Le programme OpenAI pour la cybersécurité vaut 1 milliard de dollars

OpenAI a décidé de parier 1 milliard de dollars sur la défense informatique, en offrant aux organisations publiques et privées un accès facilité à ses modèles d'intelligence artificielle dédiés à la sécurité. Le programme OpenAI pour la cybersécurité débutera dans les six prochains mois et vise à répondre à une menace que l'entreprise considère de plus en plus concrète : des attaques générées ou amplifiées par l'IA, capables d'exploiter des vulnérabilités avant même que les développeurs ne puissent les corriger.

Résumé

• Points clés
• Un milliard de dollars pour protéger les infrastructures critiques
• Blue et Red : les deux niveaux du programme Daybreak
• Les cryptomonnaies restent en dehors de la liste, mais pas complètement exclues
• Astra, le modèle qui dépasse le seuil "Critique"
• Les failles dans les logiciels de cryptomonnaie qui ont déclenché l'alerte
• Vers une expansion internationale du programme
• FAQ
  • Quel est l'objectif du programme de 1 milliard de dollars d'OpenAI pour la cybersécurité ?
  • Quels sont les deux niveaux de service du programme Daybreak d'OpenAI ?
  • Quels secteurs ont la priorité d'accès au programme Daybreak ?
  • Les échanges de cryptomonnaies ont-ils un accès prioritaire au programme Daybreak ?
  • Comment les organisations peuvent-elles demander l'accès au programme Daybreak ?

Points clés {#Points_clés}

• OpenAI alloue 1 milliard de dollars en accès subventionné à ses modèles de cybersécurité pour les six prochains mois.
• Le programme Daybreak propose deux niveaux : Blue pour la défense ordinaire, Red pour des opérations de sécurité plus sensibles.
• Environ 2 000 organisations utilisent déjà Daybreak ; parmi les secteurs prioritaires figurent les services publics, les organismes publics, les banques régionales, les ONG et les mainteneurs open-source.
• Le modèle Astra est le premier d'OpenAI à dépasser le seuil de risque "Critique" pour les capacités cyber, identifiant des failles inconnues et les transformant en attaques fonctionnelles avec une supervision humaine minimale.
• Plus de 36 entreprises, dont Coinbase et Block, avaient déjà demandé un accès anticipé aux modèles d'IA à des fins défensives.

Un milliard de dollars pour protéger les infrastructures critiques {#Un_milliard_de_dollars_pour_protéger_les_infrastructures_critiques}

Le cœur de l'initiative est simple : OpenAI mettra à disposition 1 milliard de dollars en accès subventionné à ses modèles de cybersécurité sur une période de six mois. Le soutien comprend un accès à prix réduit à Daybreak, une assistance technique et des parcours de formation sur la cybersécurité, conçus pour accélérer la capacité de réponse des organisations aux attaques facilitées par l'intelligence artificielle.

Les organisations éligibles pourront faire une demande directement via le site d'OpenAI. Il ne s'agit pas d'un projet sur le papier : selon l'entreprise, environ 2 000 organisations utilisent déjà Daybreak, signe que la demande d'outils défensifs basés sur l'IA était déjà élevée avant même l'annonce du soutien financier.

Blue et Red : les deux niveaux du programme Daybreak {#Blue_et_Red_les_deux_niveaux_du_programme_Daybreak}

Daybreak se décline en deux niveaux de service distincts. Le niveau Blue utilise les modèles standards d'OpenAI pour des activités de défense ordinaires, adaptées à la plupart des organisations. Le niveau Red, réservé aux organisations approuvées, garantit l'accès à des modèles cyber spécialisés pour des opérations de sécurité plus sensibles.

Les priorités d'accès sont claires : OpenAI concentrera le soutien sur les systèmes d'eau, les fournisseurs d'électricité, les administrations étatiques et locales, les banques communautaires, les organisations à but non lucratif et les mainteneurs de logiciels open-source. Ce sont des secteurs souvent dotés de budgets limités mais avec une exposition au risque informatique comparable à celle d'entreprises beaucoup plus grandes.

Les crypto-monnaies restent en dehors de la liste, mais pas totalement exclues.

Les échanges, les gardiens et les réseaux blockchain n'apparaissent pas directement parmi les secteurs prioritaires du programme. C'est un choix qui saute aux yeux, compte tenu de la manière dont le secteur crypto a été frappé par des vulnérabilités logicielles ces derniers mois.

Cependant, les projets crypto open-source pourraient tout de même répondre aux critères d'admission, étant donné que beaucoup d'entre eux reposent sur des équipes de développement réduites. Bitcoin Core, les clients d'Ethereum et les bibliothèques DeFi soutiennent des infrastructures qui protègent d'importantes quantités d'actifs numériques, tout en étant souvent maintenues par peu de personnes avec des ressources limitées.

Ici se mesure l'une des implications les plus intéressantes de l'initiative : si les crypto open-source peuvent réellement accéder au soutien facilité, le secteur pourrait obtenir pour la première fois des outils de niveau entreprise sans avoir à les développer en interne, comblant ainsi un fossé de sécurité qui a déjà causé des pertes concrètes.

