La coïncidence qui n’en est pas une
Quand Anthropic annonce Project Glasswing (un programme de financement open source pour sécuriser les logiciels critiques) et qu’OpenAI dévoile quelques heures plus tard un nouveau produit dédié à la cybersécurité, il ne s’agit pas d’un hasard de calendrier. C’est le signal que la prochaine grande bataille de l’IA ne se jouera pas sur les chatbots grand public, mais sur la sécurité informatique des entreprises.
Et cette bataille, contrairement à celle des modèles de langage généralistes, se joue sur un terrain beaucoup plus stratégique : celui où les entreprises sont prêtes à payer des fortunes, où les États investissent massivement, et où une erreur peut coûter des milliards.
Ce que proposent vraiment ces deux géants
Project Glasswing d’Anthropic n’est pas un produit, c’est une stratégie d’influence. En finançant des projets open source critiques pour la sécurité logicielle, Anthropic se positionne comme le “bon élève” de l’écosystème. Le message est clair : “Nous ne vendons pas juste de l’IA, nous investissons dans les fondations qui rendent l’IA sûre.”
C’est malin. Très malin même. Parce qu’en amont de tout produit commercial, Anthropic crée déjà de la dette de gratitude auprès de la communauté sécurité. Les développeurs qui bénéficieront de ces financements se souviendront qui les a aidés quand viendra le moment de choisir un fournisseur IA pour leur entreprise.
Du côté d’OpenAI, l’approche est plus directe : un produit dédié à la cybersécurité. Pas de détails techniques encore, mais le timing parle de lui-même. Après avoir dominé le marché grand public avec ChatGPT, OpenAI veut sa part du gâteau entreprise. Et la cybersécurité, c’est le segment où les budgets sont élastiques et où la peur est un excellent moteur d’achat.
Pourquoi la cybersécurité, pourquoi maintenant ?
Le marché de la cybersécurité assistée par IA devrait atteindre 38 milliards de dollars d’ici 2026. Mais au-delà des chiffres, il y a une réalité opérationnelle : les entreprises croulent sous les alertes de sécurité, manquent cruellement d’experts, et les attaquants utilisent déjà l’IA pour leurs opérations.
J’ai discuté récemment avec un RSSI d’une fintech européenne. Son équipe reçoit environ 15 000 alertes de sécurité par jour. Quinze mille. Impossible à traiter humainement. Résultat : 98% sont ignorées, et dans le lot, des vraies menaces passent entre les mailles.
C’est exactement le type de problème où l’IA peut briller. Pas pour remplacer les analystes sécurité, mais pour faire le premier tri, identifier les patterns anormaux, corréler des événements apparemment sans lien. Le genre de tâches répétitives et gourmandes en contexte où Claude ou GPT excellent.
Mais il y a un piège.
Le paradoxe de l’IA en sécurité
Utiliser l’IA pour défendre les systèmes informatiques crée un problème philosophique fascinant : comment faire confiance à un système opaque pour protéger des systèmes critiques ?
Quand Claude analyse du code pour détecter des vulnérabilités, sur quoi base-t-il son jugement ? Quand il repère une activité suspecte, peut-il expliquer son raisonnement de manière auditable ? Et surtout : que se passe-t-il quand l’IA se trompe et bloque un processus légitime dans un système critique ?
C’est pour ça que l’approche d’Anthropic avec Glasswing est potentiellement plus intelligente sur le long terme. Plutôt que de vendre directement une boîte noire IA pour la sécurité, ils investissent dans les fondations : des outils open source, auditables, sur lesquels leur IA pourra ensuite s’appuyer de manière plus transparente.
OpenAI, avec son approche produit direct, prend le pari inverse : miser sur la performance pure. “Notre IA détecte mieux les menaces, point.” C’est un pari qui peut fonctionner à court terme, mais qui risque de se heurter aux exigences réglementaires croissantes sur la transparence des systèmes de sécurité.
Ce que ça change pour les praticiens
Si vous utilisez déjà Claude ou ChatGPT dans votre travail quotidien, voici ce qui va changer concrètement :
Pour les développeurs : Les prochaines versions de Claude et GPT vont probablement intégrer des capacités de sécurité beaucoup plus poussées. Analyse automatique de vulnérabilités dans votre code, suggestions de correctifs, détection de patterns dangereux. On peut s’attendre à ce que l’assistant de code devienne aussi assistant de sécurité.
