Cyberdéfense collective : ce que l'appel de 100 entreprises tech change pour les infrastructures critiques

OpenAI a publié le 27 août 2026 une lettre ouverte cosignée par plus de 100 entreprises, dont Anthropic, Google, Microsoft, Amazon Web Services, CrowdStrike et Cloudflare. Le texte avertit que les cyberattaques pilotées par IA vont devenir plus fréquentes et plus sophistiquées dans les prochains mois.

Deux secteurs y sont cités nommément comme cibles à risque : les hôpitaux et les stations de traitement d'eau potable. Le choix n'est pas anodin. En France, ces deux secteurs relèvent déjà de NIS2, et les obligations qui vont avec ne dépendent d'aucune lettre ouverte.

Ce que dit la lettre, en résumé

La lettre part d'un constat simple : les modèles d'IA deviennent assez capables pour automatiser la découverte de failles et l'écriture de code d'attaque. Les signataires estiment disposer d'une fenêtre limitée pour renforcer les défenses avant que cette capacité ne se généralise du côté des attaquants.

Le texte cite explicitement les services dont dépendent les communautés : hôpitaux, stations de traitement d'eau potable, infrastructures qui font fonctionner internet. Il fait suite à une série d'incidents documentés cette année, dont celui qui a touché Hugging Face fin juillet, que j'ai détaillé dans mon article sur cette compromission.

Pourquoi hôpitaux et eau potable, pas au hasard

Ce choix n'a rien d'anecdotique pour une organisation française. La santé et l'eau potable figurent toutes les deux à l'annexe I de la directive NIS2, la liste des secteurs jugés hautement critiques.

Une structure de santé ou un opérateur d'eau potable qui dépasse les seuils de taille de 50 salariés ou 10 millions d'euros de chiffre d'affaires entre donc directement dans le champ de NIS2. J'ai détaillé les critères complets dans le test NIS2 en 6 questions.

Ce que la lettre demande, concrètement

Le texte distingue quatre publics, avec une demande différente pour chacun.

• Aux organisations : traiter la cyberdéfense comme une priorité de direction, corriger d'abord les failles les plus critiques et renforcer le contrôle des accès.
• Aux éditeurs de cybersécurité : rendre les outils de défense assistés par IA accessibles aux opérateurs d'infrastructures critiques.
• Aux gouvernements : coordonner un soutien pour les hôpitaux, les services d'eau et les collectivités, historiquement sous-dotés en sécurité selon la lettre.
• Aux concepteurs de modèles de frontière : ouvrir aux défenseurs l'accès à leurs modèles les plus capables pendant un incident majeur, et financer la formation et l'accompagnement des opérateurs critiques.

Ce que la lettre ne dit pas

Aucun engagement chiffré, aucune échéance, aucun budget précis n'accompagne ce texte. C'est une déclaration d'intention, pas un plan d'action avec des livrables datés.

Je le note sans ironie : une lettre signée par 100 entreprises reste utile pour fixer un cap collectif. Mais elle ne remplace aucune des mesures concrètes qu'un hôpital ou un service d'eau doit déjà avoir engagées au titre de l'article 21 de NIS2.

Ce que je vérifie avec mes clients santé et eau

Dans les diagnostics que je mène pour des structures de ce type, l'atelier 2 d'EBIOS RM, celui qui liste les sources de risque, date souvent d'avant l'essor de l'IA offensive. Personne ne l'a mis à jour depuis.

Je recommande de le rouvrir dès maintenant, pas d'attendre un prochain cycle d'analyse. J'explique comment choisir entre EBIOS RM et l'ISO 27005 pour mener cet exercice dans mon comparatif des deux méthodes.

Si vous dirigez une structure de santé ou un service d'eau et que vous voulez vérifier où vous en êtes sur ces dix mesures, parlons-en.