IBM rejoint le programme OpenAI Daybreak Cyber Partner Program, une initiative conçue pour déployer des modèles d’IA avancés dans les processus de défense des entreprises. À l’appui, la société lance un nouveau service de sécurité des applications qui exploite les capacités cyber d’OpenAI pour aider les organisations à identifier, valider et hiérarchiser rapidement les vulnérabilités logicielles.

Ce lancement arrive à un moment critique pour les équipes de sécurité. Les entreprises gèrent des bases de code volumineuses, dépendent de nombreuses bibliothèques open source et font face à des attaquants qui utilisent l’automatisation et l’IA pour détecter des vulnérabilités, tester des vecteurs d’attaque et amplifier leurs campagnes avec moins d’effort humain. La promesse d’IBM et d’OpenAI : apporter cette même vélocité à la défense, tout en garantissant les contrôles d’entreprise et une exécution dans l’environnement du client.

Au-delà du simple scan de code

Le service s’appuie sur IBM Consulting Advantage, la plateforme IA qu’IBM utilise pour ses activités de conseil. Selon la société, l’approche ne se réduit pas à appliquer un scanner sur le code. Le système analyse les applications, priorise les zones à risque élevé et aide à valider les vulnérabilités avant que les équipes de sécurité n’y consacrent des heures.

Le défi courant en sécurité applicative, c’est le bruit : des outils qui génèrent des listes interminables d’alertes et de faux positifs. IBM vise un modèle plus ciblé, où l’IA identifie des chemins d’attaque réalistes, réduit le volume de signaux parasites et concentre l’attention sur les points vraiment critiques.

Le service fonctionne dans l’environnement du client, avec un accès en lecture seule aux dépôts de code et une exécution encadrée. Cette architecture répond à une préoccupation majeure des grands comptes : bénéficier de modèles avancés sans exposer leur code sensible, leur propriété intellectuelle ou leurs données internes à des processus peu maîtrisés. La première étape couvrira des évaluations ciblées de logiciels clés, avant d’évoluer vers une surveillance continue au fil des mises à jour du code et des nouvelles menaces.

Daybreak et Lightwell : deux faces d’une même stratégie

OpenAI décrit Daybreak comme une initiative pour aider les défenseurs à détecter, valider et corriger les vulnérabilités avant leur exploitation. Le programme combine des modèles cyber de pointe (Codex Security), des workflows contrôlés et des partenariats avec des sociétés de sécurité pour intégrer ces capacités dans les outils déjà utilisés par les équipes SOC.

IBM entre dans cet environnement avec un avantage concret : sa présence dans de grands comptes, dans des secteurs réglementés et dans des environnements hybrides complexes. La société ne vend pas seulement des logiciels de sécurité — elle gère des services, opère des infrastructures critiques et entretient des relations étroites avec la finance, les télécommunications, la santé et les administrations publiques. C’est exactement le profil d’entreprise qui ne veut pas connecter ses dépôts à un outil externe sans garanties contractuelles et techniques solides.

L’annonce s’articule aussi avec Project Lightwell, présenté par IBM et Red Hat fin mai. Lightwell engage 5 milliards de dollars et plus de 20 000 ingénieurs pour aider les entreprises à sécuriser les logiciels open source. L’objectif : un centre de coordination pour identifier, valider, patcher et gérer à l’échelle les vulnérabilités dans la chaîne d’approvisionnement logicielle.

Lightwell ne s’appuie pas uniquement sur OpenAI. IBM explique qu’il utilisera des capacités cyber d’OpenAI combinées à d’autres modèles pour la revue de code et la remédiation. L’objectif : automatisation avancée plus supervision humaine. Car si l’IA peut accélérer l’analyse, la validation et la correction doivent rester sous contrôle humain — surtout quand on touche à du code open source utilisé en production.

Cette évolution illustre une tendance plus large : la cybersécurité d’entreprise ne peut plus se limiter à la détection d’incidents en production. Elle doit s’étendre au code, aux dépendances, aux dépôts, aux pipelines CI/CD et à la chaîne d’approvisionnement. La question n’est plus seulement « est-on attaqué ? », mais « quelles vulnérabilités porte-t-on en amont avant qu’un intrus n’en profite ? ». Le même glissement vers l’IA d’infrastructure se retrouve dans d’autres secteurs : OVHcloud construit des LLM souverains pour les secteurs réglementés européens, avec la même idée que l’IA doit rester dans le périmètre du client.

