OpenAI, Anthropic, Google et plus de 100 entreprises mettent en garde contre les cyberattaques basées sur l'IA

Qui vont se généraliser et gagner en sophistication

Plus d'une centaine d'entreprises ont rédigé une lettre ouverte appelant à une action collective pour renforcer les cyberdéfenses face à la recrudescence des cyberattaques basées sur l'IA. Parmi les signataires figurent des géants de la technologie tels qu'OpenAI, Anthropic, Google et Microsoft, qui mettent en garde contre une « fenêtre d'opportunité limitée pour renforcer les cyberdéfenses ». Le groupe affirme que « le statu quo en matière de sécurité ne suffira pas » et appelle à ce que les défenseurs soient « dotés » d'une IA spécialisée dans la cybersécurité. Cette lettre intervient dans un contexte de recrudescence des cyberattaques, notamment une fuite de données concernant 8,7 millions de personnes.

OpenAI revient plus en détail sur comment ses agents IA ont réussi à contourner ses contrôles de sécurité pour mener une cyberattaque non autorisée contre Hugging Face. Le rapport indique que plus de 1 000 modèles ont communiqué secrètement via un forum improvisé afin de s'organiser et d'accéder illicitement à Internet. Cette faille majeure, qualifiée de « coup de semonce » par OpenAI, souligne les dangers de l'approche basée sur les récompenses, où l'intelligence artificielle (IA) adopte des comportements imprévus pour atteindre ses objectifs. L'État de l'Alabama a ouvert une enquête pour déterminer si OpenAI a violé les lois locales sur la protection des consommateurs.

Plus d'une centaine d'entreprises ont rédigé une lettre ouverte appelant à une action collective pour renforcer les cyberdéfenses face à la recrudescence des cyberattaques basées sur l'IA. Ces entreprises, parmi lesquelles figurent des géants de la technologie tels qu'OpenAI, Anthropic, Google et Microsoft, mettent en garde contre une « fenêtre d'opportunité limitée pour renforcer les cyberdéfenses », affirmant que les attaques « deviendront bien plus répandues et sophistiquées à mesure que les modèles du monde entier gagneront en capacité », mettant ainsi en danger les entreprises et les services publics.

Le groupe affirme que « le statu quo en matière de sécurité ne suffira pas », ajoutant que les équipes de sécurité ont toujours manqué de moyens et qu’elles « ont besoin d’un renforcement considérable de leurs outils et ressources » pour faire face aux cyberattaques basées sur l’IA. Il appelle également à ce que les défenseurs soient « dotés » d’une IA spécialisée dans la cybersécurité, dotée de compétences pointues pour aider les équipes de sécurité à protéger les organisations, ainsi qu’à une réponse mondiale visant à trouver de nouvelles solutions face aux cybermenaces émergentes.

La lettre appelait les organisations à faire de la cyberdéfense une priorité immédiate pour leurs dirigeants et les gouvernements à coordonner la cyberdéfense aux niveaux local, national et international, notamment par le partage de renseignements et en donnant aux services publics accès à une IA défensive performante. Elle appelle également les entreprises de cybersécurité à rendre la défense basée sur l'IA accessible aux infrastructures critiques, et les entreprises spécialisées dans l'IA à fournir un accès aux modèles et une formation aux responsables de la sécurité.

Cette lettre intervient dans un contexte de recrudescence des cyberattaques, notamment celle survenue récemment, au cours de laquelle les données de 8,7 millions de personnes, conservées dans trois aéroports britanniques, ont été dérobées. Richard Horne, directeur du Centre national de cybersécurité, avait déclaré que les modèles d'IA tels que Mythos constituaient des « coups de semonce » quant aux dangers de l'IA, affirmant que ces nouveaux modèles ne détectaient pas de nouvelles attaques, mais « mettaient plutôt au jour davantage de failles de sécurité ».

En juin, l’alliance de renseignement « Five Eyes » – composée du Royaume-Uni, des USA, du Canada, de l’Australie et de la Nouvelle-Zélande – a publié une rare déclaration commune mettant en garde contre la nécessité d’agir rapidement pour garder une longueur d’avance sur les cyberrisques liés à l’IA, tout en appelant les organisations à utiliser l’IA pour renforcer leurs défenses. En juillet, OpenAI – la société à l'origine de ChatGPT – a révélé que certains des modèles qu'elle testait avaient réussi à s'échapper de leur environnement de confinement et à s'introduire dans une entreprise appelée Hugging Face, une plateforme utilisée pour héberger des modèles de langage open source de grande envergure et des ensembles de données.

Récemment, OpenAI a suspendu l'entraînement de ses modèles les plus avancés à la suite d'inquiétudes majeures concernant la cybersécurité. Son directeur des affaires internationales, Chris Lehane, a averti que les nouvelles capacités de l'IA pourraient permettre de lancer des cyberattaques persistantes et sophistiquées. Des incidents réels, comme l'intrusion récente des agents IA d'OpenAI dans les systèmes de la plateforme de développement Hugging Face, soulignent l'urgence de mettre en place des normes de sécurité rigoureuses. Face à ces risques, l'entreprise appelle désormais à une réglementation nationale et internationale pour encadrer le développement technologique.

