Dans la course à l’intelligence artificielle, les nouveaux développements surviennent plus rapidement qu’il n’est nécessaire de les digérer. Dans ce monde sans fin de publicités dystopiques et de stratégies de relations publiques visant à exagérer les réalisations, il est difficile de faire la distinction entre une avancée critique et une mise à jour prometteuse. Mais le dernier modèle d'intelligence artificielle d'Anthropic menace de faire des ravages dans les systèmes de cybersécurité de la planète.
Anthropic, l'une des sociétés pionnières en matière d'intelligence artificielle, a annoncé plus tôt ce mois-ci avoir développé un modèle d'IA si puissant qu'en quelques minutes, il est capable de découvrir les vulnérabilités et les failles cachées des systèmes informatiques et de toute organisation ou entreprise. Le modèle s’appelle Mythos Preview et a semé la panique dans le monde entier, sur fond de doutes quant à sa portée réelle et à la menace qu’il représente pour les gouvernements de la planète.
L'entreprise, dirigée par Dario Amodei, une sorte de gourou qui prône une utilisation éthique de la technologie, a décidé de limiter l'utilisation de Mythos à une cinquantaine d'entreprises et d'opérateurs d'infrastructures critiques, tous d'origine américaine, pour les aider à construire un mur de défense avant de trouver un moyen d'exploiter les faiblesses des systèmes informatiques. Anthropic a nommé ce groupe Project Glasswing, en référence à un étrange type de papillon qui possède des ailes transparentes pour se camoufler dans la nature. Ces sociétés, dont Apple, Amazon, Microsoft, Nvidia et JP Morgan, travaillent au développement de solutions de sécurité pour combler les lacunes détectées par le modèle.
Si ces types d'outils tombaient entre de mauvaises mains, ils pourraient accéder aux systèmes informatiques de n'importe quelle organisation ou entreprise, y compris des opérateurs critiques tels que des hôpitaux ou des gestionnaires de systèmes électriques, ou aux systèmes de sécurité des gouvernements et prendre le contrôle des systèmes d'exploitation et des navigateurs qu'ils utilisent. Il s’agit donc non seulement d’une menace pour les criminels d’accéder à des informations confidentielles, mais également d’un risque pour la sécurité nationale.
groupe de sécurité
Le modèle, insistent les responsables d’Anthropic, « a identifié des milliers de vulnérabilités supplémentaires de gravité élevée et critique ». Et ils justifient : « Nous travaillons à les divulguer de manière responsable ».
Mythos n'est rien de plus qu'un modèle de langage similaire à son frère Claude d'Anthropic ou ChatGPT d'OpenAI, mais plus avancé et avec des capacités beaucoup plus développées. Lors de ses tests, expliquent ses créateurs, il a trouvé et exploité des vulnérabilités classées « zero-day ». Ceux qui étaient inconnus. Certains n’avaient même pas été découverts depuis plusieurs années, ce qui explique la difficulté de les détecter. Cela implique qu’il n’existe toujours pas de solutions ou de correctifs pour éviter les fuites indésirables de pannes dites « zero-day ».
« Plus de 99 % des vulnérabilités que nous avons détectées n'ont pas encore été corrigées, il serait donc irresponsable de divulguer des détails à leur sujet », a déclaré l'entreprise dans un article sur son blog publié le 9 avril.
Washington, Bruxelles et Londres, entre autres, ont exprimé leur inquiétude face à la menace Mythe. L’administration américaine s’est empressée de reconstruire ses relations avec Anthropic, rompues après que le président Donald Trump a ordonné de supprimer tous les contrats publics avec le géant de la technologie, évalués à plus de 350 milliards de dollars, en raison de sa résistance à autoriser l’utilisation de toutes les fonctionnalités de ses modèles d’IA à des fins militaires.
Accord avec la Maison Blanche
Le ministère de la Défense, dirigé par Pete Hegseth, a classé l'entreprise comme un risque pour la sécurité nationale en février, une décision qui a porté un coup dur à Anthropic. Mais la nouvelle découverte a servi à panser les blessures.