L’IA accélère l’attaque : la défense doit suivre

Le message fondamental est dur à entendre pour les responsables sécurité : les attaquants ne travaillent plus à vitesse humaine. Avec l’IA, ils peuvent analyser du code, repérer des motifs vulnérables, rédiger des exploits, automatiser la reconnaissance et adapter leurs campagnes plus rapidement. Le coût de l’expérimentation baisse du côté offensif — il faut donc qu’il baisse aussi du côté défensif.

OpenAI insiste sur le fait que Daybreak a été conçu autour de principes d’autorisation, de jugement humain et de surveillance stricte. Un accès contrôlé est proposé via Trusted Access for Cyber, réservé aux équipes vérifiées avec des contrôles précis sur la portée et la supervision des tâches à haut risque.

Pour les grandes entreprises, le défi ne sera pas seulement technique. Il sera aussi organisationnel et juridique. L’usage de l’IA avancée en sécurité implique de définir quels dépôts peuvent être consultés, quelles données peuvent sortir du périmètre, qui valide les résultats, comment documenter les décisions, et qui assume la responsabilité d’un patch suggéré par un modèle qui introduit une nouvelle faille.

IBM cherche à répondre à cette incertitude avec un service géré et contrôlé qui encapsule la technologie d’OpenAI. C’est la formule la plus adaptée pour les banques, les assureurs, l’industrie, les administrations et autres acteurs sous forte contrainte réglementaire. Ils n’ont pas envie de connecter leurs dépôts à un outil externe directement, mais ils acceptent un service supervisé, contractuel, traçable et deployé dans leur propre environnement.

Au fond, IBM et OpenAI montrent que l’IA de pointe pènetre dans la sécurité d’entreprise de façon pragmatique : pas comme un substitut aux équipes, mais comme un accélérateur d’analyse, de hiérarchisation et de correction. La valeur ne réside pas dans le nombre d’alertes générées, mais dans la réduction du délai entre la détection d’une vulnérabilité et sa correction déployée. Si cette promesse tient, les entreprises pourront analyser plus de code, répondre plus vite aux failles et mieux gérer leurs dépendances open source critiques. Mais le marché devra évaluer les résultats concrets : moins de bruit, moins d’exposition, des correctifs fiables et une vraie réduction du risque.

IBM et OpenAI ont choisi un terrain où le besoin est réel. Le logiciel d’entreprise dépend de millions de lignes de code interne et externe, et les attaquants n’attendent pas que les cycles d’audit traditionnels se terminent. La défense à vitesse machine n’est plus une idée de futur — c’est une nécessité quand l’IA fait partie de la boîte à outils de l’attaquant comme du défenseur. Un contexte que suit de près la compétition technologique mondiale, notamment la course au supercalcul souverain que livre la Chine avec LineShine, où l’infrastructure de calcul devient elle-même un enjeu stratégique.

Questions fréquentes sur IBM, OpenAI et la cybersécurité d’entreprise

Qu’a annoncé IBM avec OpenAI ?
IBM a rejoint le programme OpenAI Daybreak Cyber Partner Program et lance un service de sécurité des applications utilisant les capacités cyber d’OpenAI pour identifier et valider les vulnérabilités logicielles dans l’environnement du client.

En quoi cela diffère-t-il d’un scanner de code traditionnel ?
L’approche dépasse la détection automatisée de failles. IBM mise sur une analyse IA qui priorise les zones à risque élevé, valide les vulnérabilités et réduit le bruit des faux positifs, pour concentrer les équipes sécurité sur les vrais risques.

Quel est le lien avec Project Lightwell ?
Project Lightwell, mené par IBM et Red Hat avec un engagement de 5 milliards de dollars et 20 000 ingénieurs, vise à protéger les logiciels open source et la chaîne d’approvisionnement logicielle. Il s’appuie sur des modèles d’OpenAI et d’autres fournisseurs.

L’IA va-t-elle remplacer les équipes de cybersécurité ?
Non. Ces services accélèrent l’analyse et la hiérarchisation, mais la validation humaine, la gouvernance et les décisions de correction restent essentielles. IBM conçoit son offre explicitement comme un service supervisé, pas comme une boîte noire autonome.

Quels types d’entreprises sont visées ?
Principalement les grands comptes dans des secteurs réglementés : finance, assurance, industrie, santé, administrations publiques. Des organisations qui ne veulent pas envoyer leur code à des outils externes, mais qui acceptent un service géré deployé dans leur propre environnement.

Source : IBM Newsroom