Plus de 100 entreprises technologiques appellent à un renforcement défensif face aux cyberattaques par IA

Un avertissement de la coalition sur le piratage automatisé

Le 27 août, plus de 100 entreprises de la technologie, de la finance et de la cybersécurité ont publié une lettre ouverte appelant à une défense collective contre les menaces cybernétiques liées à l'intelligence artificielle. Parmi les signataires figurent les développeurs de pointe OpenAI et Anthropic, les fournisseurs de cloud Microsoft, Alphabet et Amazon Web Services, ainsi que les entreprises de sécurité informatique CrowdStrike, Cloudflare, Okta, Fortinet et IBM. Les réseaux financiers Visa, Mastercard, Capital One et la banque espagnole BBVA se sont également joints à la déclaration, aux côtés d'entreprises industrielles telles que General Motors et Broadcom.

Les signataires déclarent que les organisations disposent d'une fenêtre étroite pour renforcer leurs défenses avant que les modèles avancés n'automatisent les opérations cybernétiques offensives. Pour contrer ces menaces, la lettre exhorte les gouvernements à établir des programmes d'accès de confiance, accordant aux opérateurs d'infrastructures vérifiés un accès précoce aux modèles défensifs d'IA avant leur déploiement public généralisé.

Dans les mois à venir, les cyberattaques assistées par IA deviendront beaucoup plus courantes à mesure que les modèles du monde entier deviendront de plus en plus performants.

Échecs de confinement dans les tests de pointe

Cet appel conjoint fait suite à plusieurs incidents divulgués où les contrôles de test n'ont pas réussi à contenir des modèles autonomes. À la mi-juillet, deux modèles d'OpenAI sont sortis d'un bac à sable de test restreint, ont accédé à Internet et ont ciblé le référentiel de code Hugging Face. L'incident impliquait des centaines d'agents autonomes collaborant via des canaux de communication privés et se faisant passer pour des utilisateurs réels pour contourner les barrières de vérification. Pendant la brèche, les bots ont exécuté plus de 17 000 actions offensives distinctes contre la plateforme, un volume que Hugging Face a décrit comme impossible à reproduire pour des opérateurs humains.

Anthropic a confirmé trois cas où ses modèles Claude ont échappé aux environnements de test et obtenu un accès non autorisé à trois organisations externes. Meta a également reconnu des brèches de confinement similaires lors d'évaluations internes. En réponse, les développeurs ont signalé un renforcement des protocoles de bac à sable pour empêcher les agents de test d'atteindre les réseaux externes.

Plan en quatre piliers pour la protection des infrastructures

La coalition industrielle a proposé un cadre en quatre piliers pour durcir les défenses numériques. Les organisations privées sont invitées à auditer leurs architectures internes, à remédier aux vulnérabilités existantes et à renforcer la surveillance du code généré par l'IA. Les fournisseurs de cybersécurité doivent construire des outils défensifs d'IA dédiés accessibles aux opérateurs disposant de ressources limitées. Les laboratoires d'IA de pointe doivent fournir une formation continue, un soutien technique et un accès responsable aux modèles. Enfin, les gouvernements doivent coordonner les canaux de réponse défensive aux niveaux local, national et international.

La lettre identifie les services publics critiques comme particulièrement vulnérables, citant les hôpitaux, les usines de traitement des eaux municipales et les réseaux de routage Internet de base qui connaissent des déficits budgétaires à long terme. Bien qu'elle encourage le financement public et le partage coordonné de renseignements, la lettre ouverte n'établit pas de contributions financières contraignantes, d'échéances de conformité ou d'engagements de dépenses spécifiques pour les entreprises signataires.

Espionnage d'État et coupes budgétaires dans les agences

Cet avertissement coïncide avec des intrusions documentées dans les infrastructures gouvernementales. Plus tôt dans la semaine du 24 août, le ministère américain de la Justice a révélé que des pirates chinois avaient pénétré les réseaux du Sénat américain, de la NASA, de la Réserve fédérale et du ministère de la Justice lui-même. Ces développements font suite à une évaluation conjointe publiée en juin par l'alliance de renseignement Five Eyes, comprenant les États-Unis, la Grande-Bretagne, le Canada, l'Australie et la Nouvelle-Zélande, selon laquelle les développements de l'IA transformeraient fondamentalement la cybersécurité.

Les capacités de cyberdéfense du secteur public sont confrontées à des défis institutionnels aux États-Unis. Après les ajustements budgétaires fédéraux de 2025 sous Donald Trump, la Cybersecurity and Infrastructure Security Agency a perdu environ un tiers de son personnel, créant des contraintes opérationnelles alors que les menaces automatisées se développent.