Le modèle le plus performant d'Anthropic à ce jour, Claude Mythos Preview (alias Mythos), a été décrit comme un « changement radical » dans les performances de l'IA, notamment pour les tâches de cybersécurité.
Anthropic a tenté de garder Mythos secret jusqu'à il y a quelques semaines, lorsqu'une fuite de données a révélé l'existence de ce que l'entreprise présentait comme son intelligence artificielle la plus puissante à ce jour. Ce modèle est perçu à la fois comme un outil défensif redoutable et, potentiellement, comme une arme offensive cybernétique de premier ordre.
C’est pourquoi l’entreprise restreint fortement l’accès à son produit et indique qu’elle ne prévoit pas de le commercialiser à grande échelle pour le moment. Sa capacité avérée à détecter et même à exploiter en chaîne les vulnérabilités logicielles à grande échelle est au cœur de l’engouement suscité et du danger qu’il représente.
Imaginez un outil capable de détecter de manière autonome de nouvelles vulnérabilités dans les logiciels, les systèmes et les plateformes, puis de les transformer en exploits, même si cela nécessite de les combiner avec d'autres vulnérabilités.
Entre de mauvaises mains, cela pourrait constituer une menace majeure pour notre cybersécurité. C'est pourquoi Anthropic n'a accès qu'à un petit nombre d'organisations dans le monde, parmi lesquelles de grandes entreprises technologiques et un groupe restreint d'organismes gouvernementaux ou de sécurité. La NSA utiliserait déjà Mythos Preview, apparemment pour tester la résistance et renforcer la sécurité de ses systèmes sensibles, malgré le fait que le Pentagone considère Anthropic comme un risque pour la chaîne d'approvisionnement.
Mythos permet de découvrir les vulnérabilités dans de vastes bases de code plus rapidement et de manière plus fiable que les outils existants. Il peut rechercher plusieurs failles dans un même système et les combiner en chaînes d'exploitation complexes pour mener à bien une compromission (par exemple, passer d'un simple bug web à la prise de contrôle totale d'un domaine). Il faudrait des mois à un chasseur de primes aux bogues pour trouver une autre vulnérabilité, et encore plus pour en trouver une chaînable avec celles déjà découvertes. Y parvenir avant la première serait extrêmement improbable.
Concrètement, cela pourrait se traduire par des attaques plus rapides, des violations de données plus complexes et moins de temps pour les entreprises afin de corriger les failles avant qu'elles ne soient exploitées.
Anthropic a elle-même souligné que Mythos peut fonctionner avec une supervision minimale pendant de longues périodes, ce qui signifie qu'elle pourrait mener des campagnes d'attaques systématiques à une échelle qu'aucune équipe humaine ne pourrait atteindre.
Anthropic a signalé ces risques de sécurité dans un document interne :
- L'IA abaisse le niveau de compétence requis pour les opérations offensives. Des acteurs moins expérimentés pourraient ainsi accéder à des outils très efficaces, augmentant considérablement le nombre d'attaques sophistiquées.
- Des techniques comme le fuzzing , les attaques par dictionnaire et autres méthodes de force brute deviennent bien plus efficaces grâce à l'automatisation. L'itération assistée par l'IA permet à un attaquant de multiplier considérablement ses tentatives avant qu'une attaque ne soit détectée.
Mais la conclusion la plus préoccupante est que le camp offensif progresse plus rapidement dans la phase actuelle du développement de l'IA, et que les équipes de sécurité adoptent généralement les outils d'IA plus tardivement que leurs adversaires.
Comme nous le savons, l'IA en cybersécurité est à double tranchant. Elle nous aide à nous défendre contre les nouvelles menaces, mais elle peut aussi servir à les créer. C'est pourquoi, entre de mauvaises mains, Mythos peut se révéler un adversaire redoutable.
L'objectif reste le même, mais le chemin pour y parvenir est facilité par des outils comme Mythos. Du point de vue de l'attaquant, la destination est identique. La nouveauté réside dans le fait que Mythos automatise désormais la carte, le véhicule et la majeure partie de la conduite.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais dépasser le stade de la simple mention dans les médias. Protégez vos appareils des menaces en téléchargeant Malwarebytes dès aujourd'hui .
