Cyberdéfense : plus de 100 géants tech s'allient contre les attaques dopées à l'IA

Le 27 août 2026, plus d'une centaine d'entreprises ont signé le même texte, ce qui, dans un secteur où chacun garde jalousement ses avantages, n'a rien d'anodin. OpenAI, Anthropic, Google, Microsoft, AWS, mais aussi Cloudflare, CrowdStrike, Okta, IBM, Oracle, Visa, Mastercard ou Capital One : la lettre ouverte « A call for collective action on cyber defence » rassemble laboratoires d'IA, fournisseurs de cybersécurité, banques et infrastructures d'internet autour d'un avertissement unique. Dans les prochains mois, préviennent-ils, les cyberattaques dopées à l'intelligence artificielle vont devenir « bien plus répandues et sophistiquées à mesure que les modèles du monde entier gagnent en capacité ». Le message est clair ; ce qu'il révèle en creux l'est tout autant.

Une fenêtre qui se referme

L'argument des signataires tient en une phrase : les défenseurs disposent d'une « fenêtre limitée » pour se préparer avant que les capacités offensives ne se banalisent. Ce n'est pas une prophétie abstraite. Ces derniers mois, des agents autonomes ont déjà été détournés pour mener des intrusions, et les mêmes modèles qui découvrent des vulnérabilités pour les corriger peuvent servir à les exploiter. La lettre cite explicitement les hôpitaux, les stations de traitement de l'eau et les infrastructures qui font tourner le réseau parmi les cibles exposées.

Le texte s'articule autour de trois principes, formulés sans détour. D'abord, admettre que « la sécurité du statu quo ne suffira pas » : les outils pensés pour un monde sans IA offensive sont dépassés. Ensuite, « armer davantage de défenseurs avec une IA capable en cyber », c'est-à-dire mettre la même puissance entre les mains de ceux qui protègent. Enfin, « mobiliser une réponse collective », en construisant des outils d'observabilité, en rendant les identités des agents « traçables et responsables » et en partageant les bonnes pratiques de surveillance continue.

Pourquoi une lettre, et pourquoi maintenant

Le genre de la lettre ouverte est usé jusqu'à la corde dans l'IA ; celle-ci se distingue sur un point. Elle ne demande pas un moratoire ni n'agite le spectre d'une superintelligence : elle parle d'une menace opérationnelle, datée, et propose des gestes concrets plutôt qu'un principe de précaution. La traçabilité des « identités agentiques » en est le meilleur exemple. À mesure que des agents logiciels agissent de façon autonome sur des systèmes, savoir quel agent a fait quoi, au nom de qui, devient une brique de sécurité aussi fondamentale que l'authentification des humains l'a été.

Reste que la coalition n'est pas désintéressée. Plusieurs signataires vendent précisément les outils qu'ils appellent de leurs vœux, et le même mouvement qui alerte sur l'IA offensive commercialise des produits de défense assistés par IA. Cela n'invalide pas le diagnostic — la montée des attaques automatisées est documentée — mais impose de lire le texte pour ce qu'il est : à la fois une alerte sincère et un plaidoyer pour un marché dont ces entreprises seront les premières bénéficiaires.

L'angle mort européen, encore

C'est la liste des signataires qui devrait retenir l'attention à Paris et à Bruxelles. On y trouve la quasi-totalité de l'écosystème américain — laboratoires, cloud, cybersécurité, finance — et l'européen Hugging Face, dont les fondateurs sont français. Mais ni Mistral, ni les grands acteurs européens de la cyberdéfense, ni les institutions publiques du continent ne figurent en tête de l'initiative. La conversation sur la sécurité de l'IA à l'échelle industrielle se structure une fois de plus outre-Atlantique, comme la frontière des modèles ouverts se joue entre la Chine et les États-Unis.

Le sujet n'est pourtant pas hors-sol côté européen. L'AI Act impose déjà des obligations de robustesse et de cybersécurité aux modèles à usage général les plus puissants, entrées en vigueur le 2 août 2026, et l'ANSSI pousse depuis des années une doctrine de défense en profondeur. La question n'est donc pas de savoir si l'Europe a une position, mais si elle pèse dans la mise en place des standards concrets — traçabilité des agents, partage de renseignement sur les menaces — qui décideront de la sécurité réelle. Une régulation qui fixe des exigences sans siéger à la table où s'écrivent les protocoles risque de subir des normes conçues ailleurs. La leçon de cette lettre, pour l'écosystème français, n'est pas de la co-signer par principe : c'est de bâtir, côté défense, la capacité qui donne voix au chapitre.