Claude Mythos d’Anthropic n’a eu besoin que de quelques heures pour révéler des failles de sécurité dans des systèmes informatiques américains hautement sensibles lors d’un test de renseignement classifié, a indiqué un responsable.
Points clés :
- Le modèle Mythos d’Anthropic a identifié en quelques heures des vulnérabilités dans des systèmes gouvernementaux américains classifiés, selon un responsable.
- Trouver une faiblesse n’est pas la même chose que l’exploiter, a mis en garde ce responsable.
- Plus de 100 experts en cybersécurité demandent au gouvernement d’annuler les restrictions à l’exportation qui ont mis Mythos et Fable 5 hors ligne.
Le test Mythos met en lumière des failles dans des systèmes gouvernementaux classifiés
Un responsable américain, s’exprimant sous couvert d’anonymat en raison de la sensibilité des travaux, a indiqué que les agences de renseignement ont mené l’exercice avec l’entreprise dans le cadre d’un programme appelé Project Glasswing. Cette initiative réunissait des géants de la technologie et d’autres entreprises afin de renforcer les logiciels critiques avant que leurs failles ne puissent causer de graves dommages à la sécurité publique et à l’économie. Anthropic avait renoncé à une mise à disposition publique de Mythos, accordant plutôt un accès anticipé à un groupe restreint d’entreprises pour qu’elles puissent repérer et corriger des bogues critiques avant tout attaquant.
Le sénateur démocrate Mark Warner, de Virginie, a évoqué ces tests pour la première fois le 11 juin, lors d’une audition devant la commission bancaire, du logement et des affaires urbaines du Sénat. Il a déclaré que l’outil avait pénétré presque tous les systèmes classifiés du gouvernement en quelques heures plutôt qu’en quelques semaines, attribuant ce récit à Joshua Rudd, qui dirige la National Security Agency et le Cyber Command américains.
Identifier une faiblesse, a mis en garde le responsable, n’est pas la même chose que l’exploiter.
À lire aussi : La vente d’Anthropic Perp est-elle un avertissement pour les paris crypto pré-IPO ?
Des experts en cybersécurité contestent les restrictions à l’exportation
Plus de 100 responsables de la cybersécurité, dont des figures d’Adobe et de Nvidia, ont pressé le gouvernement de revenir sur ces restrictions à l’exportation et de s’engager à un processus transparent d’évaluation des risques liés à l’IA. Ils ont qualifié Mythos de performant pour repérer et militariser des failles logicielles, sans être pour autant unique, car beaucoup d’entre eux s’appuient sur des modèles concurrents ou open source pour les mêmes tâches. Les systèmes chinois ne sont distancés que de quelques mois par rapport aux meilleurs modèles américains, ont-ils fait valoir, ce qui rend le calendrier particulièrement risqué.
Cette contestation fait suite à une directive d’exportation du 12 juin qui interdit aux ressortissants étrangers d’accéder à Mythos 5 et à Fable 5, la version la plus largement diffusée de la gamme Mythos. Anthropic a désactivé ces deux modèles pour tous ses clients afin de se mettre en conformité, tout en maintenant qu’elle ne voyait aucun fondement sécuritaire à la décision du gouvernement.
La directive faisait suite à un décret du président Donald Trump instaurant un examen fédéral des systèmes d’IA les plus avancés pouvant durer jusqu’à un mois avant leur mise sur le marché. La participation des développeurs serait volontaire, précisait le texte, même si les tensions restent fortes avec cette entreprise très axée sur la sécurité.
Le bilan cyber de Mythos précède l’affrontement actuel
Le modèle était arrivé au printemps avec une aptitude documentée à faire remonter des failles logicielles que même des chercheurs humains chevronnés ne détectent pas. L’AI Security Institute britannique avait auparavant validé Mythos sur des défis de type capture-the-flag de niveau expert, qu’aucun système n’avait encore résolus, le modèle réussissant 73 % d’entre eux. Mozilla a, de son côté, attribué à une version précoce du modèle la découverte de 271 vulnérabilités dans Firefox, qu’elle a corrigées dans la 150ᵉ version du navigateur.
À lire ensuite : Mane City Mobile arrive sur iOS et Android dans plus de 100 pays