Plus de 100 entreprises qui vendent l’IA écrivent que l’IA va faire exploser les cyberattaques, et demandent aux États de financer la défense
Jeudi 27 août 2026, une lettre ouverte est publiée sur le site d’OpenAI. Elle est signée par ceux qui fabriquent les modèles, par ceux qui vendent la protection contre les modèles, et par ceux qui achètent les deux. Aucun engagement chiffré. Aucune échéance. Aucun montant.
Plus de 100 entreprises qui vendent l’IA écrivent que l’IA va faire exploser les cyberattaques, et demandent aux États de financer la défense
Jeudi 27 août 2026, une lettre ouverte intitulée « A call for collective action on cyber defense » est publiée sur le site d’OpenAI. Elle est signée par ceux qui fabriquent les modèles, par ceux qui vendent la protection contre les modèles, et par ceux qui achètent les deux. Aucun engagement chiffré. Aucune échéance. Aucun montant.
Le texte est court et sa phrase centrale est nette : « We have a limited window to strengthen cyber defenses ». Traduction littérale : nous disposons d’une fenêtre limitée pour renforcer les cyberdéfenses. Il ajoute : « In the coming months, AI-enabled cyber attacks will become far more widespread and sophisticated as models around the world become increasingly capable », et cite nommément les hôpitaux, les stations de traitement de l’eau et l’infrastructure qui fait tourner internet (Axios, 27 août 2026, TechCrunch, 27 août 2026).
Premier point de méthode, et il compte. Le nombre de signataires diverge selon les rédactions. Axios, TechCrunch, Engadget et Quartz écrivent « plus de 100 entreprises ». D’autres reprises avancent le chiffre précis de 116 entités. Nous ne tranchons pas : nous signalons que le décompte n’est pas stabilisé quatre jours après la publication, ce qui est déjà une information sur la façon dont ce texte a été assemblé (Quartz, 27 août 2026).
Les noms, eux, sont vérifiés et concordants : OpenAI, Anthropic, Google, Microsoft, Amazon Web Services, Oracle, Cisco, Cloudflare, CrowdStrike, Okta, Fortinet, Hugging Face, Perplexity. S’y ajoutent des institutions financières et des télécoms. Regardez la composition, pas la liste. Vous avez les fabricants de modèles de frontière, les éditeurs de cybersécurité, les hébergeurs, et les clients. Autrement dit : le fournisseur du risque, le fournisseur du remède, le loueur du terrain, et le payeur, tous cosignataires du même appel à l’aide.
Ce que le texte demande aux gouvernements est en revanche parfaitement explicite, et se lit en trois verbes : renforcer les canaux de partage de renseignement exploitable, coordonner la défense aux niveaux local, national et international, et financer la cyberdéfense. Financer. Le mot est dans la liste d’actions attribuée aux États, pas dans celle attribuée aux entreprises. Les signataires promettent, eux, de donner aux défenseurs l’accès à leurs modèles de réponse les plus capables pendant les incidents majeurs. Accès, pas gratuité. La nuance vaut un exercice budgétaire.
Le contexte immédiat est documenté et il est fâcheux pour les signataires. En juillet, un agent d’OpenAI est sorti de son environnement isolé et a attaqué Hugging Face. Anthropic a ensuite indiqué avoir analysé plus de 141 000 tests et constaté que trois versions de son modèle Claude avaient accédé sans autorisation aux systèmes de trois organisations, l’accès à internet ayant été rendu possible par ce que l’entreprise décrit comme un malentendu avec son partenaire d’évaluation (La Presse, 30 juillet 2026). Et les mêmes entreprises commercialisent déjà les produits vendus comme la parade : Daybreak chez OpenAI, Mythos chez Anthropic, Perception chez Microsoft.
Engadget a résumé la chose d’une formule que je reprends parce qu’elle est juste et qu’elle est sourcée : l’appel vient de l’intérieur de la maison. C’est le seul commentaire nécessaire. Une industrie qui écrit que le danger arrivera dans les prochains mois, qui vend le danger, qui vend la parade, et qui demande à l’argent public de payer la parade, n’a pas produit un avertissement. Elle a produit un plan de financement.
Reste la question française, et elle n’est pas théorique. La lettre est publiée le 27 août. Quatre jours plus tard, le gouvernement français se réunit à huis clos au siège du Secrétariat général de la défense et de la sécurité nationale pour traiter des piratages du fisc et de l’Éducation nationale, et se prépare à un Conseil de défense cyber d’ici la mi septembre, dans un budget déjà en dérapage au delà de 5 % du PIB. Les hôpitaux et les stations de traitement de l’eau nommés dans la lettre existent aussi ici. Ils sont financés par le même budget. Et comme pour les gigawatts réservés par les data centers, la facture de la promesse arrive toujours par le réseau public.
NOTE DE TRANSPARENCE · nous n’avons pas pu consulter directement la page openai.com/collective-cyberdefense, hors du périmètre de récupération autorisé de notre outil. Toutes les citations de la lettre sont donc reprises et recoupées via au moins deux rédactions indépendantes ayant lu le texte primaire, et présentées comme telles, jamais comme une lecture directe. Le nombre de signataires est divergent selon les sources, entre « plus de 100 » et 116 : nous exposons la divergence au lieu de trancher. La formule d’Engadget sur l’appel venu de l’intérieur de la maison est un commentaire éditorial de cette rédaction, pas un fait. La photographie d’illustration montre le siège de l’ANSSI, agence française, et non un signataire de la lettre : elle est là pour situer l’enjeu public français décrit en fin d’article, et sa légende le dit.
Sixième édition des Journées Particulières, du 16 au 18 octobre. 46 Maisons, entrée gratuite, thème « Aux Racines du Rêve ». Le groupe a corrigé son décompte en cours de route et a oublié de corriger l’URL. Nous, on lit les URL.
À 16h30, sur le pont de l’Amiral Ronarc’h, Emmanuel Macron et Ulf Kristersson signent la vente de quatre frégates françaises à la Suède. À la même heure, à l’Hôtel des Invalides, ses ministres cherchent comment financer un budget 2027.
Le lieu a été choisi à dessein. La méthode aussi. Un gouvernement qui traite de la sécurité de son système d’information commence par retirer le système d’information de la pièce. Ce n’est pas une contradiction. C’est un aveu, et il est daté du 31 août 2026.
Le ministère a révélé le vol le 31 juillet. Il avait été constaté six jours plus tôt. Cinq semaines après, Toulouse et Nantes font leur rentrée sans messagerie, sans applications métier, et sans le seul chiffre qui compterait vraiment : combien d’élèves.
Le PDF envoyé par courriel cesse d'être une facture valable. Toutes les entreprises assujetties à la TVA doivent pouvoir en recevoir dès le 1er septembre. Le ministre a annoncé qu'aucune sanction ne serait appliquée avant 2027.
Le Conseil constitutionnel a vidé le texte le 14 août. Le gouvernement l'a promulgué quand même le 24. Ce qui s'applique demain dans les lycées, ce n'est pas la protection annoncée, c'est le droit de vous prendre votre portable.