Le modèle d’analyse de sécurité de niveau militaire Mythos d’Anthropic a été accédé sans autorisation : comment ont-ils fait ?

Bloomberg rapporte qu’un groupe privé de forum en ligne aurait annoncé publiquement, le jour même, avoir contourné les contrôles au moyen du modèle de sécurité sous-jacent Mythos, un modèle d’Anthropic ; en passant par les droits d’accès d’un prestataire tiers, il aurait réussi à entrer dans le système pour utiliser ce modèle, suscitant des inquiétudes quant à la gouvernance de la sécurité des meilleurs modèles d’IA.

(Anthropic lance le programme mondial de cybersécurité Glasswing, pourquoi le nouveau modèle Mythos n’est-il pas mis à la disposition du grand public ?)

Dès le premier jour de sa mise en ligne, Mythos subit un accès non autorisé

Le 7 avril, Anthropic a annoncé un tout nouveau modèle d’IA de cybersécurité pour le réseau, Claude Mythos. Pourtant, un groupe privé de forum en ligne dont l’identité n’a jamais été révélée, d’après des informations, aurait discrètement obtenu les droits d’accès à ce modèle.

Selon les informations, ces personnes ne se seraient pas infiltrées via des méthodes de piratage classiques, mais auraient exploité la connaissance du format des URL des modèles d’Anthropic dans le passé, en supposant raisonnablement la position en ligne de Mythos dans le système. Le point névralgique réside dans un membre du personnel travaillant pour un prestataire tiers d’Anthropic. Il disposait déjà d’une autorisation légale pour consulter les modèles d’IA d’Anthropic, et les membres du groupe se sont infiltrés dans le système via cette entrée conforme.

Par la suite, le groupe a fourni à Bloomberg des captures d’écran et une démonstration d’actions en temps réel comme preuve, et a révélé qu’il utilise Mythos encore à ce jour ; toutefois, il a souligné que leur objectif se limitait à « jouer avec le nouveau modèle » et qu’ils n’avaient aucune intention de mener des actes de sabotage, car ils ne veulent pas être découverts.

Qu’est-ce que Mythos ? Pourquoi suscite-t-il des inquiétudes ?

Claude Mythos est un modèle d’IA conçu par Anthropic pour la défense en cybersécurité des entreprises. L’équipe le définit comme un outil « trop puissant pour être rendu public ». Sa capacité centrale consiste à identifier proactivement les failles de sécurité dans les systèmes numériques, aidant les entreprises à finaliser les correctifs avant d’être attaquées.

Cependant, cette « épée de défense » peut aussi être une « arme à double tranchant ». Anthropic reconnaît qu’une fois que Mythos tombe entre les mains de personnes malveillantes, sa capacité peut également être utilisée pour lancer des attaques. Par conséquent, via un programme de cybersécurité nommé « Project Glasswing », l’entreprise n’ouvre Mythos qu’à un petit nombre d’organisations ou d’entreprises technologiques de grande taille ayant fait l’objet d’un examen rigoureux.

L’hypothèse centrale de ce mécanisme de contrôle fermé est la suivante : des partenaires dignes de confiance peuvent garantir que leurs droits d’accès respectifs ne fuiront pas.

(Anthropic Mythos suscite des inquiétudes réglementaires, des dirigeants de la banque Bessent et de Powell convoquent en urgence une réunion)

Réponse d’Anthropic : en cours d’enquête, aucun impact

À ce sujet, Anthropic a déclaré : « Nous enquêtons sur un rapport affirmant qu’un accès non autorisé à Claude Mythos Preview aurait été obtenu via l’environnement d’un fournisseur tiers. » L’entreprise souligne qu’à ce stade, elle n’a pas encore constaté que ses systèmes aient été affectés, et que, dans un premier temps, l’incident est « plus probablement dû à un abus des droits d’accès qu’à une attaque de pirates externes ».

Même si les utilisateurs qui ont pu utiliser Mythos en avance n’ont pas commis d’actes malveillants, l’affaire en elle-même maintient néanmoins les experts en cybersécurité dans un état d’alerte élevé. Le directeur général de la société de cybersécurité Smarttech247, Raluca Saceanu, indique :

Lorsqu’un outil d’IA puissant est accessible ou utilisé en dehors des mécanismes de contrôle établis, le risque n’est pas seulement un incident de cybersécurité ; il peut aussi soulever des doutes concernant une fraude, un abus en ligne ou d’autres usages malveillants.

Quel impact cela va-t-il avoir ? Les faiblesses du contrôle de la sécurité de l’IA

La véritable source d’inquiétude dans cet épisode n’est pas le fait que quelqu’un cherche à saboter, mais plutôt la vulnérabilité systémique qu’il révèle : lorsque des entreprises d’IA transfèrent l’accès à des modèles hautement sensibles à des fournisseurs tiers, le moindre manquement dans n’importe quel maillon du réseau de contrôle peut devenir une brèche et déclencher une crise.

Désormais, l’affaire Mythos rappelle toute l’industrie qu’à l’heure où les capacités de l’IA progressent rapidement, la conception d’une architecture de sécurité ne peut pas reposer uniquement sur la confiance ; elle doit aussi prévoir une résilience institutionnelle capable de supporter l’échec de la confiance. Pour Anthropic, la question de la manière de restaurer la confiance du public dans ses mécanismes de contrôle des partenaires sera un défi plus long que l’enquête elle-même.

Cet article « Le modèle de cybersécurité de niveau arme d’Anthropic Mythos fait l’objet d’un accès non autorisé : comment ont-ils fait ? » apparaît pour la première fois sur Chaîne News ABMedia.