La semaine dernière, Dario Amodei s'est rendu à la Maison Blanche pour expliquer la portée du nouveau modèle d'IA. Deux jours plus tard, Trump a suggéré un nouvel accord avec Anthropic dans une interview sur CNBC. « Nous avons eu des conversations très productives avec eux et je pense qu’ils font des progrès », a déclaré Trump. « Ils sont très intelligents et je pense qu'ils peuvent être très utiles », a-t-il ajouté lors de son discours aux heures de grande écoute. Ces déclarations contrastent avec celles qu’il avait faites quelques mois plus tôt sur son réseau social Truth : « Les États-Unis d’Amérique ne permettront jamais à une entreprise de gauche radicale et « éveillée » de décider comment nos militaires combattent et gagnent les guerres. »
Jusqu'à présent, l'accès à Mythos est limité au groupe sélectionné des 50 entreprises du projet Glasswing. Anthropic a également fourni l'accès à son système à la Maison Blanche et à Downing Street à Londres. L'Institut britannique pour la sécurité de l'IA, qui a pu accéder à Mythos, a confirmé qu'il peut mener des cyberattaques complexes qu'aucun modèle d'IA précédent n'avait réalisé, selon . « L'IA est sur le point de rendre les cyberattaques beaucoup plus faciles et plus rapides, et la plupart des entreprises ne sont pas préparées », a déclaré l'agence.
Inquiétude à Bruxelles
L'inquiétude se répand également à Bruxelles. L'exécutif communautaire a tenu au moins trois réunions avec les dirigeants d'Anthropic depuis le lancement de Mythos le 9 avril, bien qu'il n'ait pas encore pu l'analyser en raison de divergences d'accès. Malgré tout, la Commission européenne a déclaré dans un communiqué qu’elle « présente des cybercapacités sans précédent ». La Banque centrale européenne (BCE) a interrogé les entités qu'elle supervise sur la robustesse de leurs systèmes informatiques. Les banques européennes pourraient être les prochaines à tester Mythos pour renforcer leur environnement technologique.
Il y a une certaine précipitation pour commencer à combler les prétendues failles invisibles dans les systèmes informatiques des banques, des sociétés énergétiques ou de n’importe quelle entreprise. Anthropic estime que dans les mois à venir, d'autres sociétés d'intelligence artificielle réaliseront des modèles dotés de capacités similaires à celles de Mythos. Le risque augmentera donc beaucoup plus.
« La version préliminaire de Claude Mythos est une étape importante, mais ce n'est pas un phénomène isolé. Dans les prochains mois, il est probable que nous verrons des modèles concurrents – éventuellement open source – qui égalent, voire dépassent les capacités de Mythos », explique Vivien Mura, responsable de la technologie chez Orange Cyberdefense.
« Nous ne voyons aucune raison de penser que Mythos Preview est le point où les capacités de cybersécurité des modèles de langage atteignent leurs limites. La trajectoire est claire », ajoutent les ingénieurs d'Anthropic.
Derrière l'alarmisme du Mythe d'Anthropic se cache également une stratégie, voulue ou non, visant à créer de la demande et à alimenter le business. Les entreprises et les organismes publics rejoindront la file d'attente de l'entreprise pour demander l'accès au modèle afin de pouvoir protéger leurs systèmes informatiques. En outre, le dilemme se pose de savoir si une entreprise privée peut disposer d’un outil aussi puissant, capable de déstabiliser les gouvernements.
Pendant ce temps, les premières fuites commencent. Bloomberg a publié la semaine dernière que des utilisateurs non autorisés accèdent à Mythos. L'entreprise a ouvert une enquête et assure qu'elle n'a aucune preuve que l'accès affecte ses systèmes.
« À long terme, nous prévoyons que les capacités de défense seront primordiales : le monde en sortira plus sûr, avec des logiciels mieux renforcés, en grande partie grâce au code écrit avec ces modèles », note Anthropic sur son blog. « Mais la période de transition sera complexe. C'est pourquoi nous devons commencer à agir dès maintenant », conclut-il.
