Un appel collectif pour la cyberdéfense : beaucoup de signatures, aucune contrainte et aucune métrique de vérification

Le jeudi 27 août 2026, la lettre ouverte intitulée « A call for collective action on cyber defense » a été publiée sur le site d'OpenAI. Le document rassemble un front hétérogène d'organisations : le décompte exact varie selon les relevés, des 116 recensées par CNBC aux près de 130 indiquées par SecurityWeek. Parmi les signataires figurent des entreprises d'IA comme OpenAI, Anthropic et Google, des fournisseurs d'infrastructure et de sécurité (Microsoft, AWS, Cisco, Cloudflare, CrowdStrike, Palo Alto Networks), des sociétés d'autres secteurs comme Visa, Mastercard et General Motors, ainsi que des groupes européens tels que SAP et Deutsche Telekom. L'initiative survient dans un climat de forte attention réglementaire, quelques semaines après l'entrée en application, le 2 août 2026, des règles du règlement européen sur l'IA visant les modèles à risque systémique.

Le texte s'articule autour de trois principes directeurs. Le premier constate l'insuffisance des défenses actuelles, alourdies par la dette technique des systèmes hérités, des configurations erronées et des logiciels non mis à jour. Les deux autres appellent à doter les défenseurs d'outils d'IA et à mobiliser une réponse coordonnée. Il est demandé aux organisations de traiter la défense comme une priorité de la direction, de corriger d'abord les vulnérabilités les plus risquées et d'appliquer des contrôles compensatoires là où les correctifs interrompraient des services essentiels. Aux fournisseurs de sécurité, il est demandé de tester leurs propres systèmes face aux modèles de frontière ; aux gouvernements, de financer les infrastructures essentielles dépourvues de moyens. Dans le même contexte, OpenAI a annoncé trois engagements qui lui sont propres, dont un accès subventionné à sa gamme de modèles Daybreak Cyber pour les organismes publics, les organisations à but non lucratif, les mainteneurs de logiciels open source et les opérateurs d'infrastructures critiques, accompagné de programmes de tests autorisés pour le signalement privé des vulnérabilités.

« Nous avons une fenêtre limitée pour renforcer les défenses informatiques », lit-on dans le document. La lettre se borne pourtant à esquisser des intentions strictement volontaires. Le texte ne comporte ni échéances opérationnelles, ni allocations budgétaires formelles, ni métriques reproductibles permettant d'évaluer l'efficacité des ressources distribuées. La position des entreprises d'IA a été critiquée : l'expert en sécurité John Gallagher a résumé l'ambiguïté du rôle des fournisseurs en les qualifiant de « pyromane qui vend des extincteurs ». La contradiction que pointe la comparaison est documentée : les entreprises signataires vendent elles-mêmes des modèles commerciaux qui rendent l'attaque informatique moins coûteuse.

Prendre acte que les systèmes traditionnels ne suffisent plus est un point de départ nécessaire ; recommander des mesures sans fixer de calendrier de mise en œuvre ni de critères d'audit risque de réduire un problème structurel à une déclaration d'intention. L'utilité réelle de l'initiative ne se mesurera que le jour où les données sur son impact opérationnel seront rendues publiques et vérifiables. — Olya