Plus de 100 entreprises mettent en garde contre les cyberrisques liés aux agents d'IA

Une proposition structurée issue du monde économique

Parmi les signataires figurent, selon les publications, plusieurs grands groupes technologiques et entreprises de sécurité. Sont notamment cités OpenAI, Anthropic et SAP. La communauté de la recherche et de la sécurité est également impliquée. La largeur de l'alliance vise à montrer que les risques ne concernent plus seulement certains secteurs, mais l'ensemble de l'économie numérique.

L'inquiétude porte principalement sur les agents d'IA – des logiciels qui planifient et exécutent des tâches de manière autonome. Alors que les outils d'automatisation classiques suivent des règles rigides, ces agents peuvent prendre des décisions, combiner des outils et s'adapter à de nouvelles situations. Ce sont précisément ces propriétés qui, selon les auteurs, les rendent intéressants pour les attaquants, par exemple pour détecter des failles ou exploiter de manière automatisée des vulnérabilités connues.

Jürgen Schmidt, expert en sécurité au sein d'une entreprise participante, a déclaré à des journalistes que les mécanismes de défense actuels sont conçus pour des menaces statiques. « Nous voyons des attaques qui se déroulent en minutes et non en jours », a-t-il dit. Cela change les règles du jeu et exige une autre vitesse dans la détection et la réaction.

Pourquoi les agents d'IA modifient la menace

Les auteurs de la lettre soulignent que les modèles d'IA sous-jacents deviennent toujours plus puissants. Le potentiel de les utiliser contre sa propre infrastructure croît donc en parallèle. Une prise en compte précoce des éventuelles failles n'est dès lors pas une option, mais une nécessité. Dans le même temps, ils soulignent que ces mêmes technologies peuvent aussi servir à la défense.

Concrètement, les signataires exigent notamment des normes de sécurité contraignantes pour les agents d'IA, des tests obligatoires avant le déploiement de tels systèmes et un meilleur partage d'informations entre la recherche, les autorités et l'économie. Il convient en outre d'élargir sensiblement la formation de spécialistes en cybersécurité afin de réduire la pénurie de personnel existante.

La lettre formule également une contrainte de temps : la fenêtre actuelle pour élaborer des règles contraignantes et mettre en œuvre des mesures de protection techniques est limitée. Si elle est manquée, une phase menace de s'ouvrir, durant laquelle les attaques passeraient à l'échelle avant que les systèmes de défense ne puissent suivre.

Exigences concrètes adressées à la politique et à l'économie

Des observateurs considèrent cette initiative comme l'une des réactions sectorielles les plus larges à ce jour face aux cyberrisques spécifiques à l'IA. Comparé à des prises de position antérieures, qui émanaient le plus souvent de firmes isolées ou de groupes de recherche, cet appel fédère des acteurs de l'économie, de la recherche et des autorités de sécurité.

Les signataires ont annoncé qu'ils introduiraient leurs propositions dans les processus politiques au cours des prochaines semaines. Il s'agit notamment de discussions avec les autorités de régulation ainsi que de contributions aux procédures de normalisation en cours. Reste toutefois ouverte la question de savoir à quel point de telles normes seront contraignantes.

Dans un deuxième temps, l'alliance doit lancer des projets pilotes concrets afin de tester comment les agents d'IA peuvent être surveillés et cantonnés dans des environnements contrôlés. Les enseignements qui en seront tirés devront ensuite alimenter des lignes directrices publiques.

Les projets pilotes comme prochaine étape

Dans l'ensemble, les auteurs dressent le portrait d'une technologie qui amplifie à la fois les opportunités et les risques. Leur appel s'adresse donc non seulement aux responsables politiques, mais aussi explicitement aux entreprises de toute taille, afin qu'elles réexaminent leurs propres stratégies en matière d'IA et de sécurité.