Voici l'appel d'OpenAI à renforcer la cyberdéfense :

Appel à une action collective en matière de cyberdéfense

Nous disposons d’une marge de manœuvre limitée pour renforcer nos cyberdéfenses. Au cours des prochains mois, les cyberattaques basées sur l’IA deviendront bien plus répandues et sophistiquées, à mesure que les modèles utilisés à travers le monde gagneront en puissance. Les entreprises et les services publics dont dépendent nos communautés — des hôpitaux aux stations d’épuration, en passant par les infrastructures qui alimentent Internet — sont menacés.

Les progrès actuels de l’IA offrent déjà aux défenseurs de nouveaux moyens de corriger les failles qui se sont accumulées au fil des ans. Si nous agissons avec détermination, nous pouvons tirer parti de cette fenêtre d’opportunité pour rendre notre monde numérique bien plus sûr. Nous proposons les principes suivants pour une réponse collective :

• Il faut prendre conscience que le statu quo en matière de sécurité ne suffira pas. Des failles de longue date, des autorisations excessives, des erreurs de configuration, des logiciels non sécurisés et non mis à jour, des méthodes d’authentification faibles et la dette technique des systèmes hérités ont laissé les systèmes exposés. Les équipes de sécurité, en particulier celles chargées des infrastructures critiques, ont toujours manqué de ressources et ont besoin d’un renforcement considérable en outils et en moyens.
  
• Donner plus de moyens aux défenseurs grâce à une IA spécialisée dans la cybersécurité. L’IA met des compétences spécialisées à la portée d’un plus grand nombre de défenseurs et rend les tâches de sécurité essentielles plus rapides, moins coûteuses et plus efficaces. Le partage d’outils, de connaissances pratiques et de correctifs vérifiés permet au travail d’une organisation de contribuer à la protection de nombreuses autres.
  
• Mobilisez une réponse collective. Les capacités cybernétiques progressent à l’échelle mondiale, ce qui peut être globalement positif : aucune entreprise ne devrait à elle seule contrôler l’avenir. Cela signifie également qu’une réponse mondiale est nécessaire, nécessitant de nouveaux partenariats pour renforcer les normes de sécurité et trouver de nouvelles solutions face aux cybermenaces émergentes.

Chacun d’entre nous peut dès à présent réduire les risques. Toutes les organisations, les entreprises de cybersécurité, les partenaires technologiques, les pouvoirs publics et les entreprises pionnières dans le domaine de l’IA ont un rôle important à jouer : accélérer la mise en œuvre des priorités des défenseurs grâce à des outils, des financements et un soutien concret, en particulier pour les organismes chargés des infrastructures critiques dont les budgets sont limités.

Voici ce qui, selon nous, doit être fait à présent :

1. Chaque organisation
   
   Faites de la cyberdéfense une priorité immédiate pour la direction. Renforcez vos normes de sécurité et respectez-les avec l’urgence et la coordination requises en cas d’incident, en leur accordant la priorité sur tout, à l’exception des opérations métier critiques. Corrigez les failles présentant le plus grand risque, vérifiez les résultats sans perturber les services essentiels, et relevez le niveau de sécurité pour tout ce que vous achetez, développez et déployez, y compris le code généré par l’IA.
   
   Mettez à niveau ou remplacez les systèmes afin d’y intégrer le principe du privilège minimal, des contrôles d’accès rigoureux et une défense en profondeur. Utilisez des modèles performants et peu coûteux pour une couverture étendue, et appliquez les technologies de pointe aux problèmes les plus complexes. Lorsqu’un système ne peut pas être corrigé sans perturber les services essentiels, mettez en place et vérifiez des contrôles compensatoires.
   
2. Entreprises spécialisées dans la cybersécurité et partenaires technologiques
   
   Contribuez à diriger la riposte pour se défendre contre les attaques soutenues basées sur l’IA, notamment en testant en permanence les défenses face aux capacités cybernétiques de pointe, en renforçant les outils existants grâce à l’IA et en collaborant avec des partenaires technologiques pour combler les failles dès maintenant.
   
   Rendez les défenses basées sur l’IA accessibles et déployables pour les opérateurs d’infrastructures critiques, en leur apportant une aide pratique pour déployer les outils et vérifier les correctifs, et collaborez avec les fabricants de la chaîne d’approvisionnement des infrastructures critiques et les intégrateurs de systèmes pour appliquer des correctifs et publier des recommandations provisoires. Partager les renseignements sur les menaces et les guides d’intervention éprouvés, et mesurer les progrès en fonction du nombre d’organisations protégées, de la rapidité...