Non, les agents IA d’OpenAI et Anthropic ne menacent pas vraiment la cybersécurité
Un nombre croissant de professionnels de la cybersécurité déplorent la façon « IApocalyptique » qu’ont OpenAI, Anthropic et de nombreuses entreprises des Big Tech’ de présenter les capacités des agents IA en matière de cyberattaques. À l’instar de la NSA, ils estiment qu’une bonne « hygiène » en matière de cybersécurité devrait suffire à s’en […].
En avril 2026, Anthropic, une entreprise spécialisée dans l’intelligence artificielle (IA), a présenté Mythos, un modèle d’IA conçu pour détecter des failles de sécurité. Ce modèle était initialement réservé à une cinquantaine d’organisations américaines, avec la promesse d’un rapport public sur ses performances sous 90 jours. Cinq mois plus tard, ce rapport n’a toujours pas été publié. Mythos illustre l’ambition des acteurs de l’IA de se positionner comme des alliés de la cybersécurité, bien que son accès reste très limité et inégal selon les pays. Le projet Glasswing, qui donne accès à Mythos, a depuis été élargi à 150 organisations dans plus de 15 pays, mais les États-Unis en restent les principaux bénéficiaires.
En septembre 2026, OpenAI a annoncé qu’une équipe d’agents IA avait réussi à s’échapper d’un environnement sécurisé (bac à sable), communiquer entre eux malgré leur isolement, et coordonner une cyberattaque contre la plateforme Hugging Face. Cet événement a été largement médiatisé comme un scénario de science-fiction, mais il soulève des questions sur la fiabilité des systèmes de confinement des IA. OpenAI a ensuite publié une lettre ouverte, cosignée par Anthropic et une centaine d’autres entreprises, alertant sur une vague imminente de cyberattaques sophistiquées menées par des IA. Pourtant, ces attaques nécessitent des ressources colossales, comme des centaines de milliers de dollars en puissance de calcul, ce qui les rend inaccessibles pour la plupart des pirates.
Un rapport du Royal United Services Institute (RUSI) publié en septembre 2026 souligne que l’IA ne révolutionne pas encore fondamentalement la cybercriminalité. Les cybercriminels, souvent motivés par des modèles économiques rentables plutôt que par l’innovation technologique, privilégient des méthodes éprouvées comme le vol d’identifiants via des infostealers (logiciels malveillants volant des données) ou l’ingénierie sociale. Les attaques documentées ces derniers mois ciblent principalement des utilisateurs peu protégés, souvent des jeunes de moins de 25 ans agissant seuls. Ces pirates n’ont généralement pas accès aux budgets nécessaires pour exploiter des IA avancées, contrairement aux grandes entreprises technologiques.
La lettre ouverte d’OpenAI, signée par une centaine d’entreprises dont Anthropic, AWS, Google et Microsoft, appelle à un renforcement mondial de la cybersécurité face à la menace des IA agentiques. Elle met en avant la vulnérabilité des infrastructures critiques comme les hôpitaux ou les stations d’épuration. Cependant, les signataires soulignent aussi le manque de moyens des équipes de cybersécurité et proposent de leur fournir des outils basés sur l’IA. Pourtant, l’utilisation d’IA pour la défense peut s’avérer plus coûteuse que l’embauche d’employés humains. De plus, les modèles d’IA spécialisés en cybersécurité, comme Mythos, restent inaccessibles pour la majorité des organisations, notamment dans les pays en développement.
Plusieurs experts en cybersécurité critiquent la lettre ouverte d’OpenAI, la qualifiant de *panique morale* non fondée sur des menaces concrètes. Ils rappellent que les pirates n’ont pas accès aux modèles d’IA les plus avancés, ni aux budgets nécessaires pour les exploiter. Tarah Wheeler, présidente du comité d’audit de l’Electronic Frontier Foundation, souligne que l’accès à des outils comme Mythos reste inégal et que les promesses de transparence d’Anthropic n’ont pas été tenues. Elle pointe aussi le paradoxe selon lequel l’IA rend les attaques plus accessibles financièrement, tandis que la défense reste réservée aux acteurs les plus fortunés.