Pour les équipes sécurité : De nouveaux outils vont émerger, construits au-dessus de ces modèles, spécifiquement pour l’analyse de logs, la corrélation d’événements, la réponse à incidents. Le risque ? Une fragmentation du marché avec dix solutions qui font à peu près la même chose.
Pour les décideurs : La pression va monter pour “faire quelque chose avec l’IA en sécurité”. Mon conseil : résistez au FOMO. Ces technologies sont encore jeunes, et une mauvaise implémentation peut créer plus de problèmes qu’elle n’en résout.
Les questions qu’on devrait tous se poser
Cette double annonce soulève des interrogations plus profondes que le simple lancement de produits :
Qui audite l’auditeur ? Si l’IA devient le gardien de nos systèmes, qui vérifie que l’IA elle-même n’est pas compromise ? Nous entrons dans une ère où la sécurité de l’IA de sécurité devient critique.
La course aux armements est lancée : Si les défenseurs utilisent l’IA, les attaquants aussi. Et souvent avec moins de contraintes éthiques et réglementaires. Sommes-nous en train de créer une escalade dont personne ne sortira gagnant ?
Le problème de la dépendance : Confier sa sécurité à un fournisseur externe d’IA, c’est créer un point de défaillance unique massif. Que se passe-t-il quand (pas si) Anthropic ou OpenAI ont une panne ? Quand leurs API sont DDoS ? Quand ils décident de changer leur pricing ?
Mon verdict de praticien
Après avoir testé Claude pour de l’analyse de code et de la revue de sécurité basique, je peux dire que la technologie est prometteuse mais pas encore prête pour des déploiements critiques en production.
Les modèles actuels excellent pour :
- Détecter les vulnérabilités connues (injections SQL, XSS, etc.)
- Analyser des logs et identifier des anomalies évidentes
- Générer des rapports de sécurité compréhensibles
- Former les juniors aux bonnes pratiques
Mais ils échouent encore sur :
- Les vulnérabilités logiques complexes
- Les faux positifs (beaucoup trop nombreux)
- La compréhension du contexte métier
- La prise de décision en situation d’incident réel
Ce double lancement n’est pas un tournant technologique. C’est un tournant commercial. OpenAI et Anthropic ont compris que le marché entreprise de la sécurité est le prochain jackpot, et ils se positionnent avant que les acteurs historiques (Palo Alto Networks, CrowdStrike, etc.) ne construisent leurs propres solutions IA.
La vraie question n’est pas “est-ce que l’IA va révolutionner la cybersécurité ?” mais plutôt “qui va contrôler cette révolution ?”. Et pour l’instant, la bataille ne fait que commencer.
Ce qu’il faut surveiller dans les prochains mois
Gardez un œil sur ces signaux :
-
Les partenariats stratégiques : Qui va s’allier avec qui ? Un partenariat Anthropic-CrowdStrike ou OpenAI-Palo Alto changerait complètement la donne.
-
Les certifications : Pour être crédibles en sécurité, ces solutions devront obtenir des certifications (SOC 2, ISO 27001, etc.). Qui les obtiendra en premier ?
-
Les incidents : Le premier gros raté d’une IA de sécurité (faux négatif qui laisse passer une attaque, ou faux positif qui plante un système critique) va définir les règles du jeu pour des années.
-
La réglementation : L’UE avec son AI Act va probablement classer ces systèmes comme “à haut risque”. Comment OpenAI et Anthropic vont-ils s’adapter ?
Si vous travaillez dans la tech, la sécurité, ou que vous utilisez déjà Claude ou ChatGPT professionnellement, c’est le moment de vous former aux enjeux de sécurité de l’IA. Pas dans trois ans, maintenant. Parce que dans trois ans, ce sera déjà trop tard pour avoir votre mot à dire sur comment ces outils seront déployés dans votre organisation.
La bataille de la cybersécurité IA ne se gagne pas avec le meilleur modèle, mais avec la meilleure compréhension des enjeux. Et ça, aucune IA ne peut le faire à votre place.
