OpenAI engage un milliard de dollars dans la cyberdéfense après avoir dévoilé Astra

Ce qu’il faut retenir :

• OpenAI subventionne à hauteur d’un milliard de dollars l’accès à sa plateforme de sécurité Daybreak.
• La liste des bénéficiaires prioritaires ne mentionne aucun acteur du secteur crypto.
• L’annonce suit de trois jours la révélation des capacités offensives du modèle Astra.

OpenAI a annoncé consacrer un milliard de dollars sur six mois à l’accès subventionné à ses modèles de cybersécurité, afin d’aider les organisations à se défendre contre des attaques assistées par intelligence artificielle. L’annonce intervient trois jours après la révélation que son modèle Astra peut découvrir des failles inconnues et construire des attaques exploitables sans guidage humain.

OpenAI s’engage à consacrer 1 milliard de dollars à l’accès subventionné à Daybreak, à la formation, à l’assistance technique et à des partenariats afin d’aider les acteurs de première ligne à protéger les services essentiels.

Ce que recouvre ce milliard de dollars

Une précision s’impose d'emblée : il ne s’agit ni d’un fonds ni d’un programme de subventions au sens habituel.

Le montant correspond à un accès à tarif réduit à Daybreak, le produit de cybersécurité lancé par l’entreprise plus tôt cette année, assorti de formations et d’un support technique.

Le service se décline en deux niveaux. Blue fait tourner les modèles standard de l’entreprise pour le travail défensif courant. Red donne à des organisations approuvées l’accès à des modèles cyber spécialisés pour des tâches plus sensibles. Environ 2 000 organisations l’utilisent déjà, selon l’éditeur.

Les candidatures passent par le site du produit, et le dispositif doit s’étendre à des pays partenaires dans les prochaines semaines.

Une liste de priorités qui ignore la crypto

Le classement des bénéficiaires visés mérite d’être détaillé. Il cite les systèmes d’eau et d’assainissement, les opérateurs de réseaux électriques, les collectivités locales et gouvernements d’État, les banques communautaires et régionales, les organisations à but non lucratif et les mainteneurs de logiciels libres.

Les plateformes d’échange, les conservateurs d’actifs numériques et les protocoles blockchain n’apparaissent nulle part dans cette annonce.

L’omission interroge, car une catégorie citée les recouvre en partie. Les logiciels libres de l’écosystème crypto entrent dans la dernière ligne de cette liste : Bitcoin Core, les clients Ethereum et les bibliothèques dont dépendent les protocoles de finance décentralisée sont maintenus par de petites équipes et des bénévoles non rémunérés, qui gardent du code sécurisant des milliards de dollars.

Un été qui a documenté le problème

La séquence des dernières semaines explique l’urgence.

En août, une faille de BTCPay Server, le logiciel libre que les commerçants installent pour accepter des paiements en bitcoin, a exposé les identifiants contrôlant des nœuds Lightning, et les attaquants ont vidé les fonds avant la publication d’un correctif.

Core Lightning, l’un des principaux programmes permettant de faire tourner ce réseau de paiements, a demandé la semaine dernière à ses opérateurs de déconnecter leurs machines, après qu’une vague de signalements de vulnérabilités générés par intelligence artificielle eut mis au jour plusieurs failles réelles.

Coldcard a de son côté publié un nouveau firmware après le vol de 114 millions de dollars, en indiquant que des modèles de pointe avaient aidé à repérer des bugs sans rapport avec le défaut d’origine.

La demande formulée par le secteur

Ces incidents ont conduit plus de trois douzaines d’entreprises, dont Coinbase, Block, BitGo, Blockstream et ARK Invest, à publier une lettre ouverte aux laboratoires d’IA.

Leur argument tient en une phrase. Ces laboratoires filtrent qui reçoit leurs modèles les plus performants, quand les attaquants se les procurent de toute façon, ce qui laisse les personnes qui maintiennent le code de Bitcoin avec des outils plus faibles que ceux employés pour l’attaquer.

C’est précisément cette asymétrie que le dispositif annoncé jeudi entend corriger, pour des secteurs qui ne comprennent pas le leur.

Et maintenant ?

Deux points méritent d’être suivis.

Les critères d’éligibilité, d’abord. Un mainteneur bénévole de bibliothèque cryptographique peut-il candidater au même titre qu’un opérateur de réseau électrique ? La réponse déterminera si la catégorie des logiciels libres englobe l’infrastructure crypto ou si elle s’arrête à ses portes.

La cohérence de la démarche ensuite. Une entreprise qui annonce lundi disposer du premier modèle capable de construire des attaques sans intervention humaine, puis jeudi un milliard de dollars pour aider à s’en défendre, propose le remède au problème qu’elle contribue à créer. Cette logique n’est pas nécessairement critiquable, puisque le modèle existera de toute façon. Elle place en revanche le même acteur des deux côtés de l’équation, et confie à son jugement le choix de ceux qui recevront les moyens de se protéger.