Claude Mythos - Le piège de la sécurité par l'obscurité
J’ai souvent l’impression que nous naviguons à vue dans la tempête de l’intelligence artificielle. Mais le mois dernier, Anthropic a pris une décision qui m’a particulièrement interpellé. L’entreprise a carrément tiré le frein d’urgence. En annonçant que son dernier système, baptisé Claude Mythos, était tout simplement trop puissant pour être mis entre les mains du grand public, elle a choisi de restreindre son accès à une quarantaine d’organisations seulement.
Parmi les heureux élus, on retrouve des géants comme Microsoft et Google, ainsi que des entités gérant des infrastructures critiques d’Internet. La raison invoquée me laisse perplexe, des pirates pourraient utiliser cette IA pour exploiter les failles des réseaux informatiques à une vitesse stupéfiante. Cette décision m’amène aujourd’hui à une réflexion sur la manière dont nous gérons l’innovation face au risque.
L’impact immédiat de la technologie sur la sphère politique est pour le moins intéressante. Les capacités de Mythos ont alarmé non seulement la Silicon Valley, mais aussi les hautes sphères de Washington. Il semble même que cette sortie ait contribué à faire évoluer la position de l’administration Trump, qui est passée d’une défense acharnée de l’IA contre la régulation gouvernementale à une véritable prise de conscience.
La Maison Blanche envisage désormais et sérieusement d’instaurer une surveillance gouvernementale sur les nouveaux modèles d’IA par le biais d’un décret. Ce dernier créerait un groupe de travail réunissant des dirigeants de la tech et des responsables gouvernementaux pour examiner les procédures de contrôle. On parle même de la mise en place d’un processus officiel d’examen gouvernemental pour les nouvelles IA. C’est un changement de position qui montre à quel point l’outil est perçu comme une arme à double tranchant.
Le paradoxe de la cybersécurité - L’IA comme bouclier et comme épée
Plus d’un mois après cette annonce, en analysant les réactions du milieu de la cybersécurité, je constate que le seul véritable consensus reste l’absence totale de consensus. Était-ce la bonne décision ? Logan Graham, qui dirige la “Frontier Red Team” d’Anthropic (l’équipe chargée d’évaluer les risques de Claude), a admis (avec une franchise que j’apprécie) que face à un modèle aussi puissant, il s’agit d’une situation sans précédent et qu’ils n’ont tout simplement pas toutes les réponses.
La complexité inhérente de la cybersécurité réside dans sa dualité. Les technologies comme Mythos bouleversent le secteur, une tendance qui s’est accélérée il y a six mois lorsque Anthropic et son rival OpenAI ont sorti des modèles crédibles pour écrire du code informatique. Or, qui dit écrire du code, dit potentiellement trouver et exploiter des vulnérabilités. Anthropic affirme que Mythos représente un véritable saut technologique, capable non seulement de débusquer des milliers de failles restées indétectées pendant des années, mais aussi de les relier pour créer des chaînes d’exploitation redoutables lors d’attaques coordonnées.
C’est précisément pour cette raison que la firme américaine a partagé cette technologie avec des mainteneurs d’infrastructures critiques, pour qu’ils puissent corriger ces failles avant qu’elles ne soient exploitées. Anthony Grieco, vice-président senior et responsable de la sécurité et de la confiance chez Cisco, a confirmé la puissance inédite de Mythos. Son analyse est fondamentalement optimiste. Il explique que ces mêmes capacités d’identification des chaînes d’exploitation sont un atout pour la défense. Pour lui, les entreprises doivent être extrêmement agressives dans l’utilisation de cette IA pour trier les vulnérabilités et déployer des correctifs rapidement.
La fronde des experts - La sécurité par l’obscurité est-elle une impasse ?
C’est ici que mon avis penche du côté des sceptiques. En restreignant l’accès à son modèle, Anthropic s’attire les foudres d’une grande partie de la communauté des chercheurs, dont les retours vont de l’indifférence à l’inquiétude.
Cacher un tel outil, ou l’accaparer, ne résout pas le vrai problème.
Le manque de transparence reste le reproche principal. Comment les experts peuvent-ils se préparer et construire des défenses s’ils ne peuvent pas manipuler la technologie pour en comprendre les limites ? D’autant plus que, peu après l’annonce, des chercheurs indépendants ont prouvé que les systèmes d’IA existants pouvaient trouver les mêmes failles que Mythos, suggérant qu’Anthropic a peut-être exagéré le danger.
L’approche alternative et le verdict inévitable du temps
Regardons maintenant du côté d’OpenAI. Une semaine après la présentation de Mythos, l’entreprise de Sam Altman a annoncé le partage d’une technologie similaire baptisée GPT-5.4-Cyber. Mais contrairement à Anthropic, elle a choisi une plus grande diffusion avec des centaines d’organisations d’abord, puis des milliers de partenaires dans les semaines suivantes, en misant sur la vérification d’identité pour éviter les abus.
Cette approche me semble bien plus pragmatique. Essayer de garder l’IA en bouteille est une cause perdue à long terme. Avec la prolifération des modèles en libre accès développés par une multitude d’acteurs, la diffusion de ces technologies sera essentielle pour assurer notre cybersécurité.
L’histoire de l’informatique nous a enseigné une leçon précieuse, la sécurité par l’obscurité est l’une des plus vieilles mauvaises idées du secteur. Anthropic a peut-être gagné du temps avec Claude Mythos, mais le véritable salut ne naîtra que de la confrontation ouverte et de l’adaptation collective.
Que pensez-vous de l’approche d’Anthropic ? Pensez-vous qu’il soit justifié de restreindre l’accès à des technologies potentiellement dangereuses, ou croyez-vous que la transparence totale est la seule voie vers une meilleure sécurité mondiale ?