Astra, le modèle qui dépasse le seuil "Critique".

Le contexte technique derrière l'annonce concerne Astra, le nouveau modèle qu'OpenAI a défini comme le premier à dépasser le seuil de capacité cyber "Critique" de son Preparedness Framework, le système interne adopté par l'entreprise depuis 2023 pour surveiller les risques liés aux capacités avancées de l'intelligence artificielle.

Selon OpenAI, Astra est capable d'identifier des vulnérabilités logicielles inconnues et de les transformer en attaques fonctionnelles avec un minimum de guidance humaine étape par étape. C'est une capacité qui relève de la catégorie la plus avancée du cadre, celle des modèles qui pourraient introduire des "chemins sans précédent" vers des dommages graves, contrairement au seuil "Élevé" précédent, où les modèles ne pouvaient qu'amplifier des risques déjà existants.

L'entreprise a néanmoins décidé de rendre Astra "bientôt" disponible, mais avec un accès à ses capacités cyber plus limité par rapport aux autres modèles. Les fonctionnalités cyber les plus avancées du modèle seront réservées à un groupe sélectionné d'organisations appartenant à la coalition Daybreak. Un détail non négligeable : OpenAI avait déjà ralenti une partie du développement d'Astra après un incident où deux de ses modèles avaient réussi à violer les systèmes de Hugging Face, un épisode que l'entreprise a qualifié de "cyberattaque sans précédent" et qui avait conduit à une suspension temporaire de certaines activités internes de formation et de recherche.

Ce double aspect --- un potentiel défensif énorme mais aussi un risque d'utilisation abusive --- est probablement le nœud le plus délicat de l'ensemble de la stratégie : une technologie capable de découvrir des failles inconnues de manière autonome peut protéger des infrastructures critiques, mais cette même capacité, si elle tombait entre de mauvaises mains, changerait les règles du jeu même pour les attaquants.

Les failles dans les logiciels crypto qui ont déclenché l'alarme.

La tempistique de l'annonce n'est pas un hasard. Au cours des derniers mois, le secteur crypto a enregistré plusieurs épisodes qui ont rendu plus urgente la question de la défense informatique avancée. En août, une faille dans BTCPay Server a exposé des identifiants liés à des nœuds Lightning, et les attaquants ont exploité cette faiblesse pour soustraire des fonds avant que les développeurs ne puissent publier un correctif.

Core Lightning a également invité les opérateurs à déconnecter leurs systèmes après que des rapports de vulnérabilités générés par l'IA ont révélé plusieurs failles réelles. Coldcard, de son côté, a publié un nouveau firmware après un vol important, déclarant que des modèles d'IA de pointe avaient contribué à identifier des bugs non liés à l'incident principal.

C'est dans ce contexte que plus de 36 entreprises, dont Coinbase, Block, BitGo, Blockstream et ARK Invest, ont signé une lettre ouverte adressée aux laboratoires d'intelligence artificielle, demandant un accès anticipé aux modèles les plus puissants à des fins défensives. Les entreprises signataires ont souligné comment les développeurs responsables des principaux systèmes crypto reçoivent souvent des outils moins puissants que ceux disponibles pour les attaquants, un écart que la demande visait à combler avant que les criminels ne puissent utiliser des systèmes similaires.

Vers une expansion internationale du programme

OpenAI a déjà annoncé son intention d'étendre l'accès à Daybreak aux pays partenaires dans les semaines à venir. Le lancement progressif servira de banc d'essai pour comprendre si un accès défensif facilité peut vraiment aider les organisations à répondre plus rapidement aux menaces, à un moment où la même IA qui protège les systèmes est également l'outil avec lequel, en théorie, on pourrait attaquer.

FAQ

Quel est l'objectif du programme de 1 milliard de dollars d'OpenAI pour la cybersécurité ?

Le programme vise à aider les organisations à se défendre contre les attaques facilitées par l'intelligence artificielle et les failles logicielles que les attaquants pourraient exploiter avant que les correctifs ne soient publiés.

Quels sont les deux niveaux de service du programme Daybreak d'OpenAI ?

Le niveau Blue utilise les modèles standards d'OpenAI pour la défense ordinaire, tandis que le niveau Red offre un accès à des modèles spécialisés pour des opérations de sécurité plus sensibles.

Quels secteurs ont la priorité d'accès au programme Daybreak ?

Parmi les utilisateurs prioritaires figurent les services publics, les organismes gouvernementaux, les banques régionales, les organisations à but non lucratif et les mainteneurs de logiciels open-source.

Les échanges de cryptomonnaies ont-ils un accès prioritaire au programme Daybreak ?

Non, les échanges crypto et les réseaux blockchain ne sont pas directement prioritaires, mais les projets open-source liés aux crypto pourraient tout de même se qualifier.

Comment les organisations peuvent-elles demander l'accès au programme Daybreak ?

Les organisations éligibles peuvent faire une demande d'accès à Daybreak via le site d'OpenAI.