L’évolution de l’IA offensive : Claude Fable 5 et Mythos 5

Anthropic a lancé Claude Fable 5, son modèle d’IA le plus puissant à ce jour, tout en introduisant une version spécialisée nommée Claude Mythos 5. Cette stratégie de segmentation vise à démocratiser l’IA tout en limitant les risques de cybersécurité liés à ses capacités avancées.

Points clés :

• Double approche : Fable 5 est accessible au public, mais intègre des classificateurs de sécurité qui redirigent les requêtes sensibles (cybersécurité, chimie, biologie) vers un modèle moins puissant (Opus 4.8). Mythos 5, dépourvu de ces restrictions, est réservé aux professionnels de la sécurité et aux opérateurs d’infrastructures critiques.
• Capacités émergentes : Le modèle possède des capacités autonomes de découverte et d’exploitation de vulnérabilités « zero-day » non explicitement entraînées, mais apparues comme effets secondaires de ses compétences en raisonnement et en codage.
• Accélération des cycles d’attaque : La capacité de l’IA à transformer une vulnérabilité publiée (CVE) en un exploit fonctionnel en moins d’une journée réduit considérablement le délai de réponse pour les défenseurs.
• Nouvelle politique de données : Une rétention obligatoire des données de 30 jours est imposée pour ces modèles de haut niveau afin de détecter les tentatives de jailbreak et les attaques complexes.

Vulnérabilité notable :

• CVE-2026-4747 : Une faille vieille de 17 ans dans le serveur NFS de FreeBSD, exploitée de manière autonome par le modèle pour réaliser une exécution de code à distance (RCE).

Recommandations pour la cybersécurité :

• Réduction des délais de patch : Considérer les mises à jour contenant des correctifs de vulnérabilités (CVE) comme des tâches urgentes, et non comme des éléments de backlog, car le délai entre la publication et l’exploitation est devenu extrêmement court.
• Priorisation de l’automatisation : Favoriser les systèmes de mise à jour automatique pour les infrastructures exposées à Internet.
• Défense en profondeur : Maintenir le MFA (authentification multi-facteurs) et une journalisation exhaustive pour limiter l’impact d’une éventuelle compromission réussie par IA.
• Gestion de la conformité : Évaluer l’impact de la politique de rétention de 30 jours d’Anthropic sur les politiques internes de confidentialité des données avant d’utiliser ces modèles pour des tâches sensibles.

Source