Qu'est-ce que Mythos AI et pourquoi pourrait-il constituer une menace pour la cybersécurité mondiale ?

Anthropic a exclu de rendre public son dernier modèle d'IA, Mythos, en raison de la menace qu'il représente pour la cybersécurité mondiale.

Cependant, la startup technologique américaine à l'origine du chatbot Claude a confirmé mercredi qu'elle enquêtait sur un rapport selon lequel un groupe de personnes aurait obtenu un accès non autorisé à Mythos. L'incident présumé a soulevé des inquiétudes quant au rythme du développement et à la capacité des entreprises technologiques à empêcher leurs produits les plus risqués de tomber dans le domaine public. Ici, nous examinons Mythos et son impact potentiel.

Qu'est-ce que Mythos ? Mythos est un modèle d'IA – la technologie sous-jacente qui alimente des outils tels que les chatbots – qui, selon Anthropic, représente une menace potentielle sérieuse pour la cybersécurité de toute organisation. Anthropic a annoncé l'existence de Mythos le 7 avril, mais a déclaré qu'il ne serait pas rendu public en raison de sa capacité à identifier des failles inconnues dans les systèmes informatiques. Ces failles pourraient, théoriquement, être exploitées par des pirates informatiques.

Anthropic a déclaré que Mythos pouvait identifier et exploiter des failles "zero-day" dans tous les systèmes d'exploitation informatiques et navigateurs Web importants – si un utilisateur le lui demandait. Les zero-days sont ainsi nommés car les organisations et les développeurs en ignorent totalement l'existence et n'ont eu aucun temps pour les corriger avant qu'un assaillant ne frappe.

Anthropic a décrit cela comme un "moment décisif pour la cybersécurité". Certaines des failles non détectées existaient depuis des décennies, a déclaré la société basée à San Francisco.

La startup a autorisé des entreprises technologiques et des banques, y compris Apple et Goldman Sachs, à accéder au modèle et à évaluer les risques qu'il pourrait représenter pour leurs activités et leurs clients.

Anthropic a annoncé le Project Glasswing le 8 avril pour permettre aux entreprises de tester Mythos sur la cybersécurité. Photographie : Samuel Boivin/NurPhoto/Shutterstock Pourquoi est-ce une source de préoccupation ? Mythos représente une preuve tangible, selon le UK's AI Security Institute (AISI), des capacités perturbatrices de l'IA avancée. Depuis l'arrivée de ChatGPT d'OpenAI en 2022, les experts ont averti que l'IA pourrait causer de graves dommages dans le monde réel.

Il y a aussi un point plus large : Mythos est une indication du rythme des progrès en matière d'IA. Les modèles avancés ont tendance à être rapidement répliqués par d'autres entreprises, y compris les développeurs de modèles open-source qui sont librement accessibles aux utilisateurs. Dans une lettre conjointe adressée aux dirigeants d'entreprise le mois dernier, la secrétaire britannique à la technologie, Liz Kendall, et le ministre de la sécurité, Dan Jarvis, ont déclaré que les entreprises devaient "se préparer en conséquence" à une "augmentation rapide" des capacités de l'IA au cours de l'année à venir. L'IA peut, bien sûr, être utilisée pour se défendre contre les cyberattaques.

Une autre préoccupation est que Mythos pourrait tomber entre de mauvaises mains malgré le fait qu'il soit retenu du public. Cette crainte s'est concrétisée cette semaine avec la confirmation par Anthropic que "une poignée" d'utilisateurs dans un forum en ligne privé avaient eu accès au modèle.

Cependant, il y a aussi une question sur l'importance des milliers de vulnérabilités que Mythos a signalées. Peuvent-elles causer de graves dommages ? De plus, signaler une faille informatique n'est pas la même chose que l'exploiter.

Mythos a-t-il été évalué par des experts ? L'AISI, qui est le principal organisme de sécurité de l'IA au monde, a examiné Mythos et déclare qu'il s'agit d'une "amélioration" par rapport aux modèles précédents en termes de menace pour la cybersécurité. Parmi les signaux d'alarme figurent la capacité à mener des attaques impliquant plusieurs étapes et à identifier des failles informatiques sans guidance humaine.

