OpenAI a publié le 17 août une note de doctrine sur la cybersécurité qui vise directement les équipes de défense. Le message central est simple : les mêmes capacités d’IA qui peuvent aider des attaquants à automatiser une partie de leurs opérations doivent être mises au service des défenseurs, rapidement et dans les outils qu’ils utilisent déjà.
Dans ce texte intitulé The Defender’s Window, OpenAI décrit une fenêtre d’action courte. L’entreprise estime que les modèles avancés commencent à abaisser le coût de certaines attaques réelles, notamment l’analyse de code, l’enchaînement de vulnérabilités, la recherche de configurations faibles ou l’exploitation d’identifiants exposés. Elle cite aussi l’incident ayant touché OpenAI et Hugging Face comme un signal de ce que des acteurs plus classiques pourraient bientôt reproduire avec moins d’effort.
La proposition défensive repose sur des agents capables d’accompagner les équipes sécurité au quotidien. OpenAI évoque d’abord la revue de code assistée, avec des outils comme Codex ou un plugin de sécurité pour repérer des vulnérabilités avant le déploiement. L’objectif n’est pas seulement de signaler une faille, mais aussi d’aider les développeurs à produire un correctif vérifiable, accompagné de tests ciblés.
Un deuxième volet concerne le tri des alertes. L’entreprise décrit une organisation où les premiers signaux sont enrichis et classés par des systèmes d’IA avant l’intervention humaine. Les décisions sensibles restent confiées aux équipes, mais les tâches répétitives, la recherche de contexte et les premières hypothèses d’investigation peuvent être accélérées.
OpenAI insiste aussi sur la cartographie active des risques. Dans sa vision, des agents spécialisés peuvent parcourir des services exposés, du code d’infrastructure, des chaînes de déploiement ou des règles d’accès pour trouver des chemins d’attaque probables. Cette approche est présentée comme un moyen de réduire la dette de sécurité, pas comme un substitut aux fondamentaux : cloisonnement réseau, moindre privilège, surveillance, durcissement des charges de travail et correctifs maîtrisés.
Le texte donne un exemple plus concret avec un audit du site personnel de Greg Brockman. Selon OpenAI, ChatGPT Work avec un modèle GPT-5.6 Sol a identifié en une quinzaine de minutes treize problèmes, dont des risques liés à la messagerie, à une bibliothèque JavaScript ancienne et à une liaison non chiffrée entre Cloudflare et AWS. Les corrections auraient ensuite été appliquées progressivement, avec ajustement des paramètres Cloudflare, retrait de jQuery et amélioration de la politique DMARC.
Pour les organisations, la feuille de route proposée reste pragmatique. OpenAI recommande d’obtenir un mandat interne clair, de donner un agent aux équipes sécurité, de l’équiper de connaissances propres à l’entreprise, puis de commencer par les systèmes les plus exposés : services internet, authentification, infrastructure as code, pipelines de déploiement et environnements manipulant des données sensibles.
Cette publication ne change pas à elle seule l’équilibre de la cybersécurité, mais elle formalise une direction importante pour les prochains mois. Les agents IA deviennent moins un sujet de démonstration qu’un outil opérationnel à intégrer dans les revues, les correctifs et l’investigation, avec une condition essentielle : garder les humains aux commandes des choix à impact élevé.
