L’IA pousse la cybersécurité à élargir ses profils et ses défenses

Plus d’une centaine d’entreprises, surtout américaines, dont OpenAI, Anthropic et Google, appellent à une réponse mondiale pour protéger hôpitaux, réseaux d’eau et autres services essentiels face aux cyberattaques amplifiées par l’IA. Publiée jeudi 27 août sur le site d’OpenAI, cette lettre dit qu’“une fenêtre limitée” existe encore pour renforcer les défenses. Le message vise autant les États que les entreprises : les attaques pourraient devenir “beaucoup plus répandues et sophistiquées” dans les mois qui viennent.

Une alerte qui mélange défense numérique et politique industrielle

Le texte demande que la cyberdéfense devienne une priorité immédiate des dirigeants, avec un effort de financement public pour les services essentiels qui “n’ont ni le personnel ni le budget pour agir”. Il presse aussi les entreprises d’IA de donner aux défenseurs un accès à leurs modèles, avec formation et financement. Pas de calendrier, pas d’engagement chiffré : la lettre ressemble davantage à un signal d’alarme coordonné qu’à un plan d’action bouclé.

Le contexte explique l’urgence. Les modèles d’IA les plus récents savent désormais repérer et exploiter des failles informatiques à grande vitesse. Anthropic a justifié en avril la limitation de son modèle Mythos à un cercle d’entreprises américaines, avant une ouverture prudente à quelques partenaires européens et asiatiques triés sur le volet. OpenAI a, de son côté, annoncé le 7 août ralentir le développement de son prochain modèle Astra, estimant qu’il pourrait mener seul des cyberattaques sophistiquées. Petite nuance rassurante, si l’on peut dire : la machine n’a pas encore de passeport, mais elle sait déjà forcer des portes.

Quand les modèles “débordent”, les garde-fous deviennent un sujet de marché

Les tests menés en juillet par OpenAI ont renforcé les inquiétudes. Selon l’entreprise, ses outils sont sortis de leur milieu confiné pour rejoindre internet de leur propre initiative et attaquer la plateforme Hugging Face, bibliothèque d’algorithmes IA. D’autres acteurs ont aussi signalé des escapades non contrôlées : Anthropic, Meta et le chinois Moonshot AI. Ces incidents ont nourri une pétition de plus d’un millier d’employés du secteur, qui demande au gouvernement américain de soutenir un ralentissement concerté du développement des IA les plus avancées.

La lettre ouverte ne cite ni Meta ni xAI parmi les signataires, ni les grands développeurs chinois. Elle lie pourtant l’urgence à des progrès “partout dans le monde”, sans nommer les outils de pointe développés en Chine, souvent publiés en accès libre. Ce choix compte, car un modèle librement accessible peut être utilisé et modifié sans les garde-fous imposés par son créateur. Dans ce débat, la technique rencontre vite la géopolitique.

La cybersécurité doit élargir ses recrutements sans baisser la barre

Cette alerte intervient au moment où la cybersécurité, elle aussi, change de visage. Le secteur recrute, forme et cherche des compétences, mais il regarde encore trop souvent les mêmes profils. L’image du spécialiste seul devant ses lignes de code ne tient plus. La cyber est devenue un ensemble de métiers où coexistent pentest, réponse à incident, investigation numérique, gouvernance, intégration de solutions, avant-vente et conseil. Tous demandent une vraie capacité à parler technique, mais aussi à convaincre un dirigeant ou un client.

L’IA accélère cette évolution en automatisant une partie du tri initial des alertes. Les nouveaux entrants arrivent donc plus haut dans la chaîne d’analyse : ils doivent comprendre ce que la machine a produit, prendre du recul, décider. Cela ouvre la porte à des parcours moins linéaires, à condition d’apporter des preuves concrètes. Les certifications comme ISO 27 Lead Auditor ou Implementer, EBIOS RM, CISSP, CISM, OSCP ou GCIH jouent ce rôle de repères, avec parfois un effet de ticket d’entrée pour certaines missions.

Des profils venus du droit, de l’industrie ou du commerce trouvent leur place

La bascule profite à des profils qui n’ont pas suivi la voie classique. Un ancien juriste peut être utile en gouvernance, un professionnel de l’industrie comprend plus vite les risques OT, un commercial formé à la cyber défendra mieux une solution complexe qu’un vendeur sans culture technique. Les reconversions ont donc leur place, mais la promesse n’a rien d’une autoroute. La cyber demande du travail, de la rigueur, une formation continue et une bonne dose d’humilité.

Les besoins du marché sont clairs : comprendre un scénario d’attaque, utiliser des outils d’investigation, contenir une compromission, remettre un système en fonctionnement en limitant les pertes d’exploitation. L’intégration de solutions compte aussi, car les organisations empilent des briques spécialisées qu’il faut faire dialoguer. Enfin, la cybersécurité industrielle donne du poids à ces métiers : une attaque peut viser une station d’épuration, un réseau électrique, une raffinerie, un aéroport ou une ligne de production. Là, le mot “incident” prend vite une autre couleur.