Il a également réalisé une première aux yeux de l'AISI : la réussite d'une simulation d'une cyberattaque en 32 étapes lors d'un test créé par l'institut. Il peut attaquer des systèmes informatiques faibles et petits, a déclaré l'AISI, bien qu'il n'ait pas pu se prononcer sur les systèmes bien défendus. L'institut a terminé son évaluation par une observation souvent répétée ailleurs : les systèmes d'IA ne peuvent que s'améliorer à partir de maintenant.

Richard Horne, directeur général du UK's National Cyber Security Centre, a déclaré lors de la conférence CyberUK à Glasgow cette semaine que l'émergence de Mythos aiderait à encourager les entreprises à remplacer les "technologies obsolètes". "Cela ne fait qu'accroître l'urgence", a-t-il ajouté.

Cependant, d'autres experts ont déclaré que Mythos était plus une évolution qu'une révolution. Aisle, une entreprise qui travaille sur la cybersécurité de l'IA, a analysé les principales affirmations d'Anthropic : qu'elle avait trouvé des milliers de vulnérabilités zero-day dans de grands systèmes d'exploitation et navigateurs, y compris une dans FreeBSD, un cousin d'UNIX. Elle a constaté que d'autres modèles, beaucoup moins chers, étaient également capables de trouver ces problèmes. Cela ne signifiait pas que les capacités de Mythos n'étaient pas significatives, ont-ils dit, mais qu'il y avait plus de nuances que ne le laissait entendre le ton urgent d'Anthropic.

Il y a aussi une prudence de la part des experts selon laquelle la plupart des violations proviennent toujours de risques bien établis tels que l'authentification faible et les vulnérabilités déjà connues qui n'ont pas été corrigées.
Certains experts suggèrent qu'il y a un élément de battage médiatique autour des affirmations d'Anthropic concernant Mythos et la manière dont une startup estimée à environ 800 milliards de dollars (592 milliards de livres sterling) les a présentées. Mythos est sans aucun doute un modèle capable. Cependant, l'annonce dramatique d'Anthropic lui a donné un temps d'antenne important et a centré son produit dans une discussion plus large, à l'échelle du secteur, sur la manière dont l'IA pourrait contribuer au cyber-risque.

Comment les entreprises technologiques et les banques sont-elles impliquées ? Environ 40 entreprises, dont Google, JP Morgan et Goldman, ont eu un accès anticipé à Mythos via une initiative appelée Project Glasswing, qui vise à donner aux entreprises une chance de tester le modèle d'IA dans le cadre de leurs cyberdéfenses. Anthropic affirme qu'elles partageront ce qu'elles apprendront "pour que toute l'industrie puisse en bénéficier".

Cependant, les partenaires de lancement n'ont donné aucun détail sur ce qu'ils pensent que Mythos est capable de faire, ni sur la menace qu'il pourrait représenter.

Cela n'a pas empêché les banques et les régulateurs de spéculer sur son impact potentiel. Et pour cause : si les avertissements d'Anthropic sont corrects, la chute de Mythos entre de mauvaises mains pourrait semer le chaos dans les banques et potentiellement mettre en péril le système financier dans son ensemble.

La modélisation du gouvernement britannique sur un scénario de piratage bancaire du pire cas, produite avant même la création de Mythos, a suggéré que les prélèvements automatiques pourraient échouer, laissant les loyers, les hypothèques et les salaires impayés, tandis que les services bancaires en ligne et les retraits aux distributeurs automatiques pourraient être bloqués. Les navetteurs pourraient être laissés dans l'incertitude car les bus et les stations-service rejetteraient les paiements. Cela pourrait provoquer la panique, entraînant une ruée sur les banques concurrentes, les clients retirant leur argent de leurs comptes par crainte que la perturbation ne se propage.

Les préoccupations concernant les menaces potentielles de Mythos ont incité le secrétaire au Trésor américain, Scott Bessent, à convoquer une réunion avec les dirigeants des grandes banques américaines, dont Goldman et Citi, à Washington plus tôt ce mois-ci.

Les régulateurs britanniques ont ajouté Mythos à l'ordre du jour des réunions du Cross Market Operational Resilience Group cette semaine. Cela le place dans des discussions de haut niveau entre les principaux banquiers ainsi qu'avec des responsables du Trésor, de la Banque d'Angleterre, de la Financial Conduct Authority et du National Cyber Security Centre.