Anthropic affirme que son dernier modèle d'IA peut exposer les faiblesses de la sécurité logicielle

Anthropic a déclaré mardi que son modèle d'intelligence artificielle, qui n'a pas encore été publié, nommé Claude Mythos, s'est avéré particulièrement apte à exposer les faiblesses logicielles.
Mythos a mis à nu des milliers de vulnérabilités dans des applications couramment utilisées pour lesquelles aucun correctif ou solution n'existe, incitant la startup d'IA basée à San Francisco à former une alliance avec des spécialistes de la cybersécurité pour renforcer les défenses contre le piratage et à retenir une large diffusion.
« Nous avons un nouveau modèle que nous ne rendons explicitement pas public », a déclaré Mike Krieger d'Anthropic Labs lors d'une conférence HumanX AI à San Francisco.
Au lieu de cela, Anthropic permet aux spécialistes de la cybersécurité et aux ingénieurs de la communauté open-source de travailler avec Mythos pour utiliser le modèle comme une arme défensive, « en quelque sorte pour les armer à l'avance », a expliqué Krieger.
Les avancées des capacités des modèles d'IA ont suscité des inquiétudes quant à l'utilisation de tels outils par les pirates pour trouver des mots de passe ou casser le chiffrement destiné à sécuriser les données.
La plus ancienne des vulnérabilités découvertes par Mythos remonte à 27 ans, et aucune n'avait apparemment été remarquée par ses créateurs avant d'être identifiée par le modèle d'IA, selon Anthropic.
Mythos est la dernière génération de la famille d'IA Claude d'Anthropic, et une récente fuite de certains de ses codes a incité la startup à publier un article de blog avertissant qu'il présentait des risques de cybersécurité sans précédent.
« Les modèles d'IA ont atteint un niveau de capacité de codage tel qu'ils peuvent surpasser tous les humains, à l'exception des plus qualifiés, dans la recherche et l'exploitation des vulnérabilités logicielles », a déclaré Anthropic dans un article de blog. « Les conséquences – pour les économies, la sécurité publique et la sécurité nationale – pourraient être graves. »
Les vulnérabilités logicielles exposées par Mythos étaient souvent subtiles et difficiles à détecter sans IA, selon Anthropic. À titre d'exemple, il a indiqué que Mythos avait trouvé une faille auparavant non détectée dans un logiciel vidéo qui avait été testé plus de 5 millions de fois par ses créateurs.
Par mesure de précaution, Anthropic a partagé une version de Mythos avec les sociétés de cybersécurité CrowdStrike et Palo Alto Networks, ainsi qu'avec Amazon, Apple et Microsoft, dans le cadre d'un projet qu'elle a baptisé « Glasswing ».
Les géants des réseaux Cisco et Broadcom participent au projet, aux côtés de la Linux Foundation, qui promeut le système d'exploitation informatique Linux gratuit et open-source.
« Ce travail est trop important et trop urgent pour être fait seul », a déclaré Anthony Grieco, directeur de la sécurité et de la confiance chez Cisco, dans un communiqué conjoint sur Glasswing. « Les capacités de l'IA ont franchi un seuil qui modifie fondamentalement l'urgence requise pour protéger les infrastructures critiques contre les cybermenaces, et il n'y a pas de retour en arrière. »
Environ 40 organisations impliquées dans la conception, la maintenance ou l'exploitation de systèmes informatiques auraient rejoint Glasswing. Les partenaires du projet partageront leurs découvertes sur Mythos, selon Anthropic, qui fournit environ 100 millions de dollars de ressources informatiques pour cette mission. Les premiers travaux avec les modèles d'IA ont montré qu'ils peuvent aider à trouver et à corriger les vulnérabilités logicielles et matérielles à un rythme et à une échelle qui n'étaient pas possibles auparavant, selon Grieco.
« La fenêtre entre la découverte d'une vulnérabilité et son exploitation par un adversaire s'est effondrée – ce qui prenait autrefois des mois se produit maintenant en quelques minutes avec l'IA », a déclaré Elia Zaitsev, directeur de la technologie de Crowdstrike.
« Claude Mythos Preview démontre ce qui est maintenant possible pour les défenseurs à grande échelle, et les adversaires chercheront inévitablement à exploiter les mêmes capacités », a-t-il ajouté.
Anthropic a déclaré avoir eu des discussions avec le gouvernement américain concernant Mythos malgré un décret de la Maison Blanche en février visant à mettre fin à tous les contrats avec la startup. Cette directive a été suspendue par un juge fédéral pendant qu'un recours juridique intenté par Anthropic suit son cours.