Cyberattaques par IA : pourquoi OpenAI, Google et Microsoft appellent les États à agir d'urgence

« Nous avons une fenêtre limitée pour renforcer les cyberdéfenses. » La phrase ouvre une lettre ouverte publiée jeudi et signée par plus de cent entreprises, dont OpenAI, Google, Microsoft et Anthropic. Elle annonce que les cyberattaques assistées par intelligence artificielle vont devenir bien plus répandues et sophistiquées dans les mois qui viennent, et désigne les cibles : les hôpitaux, les usines de traitement de l'eau et l'infrastructure qui fait tourner internet.

Ce que dit le texte, et qui l'a signé

Intitulée « Un appel à l'action collective pour la cyberdéfense », la lettre rassemble un attelage inhabituel. Aux laboratoires d'IA s'ajoutent des acteurs de l'infrastructure et de la sécurité, AWS, Cisco, Cloudflare, CrowdStrike, Oracle, Palo Alto Networks, Okta, Fortinet, Perplexity, mais aussi des assureurs comme Marsh et Zurich.

Le diagnostic est sans détour : « la sécurité en l'état ne suffira pas ». Le texte énumère ce qui a laissé les systèmes exposés, et la liste ressemble à un inventaire de négligences ordinaires : bogues anciens jamais corrigés, permissions trop larges, mauvaises configurations, logiciels non mis à jour, authentification faible, dette technique des systèmes hérités.

Les auteurs insistent sur un point que les équipes de terrain connaissent bien : les équipes de sécurité, en particulier celles des infrastructures critiques, ont toujours manqué de moyens et ont besoin d'un afflux d'outils et de ressources.

Ce que les signataires réclament aux gouvernements

Le passage adressé aux États est le plus concret, et il tient en cinq demandes.

• Coordonner la cyberdéfense aux niveaux local, national et international, en renforçant les canaux existants entre autorités et industrie pour partager du renseignement exploitable.
• Financer la cyberdéfense, en commençant par les services essentiels qui n'ont ni le personnel ni le budget pour agir.
• Accélérer les programmes d'accès de confiance, en particulier dans les chaînes d'approvisionnement des infrastructures critiques.
• Donner aux hôpitaux, aux services d'eau et aux collectivités locales l'accès à une IA défensive efficace, à des tests autorisés et à un accompagnement pratique.
• « Imposer un coût aux attaquants », formule laconique qui clôt le paragraphe sans préciser par quels moyens.

Un autre passage mérite l'attention des directions informatiques : le texte demande d'élever le niveau d'exigence sur ce que les organisations achètent, développent et déploient, « y compris le code généré par IA ».

Ce que dit la réalité française

Les secteurs nommés par la lettre correspondent presque exactement à ceux que l'Agence nationale de la sécurité des systèmes d'information voit passer. Dans son panorama de la cybermenace publié en mars, l'agence a traité 1 366 incidents sur l'année, contre 831 quatre ans plus tôt.

La répartition est parlante. Quatre secteurs concentrent 76 % des incidents : l'éducation et la recherche pour 34 %, les ministères et les collectivités pour 24 %, la santé pour 10 % et les télécommunications pour 9 %. Sur les seules victimes de rançongiciel, les petites et moyennes entreprises pèsent 48 % et les collectivités 11 %.

Autrement dit, la lettre décrit une menace à venir sur des cibles que la France voit déjà tomber. L'été a d'ailleurs fourni sa série d'exemples publics, du piratage des données fiscales à celui des fichiers de l'éducation nationale.

Forfait NRJ Mobile 100 Mo

Sans engagement 100 Mo 4G UE 100 Mo

1,49 €/mois

Tarifs vérifiés le 30/09/2026

Souscrire

Voir les détails

Prix mini

Forfait RED 1 Go

Sans engagement 1 Go 4G eSIM UE 1 Go

1,99 €/mois

Tarifs vérifiés le 30/09/2026

Souscrire

Voir les détails

Forfait Cdiscount 1Go

Sans engagement 1 Go 4G UE 1 Go

1,99 €/mois

Tarifs vérifiés le 30/09/2026

Souscrire

Voir les détails

La demande qui résonne avec un incident de juillet

Un paragraphe de la lettre prend un relief particulier au vu de l'actualité récente. Parmi les engagements demandés aux entreprises d'IA de pointe figure celui de garantir que les identités des agents soient traçables et redevables de leurs actes.

C'est précisément ce qui a manqué six semaines plus tôt. Lors d'une campagne d'évaluation interne, environ sept cents agents d'OpenAI se sont coordonnés sur un forum non autorisé pour pénétrer les systèmes de Hugging Face, et une partie d'entre eux a développé des techniques pour maquiller ses propres journaux d'activité.

Détail qui ne s'invente pas : Hugging Face figure parmi les signataires de la lettre. La plateforme dont les serveurs ont été forcés cosigne donc l'appel avec l'entreprise dont les programmes les ont forcés. Cela dit quelque chose de l'état d'esprit du secteur : la ligne de partage ne passe plus entre concurrents, mais entre défenseurs et attaquants.

Ce qu'un particulier peut en tirer

La lettre s'adresse aux États et aux entreprises, pas aux foyers. Mais son diagnostic vaut à toutes les échelles : ce qui laisse les systèmes exposés, ce ne sont pas des attaques inédites, ce sont des négligences anciennes. Authentification faible, logiciels non mis à jour, permissions trop larges. Les mêmes trois failles se retrouvent sur un téléphone et sur un serveur d'hôpital.

• Les mises à jour ne sont pas une option. « Logiciels non corrigés » figure dans la liste des causes citées par cent entreprises de sécurité.
• La double authentification répond directement au point « authentification faible », et reste la seule barrière qui tient quand un mot de passe a fuité.
• Les permissions trop larges valent aussi pour les applications de votre téléphone, qui gardent souvent des accès dont elles n'ont plus l'usage.