OpenAI et plus de 150 organisations ont publié le 27 août 2026 une lettre ouverte commune appelant à une réponse mondiale et coordonnée face à la montée des cyberattaques assistées par l'IA. Signataires : Microsoft, Google, Anthropic, Cisco, Mastercard, Visa, IBM, Cloudflare, CrowdStrike, Palo Alto Networks, des banques comme BBVA, Citi ou U.S. Bank, des assureurs comme Zurich Insurance, et des dizaines d'autres acteurs de la tech, de la finance et des infrastructures critiques. L'avertissement central est formulé sans détour : « Nous disposons d'une fenêtre limitée pour renforcer les cyberdéfenses. »
Les attaques IA vont s'intensifier dans les prochains mois, pas dans dix ans
La lettre ne parle pas d'un risque lointain. Elle identifie les prochains mois comme le délai critique avant que les cyberattaques assistées par IA ne deviennent « bien plus répandues et sophistiquées ». Les cibles nommées sont concrètes : hôpitaux, stations de traitement des eaux, infrastructures qui font fonctionner Internet. Ce sont des services dont dépendent des communautés entières, souvent gérés par des équipes réduites et sous-équipées.
Le diagnostic posé sur la situation actuelle est sévère : bugs persistants, permissions excessives, mauvaises configurations, logiciels non mis à jour, authentification insuffisante et dette technique accumulée dans des systèmes anciens ont laissé de nombreuses organisations exposées. Les équipes chargées des infrastructures critiques ont, selon la lettre, « historiquement manqué de ressources ».
L'IA comme outil de défense, pas seulement d'attaque
Ce que les signataires veulent faire entendre, c'est que l'IA n'est pas qu'une arme aux mains des attaquants. Elle donne aussi aux défenseurs des moyens nouveaux : compétences spécialisées accessibles à davantage d'équipes, tâches de sécurité de base accélérées, coûts réduits, résultats améliorés. La lettre parle d'une « fenêtre des défenseurs » à saisir avant que l'avantage ne bascule définitivement.
3 principes structurent la réponse proposée. Premier principe : reconnaître que le statu quo ne tient plus, et traiter la correction des failles à risque élevé avec la même urgence qu'un incident en cours. Deuxième principe : donner à davantage de défenseurs accès aux outils IA, aux correctifs vérifiés et aux connaissances pratiques, de sorte que le travail d'une organisation profite à toutes les autres. Troisième principe : aucune entreprise seule ne peut ni ne devrait contrôler l'avenir de la cyberdéfense, une réponse mondiale s'impose.
Quatre catégories d'acteurs, quatre feuilles de route distinctes
La lettre ne se contente pas d'un appel générique. Elle décline des responsabilités concrètes selon 4 types d'acteurs.
Chaque organisation est invitée à faire de la cyberdéfense une priorité de direction, à corriger les faiblesses les plus dangereuses, à vérifier les résultats, et à élever le niveau de sécurité pour tout ce qui est acheté, construit ou déployé, y compris le code généré par IA.
Les entreprises de cybersécurité et partenaires technologiques sont appelés à tester en continu leurs défenses contre les capacités cyber les plus avancées, à rendre la défense IA accessible aux opérateurs d'infrastructures critiques et à partager le renseignement sur les menaces ainsi que les pratiques éprouvées.
Les gouvernements doivent coordonner la cyberdéfense aux niveaux local, national et international, financer en priorité les services essentiels sous-dotés, et imposer des coûts réels aux attaquants.
Les entreprises d'IA ont la responsabilité de fournir un accès responsable à leurs modèles, un soutien concret aux défenseurs d'infrastructures critiques, des outils permettant de tracer et d'identifier les actions des systèmes automatisés, et de partager évaluations de menaces et bonnes pratiques avec les gouvernements et partenaires open source.
Le formulaire d'adhésion : une coalition ouverte, mais filtrée
La page prévoit un mécanisme d'élargissement : toute organisation souhaitant rejoindre la lettre peut soumettre son nom via un formulaire. Les candidatures sont soumises à approbation, et les organisations retenues apparaissent listées par nom uniquement, sans logo. La coalition est donc ouverte dans son principe, mais encadrée dans ses critères.
Ce que je retiens pour ma pratique
Ce texte me parle directement, pas parce qu'il concerne la cybersécurité au sens technique, mais parce qu'il touche à quelque chose que j'observe dans mon travail quotidien : l'IA s'est installée dans les processus de communication et de production bien avant que les réflexes de sécurité ne suivent. Le code généré par IA est cité dans la lettre comme un vecteur de risque à surveiller. Les contenus produits automatiquement, les accès délégués à des outils connectés, les identités numériques non tracées : tout cela entre dans le périmètre.
Ce que je retiens de cet appel collectif, c'est moins la liste des signataires que le principe de fond : la sécurité n'est plus un sujet réservé aux équipes IT. Elle devient une responsabilité de direction, à traiter avec la même sérieux qu'une décision commerciale. Pour quelqu'un qui conseille des organisations sur leurs usages de l'IA, ignorer cette dimension n'est plus une option raisonnable.