Anthropic a dévoilé Claude Mythos Preview, un nouveau modèle d’IA qui représente un changement de paradigme potentiel dans la guerre numérique. Contrairement à l’IA générative standard, Mythos est conçu avec une capacité spécialisée aux enjeux élevés : la capacité de découvrir de manière autonome des vulnérabilités sur pratiquement n’importe quel système d’exploitation ou navigateur et de développer des exploits fonctionnels pour les pirater.
Bien que cette annonce ait suscité un débat intense, elle marque le passage d’une IA en tant que simple assistante à une IA en tant qu’agresseur numérique autonome.
La menace principale : des failles uniques aux « chaînes d’exploitation »
Le véritable danger de Mythos Preview ne réside pas seulement dans la découverte d’un seul bug, mais dans sa capacité à maîtriser les chaînes d’exploitation.
Dans le piratage traditionnel, un attaquant peut découvrir une petite faiblesse. Cependant, les attaques sophistiquées, telles que les exploits « zéro clic » qui compromettent un appareil sans aucune interaction de l’utilisateur, nécessitent une séquence de vulnérabilités liées entre elles comme une machine de Rube Goldberg.
“Mythos est vraiment doué pour proposer des vulnérabilités à plusieurs niveaux, et fournit ensuite également la preuve de leur exploitation”, déclare le chercheur en sécurité Niels Provos.
Bien que cela ne change pas la nature fondamentale des failles logicielles, cela réduit considérablement la barrière à l’entrée. Cela permet à des acteurs beaucoup moins qualifiés d’exécuter des attaques hautement sophistiquées et en plusieurs étapes qui nécessitaient auparavant une expertise humaine d’élite.
Projet Glasswing : une course contre la montre
Pour éviter que cette technologie ne tombe immédiatement entre les mains d’acteurs malveillants, Anthropic a restreint l’accès à un groupe sélectionné d’organisations via le Projet Glasswing. Ce consortium comprend des titans de l’industrie tels que :
– Microsoft
– Pomme
– Google
– La Fondation Linux
– Cisco
Le but de cette version limitée est de donner une longueur d’avance aux “défenseurs”. En donnant accès à l’outil aux plus grandes équipes de sécurité mondiales, Anthropic espère qu’elles pourront utiliser le modèle pour trouver et corriger leurs propres faiblesses avant que les attaquants ne déploient des capacités autonomes similaires à grande échelle.
Scepticisme contre réalité : battage médiatique ou matériel ?
La communauté de la cybersécurité est divisée sur la question de savoir si Mythos constitue un tournant révolutionnaire ou simplement une évolution hautement commercialisée d’outils existants.
- Les sceptiques : Certains experts affirment que les agents IA aident déjà les pirates informatiques à trouver des vulnérabilités. Ils suggèrent qu’Anthropic pourrait s’appuyer sur le « battage médiatique de l’IA » pour augmenter la valeur perçue et l’exclusivité de ses modèles. Le consultant Davi Ottenheimer compare cette ferveur à un « western spaghetti », où les avertissements catastrophiques sont utilisés pour susciter l’intérêt.
- Les croyants : D’autres, dont le directeur technique d’Edera, Alex Zenla, affirment que malgré le scepticisme, la menace est fondamentalement réelle. Le problème est que nous nous dirigeons vers un monde d’attaques à l’échelle des machines, dans lequel des milliards d’agents autonomes pourraient cibler simultanément les infrastructures.
Un tournant pour le développement de logiciels
Cette évolution atteint les plus hauts niveaux du gouvernement. Le secrétaire américain au Trésor, Scott Bessent, et le président de la Réserve fédérale, Jerome Powell, ont récemment rencontré des dirigeants financiers pour discuter de la manière dont des modèles comme Mythos pourraient déstabiliser le secteur financier.
Au-delà de la défense immédiate, les experts y voient une opportunité de réparer un cycle rompu. Pendant des décennies, l’industrie s’est concentrée sur la réaction aux défauts. L’ancienne directrice de la CISA, Jen Easterly, suggère que ce moment pourrait pousser l’industrie vers les principes « sécurisés dès la conception ». Au lieu de corriger sans cesse les logiciels défectueux, l’IA pourrait être utilisée pour créer une technologie intrinsèquement résistante à l’exploitation dès le départ.
Conclusion
Que Mythos Preview soit une avancée révolutionnaire ou une évolution sophistiquée, il met en lumière une réalité cruciale : à mesure que le piratage informatique devient automatisé et à l’échelle des machines, la défense numérique doit évoluer d’une application de correctifs pilotée par l’homme à une sécurité autonome et proactive.
