// CLUBIC — INTELLIGENZA ARTIFICIALE
Les géants de l'IA estiment que les cyberdéfenses actuelles ne tiendront bientôt plus
OpenAI, Anthropic et 126 autres organisations, dont Google, Microsoft et Hugging Face, ont signé hier une lettre ouverte avertissant que les défenses informatiques actuelles ne résisteront plus longtemps aux cyberattaques pilotées par l’intelligence artificielle. Le texte réclame une mobilisation immédiate des entreprises et des gouvernements.
Quand les entreprises qui ont créé les agents IA qui dérivent se regroupent pour avertir qu’elles ont engendré des monstres, c’est qu’il y a urgence.
Elles sont nombreuses à avoir signé cette lettre ouverte, dont OpenAI et Anthropic, les éditeurs de ChatGPT et de Claude aux côtés de 126 signataires supplémentaires, dont des banques et des éditeurs de cybersécurité comme CrowdStrike, Cloudflare et Palo Alto Networks. Hugging Face a aussi signé le texte, deux mois après avoir subi l'intrusion par des agents d’OpenAI regroupés en essaim.
Le texte survient au lendemain d’un rapport dans lequel OpenAI a reconnu qu’elle aurait pu réagir plus tôt pour empêcher cette attaque. Les signataires demandent aux organisations, aux gouvernements et aux entreprises d’IA de traiter la cyberdéfense comme une priorité de direction immédiate.
Publiée sur le site d’OpenAI, la lettre réunit 128 organisations, des éditeurs de cybersécurité comme CrowdStrike et Cloudflare aux banques Citi et Capital One, en passant par Hugging Face. Les signataires demandent aux entreprises de corriger les failles de leurs propres logiciels. Les éditeurs de cybersécurité sont appelés à aider à contrer les attaques pilotées par l’IA, tandis que les gouvernements devraient coordonner leurs échanges avec l’industrie face aux menaces émergentes. Selon la lettre, « les progrès actuels de l’IA offrent déjà aux experts en sécurité de nouvelles façons de corriger les failles accumulées depuis des années » et « si nous agissons avec détermination, nous pouvons saisir cette opportunité pour rendre notre monde numérique bien plus sûr ».
Le texte survient deux semaines avant l’entrée en vigueur, le 11 septembre, du Cyber Resilience Act européen. Ce règlement obligera les fabricants de produits numériques à signaler toute vulnérabilité activement exploitée dans un délai de 24 heures. La directive NIS2, censée coordonner États et industrie face aux cybermenaces, accuse quant à elle un retard de près de deux ans dans plusieurs pays. La France, l’Irlande, l’Espagne et les Pays-Bas ont été renvoyés devant la Cour de justice de l’Union européenne en juillet, pour défaut de transposition. Les Pays-Bas se sont mis en conformité un mois plus tard. La Commission européenne a par ailleurs été compromise cette année via l’empoisonnement de son propre outil de sécurité, Trivy.
Microsoft a ouvert l’accès public à Perception le 3 août. Cette gamme d’agents automatise une partie de la réponse aux cybermenaces, repère les services vulnérables et applique des correctifs, avec l’appui de MDASH, un outil de détection intégré à Microsoft Defender. Microsoft revendique pour ce système un taux de réussite de 96 % sur CyberGym, un test évaluant la capacité des IA à reproduire des failles connues.
En France, YesWeHack a lancé le 25 juin un service d'agents autonomes capables de tester légalement la sécurité d’une entreprise et de livrer leurs résultats dès le jour du lancement. Dassault Systèmes, Sanofi et plusieurs entreprises du CAC 40 ont déjà recours à ce service, sous le contrôle d'une communauté de plus de 150 000 hackers éthiques chargée d’écarter les faux positifs.
L'’ANSSI garde toutefois une réserve de fond sur ces agents génératifs, comme vous pouvez le lire dans l’encadré en fin d’article. Selon l’agence, un agent peut aboutir à la bonne conclusion sans que personne ne sache vraiment comment, et les systèmes fondés sur de grands modèles de langage sont moins prévisibles que l’IA prédictive utilisée depuis plus de quinze ans dans les outils de détection. Ses experts relèvent aussi que 38 % des éditeurs de logiciels de sécurité envoient des donnée