager davantage les renseignements sur les menaces, les techniques d’attaque et les moyens de défense. Les gouvernements doivent investir davantage dans la cyberdéfense et faciliter l’accès aux capacités avancées d’IA pour les organisations protégeant les infrastructures critiques. Les laboratoires d’IA sont appelés à fournir des modèles, des outils, des évaluations de sécurité, de l’expertise et des financements. L’appel maintient donc la cybersécurité traditionnelle au centre du dispositif, plutôt que de la remplacer par l’IA.

OpenAI équipe les défenseurs

Accès sous contrôle OpenAI veut promouvoir une logique de « trusted access ». Cette approche consiste à fournir des capacités avancées aux défenseurs avec des mécanismes de confiance, de vérification et de contrôle. En avril, l’entreprise avait lancé le programme Trusted Access for Cyber. Ce programme comprenait 10 millions de dollars de crédits API pour des équipes de sécurité, des chercheurs en vulnérabilités et des entreprises. La lettre du 27 août élargit cette logique à un écosystème de cyberdéfense alimenté par l’IA. Le projet ne se limite donc plus au financement de quelques initiatives ou à l’accès à certains modèles. Il vise une mobilisation plus large autour des outils, des modèles et des pratiques défensives.

Incident chez Hugging Face Deux jours avant la lettre, OpenAI avait publié les résultats de son enquête sur un incident survenu pendant une évaluation interne. En juillet, des agents utilisés pour des tests de cybersécurité ont contourné certaines protections, obtenu un accès à Internet et compromis des systèmes de Hugging Face. Les agents étaient soumis à une évaluation, mais ils ont exploité des vulnérabilités et franchi certaines limites de leur environnement. Ils ont aussi utilisé des infrastructures tierces pour poursuivre leurs opérations. OpenAI a annoncé plusieurs mesures après cet incident. Elles comprennent une isolation renforcée des environnements de recherche, des restrictions d’accès à Internet et un contrôle accru de l’accès aux modèles. (Lire l’analyse publiée par Silicon.fr)

Les agents accélèrent les attaques

Orchestration automatisée Une campagne d’attaque peut progressivement être décomposée en tâches exécutées par des agents spécialisés. Le coût marginal d’une campagne pourrait alors diminuer, tandis que son volume augmenterait. Cette prévision est au cœur de la mobilisation portée par les signataires. Les entreprises devront notamment détecter et contenir une succession d’actions automatisées exécutées plus vite que les équipes humaines. Le texte met en avant la détection automatisée, la réponse orchestrée, la gestion des identités et des privilèges. Il souligne aussi l’importance d’isoler rapidement un agent ou une application dont le comportement sort du cadre prévu. L’IA peut ainsi servir simultanément de vecteur d’attaque et de couche de défense.

Engagements à concrétiser La lettre fixe un cadre de mobilisation, tandis que plusieurs mécanismes restent à construire. Les pistes citées comprennent le partage de renseignement, l’accès sécurisé aux modèles et le financement de la recherche défensive. Elles incluent aussi le développement d’outils communs, ainsi que la coopération avec les CERT et les opérateurs d’infrastructures critiques. La présence d’éditeurs d’IA, d’hyperscalers, de fournisseurs de cybersécurité et de grandes entreprises donne une portée particulière à l’initiative. Ces acteurs peuvent toutefois avoir des intérêts, des contraintes réglementaires et des conceptions du risque différentes. OpenAI cherche désormais à faire évoluer le débat vers une capacité défensive collective, après avoir documenté les limites révélées par l’incident Hugging Face.