Mythos and Cybersecurity

L’impact de l’IA Claude Mythos sur la sécurité des infrastructures critiques

Anthropic a dévoilé « Claude Mythos Preview », une intelligence artificielle capable d’identifier et d’exploiter des vulnérabilités logicielles à une échelle sans précédent. Jugeant l’outil trop dangereux, l’entreprise en a restreint l’accès à une cinquantaine d’organisations sélectionnées via le projet « Glasswing ».

Points clés :

• Capacités offensives : L’IA a découvert des milliers de failles, incluant des vulnérabilités très anciennes (ex: bug de 27 ans dans OpenBSD, 16 ans dans FFmpeg) et a automatisé la création d’exploits complexes (181 attaques générées pour Firefox).
• Problème de transparence : Le manque de données sur le taux de « faux positifs » (hallucinations de l’IA) empêche d’évaluer la fiabilité réelle du modèle au-delà des exemples spectaculaires choisis par Anthropic.
• Asymétrie de sécurité : Si le modèle excelle sur les logiciels open-source courants, il pourrait devenir un multiplicateur de force dangereux entre les mains d’attaquants experts dans des domaines spécialisés (systèmes industriels, dispositifs médicaux), zones où Anthropic manque d’expertise.
• Gouvernance privée : La gestion unilatérale de cette technologie par une entreprise privée pose un problème démocratique majeur, la société n’ayant aucun contrôle sur les priorités de sécurisation des infrastructures globales.

Vulnérabilités mentionnées :

• L’article cite des milliers de vulnérabilités découvertes, mais ne liste pas de CVE spécifiques, soulignant plutôt l’automatisation de la découverte de failles « zero-day » et de failles historiques oubliées dans des systèmes majeurs (OS, navigateurs).

Recommandations :

• Transparence accrue : Obliger les entreprises à divulguer des métriques de performance globales et le taux de fiabilité de leurs modèles.
• Audit indépendant : Mettre en place des cadres de gouvernance mondiaux pour permettre un audit par la communauté scientifique et les chercheurs indépendants.
• Accès élargi et supervisé : Financer l’accès aux chercheurs académiques et experts du secteur pour réduire l’asymétrie de connaissances et protéger les infrastructures critiques spécialisées.
• Régulation : Dépasser l’autorégulation des entreprises privées par une intervention législative coordonnée pour protéger la sécurité nationale et publique.

Source