Anthropic suspend la mise en service d'un nouveau modèle d'IA après la découverte de failles de sécurité

# Nvidia # Google # Microsoft # Anthropic # agentic ai # AI cybersecurity # ai security # amazon web services # Claude Mythos # CrowdStrike # cybersecurity # open source security # Palo Alto Networks # Project Glasswing # vulnerability # zero-day

Le modèle d'IA le plus avancé d'Anthropic a déjà identifié des milliers de failles de cybersécurité sur l'ensemble des principaux systèmes d'exploitation et navigateurs web. L'entreprise a choisi de ne pas le rendre public, préférant le mettre discrètement à la disposition des organismes chargés de la maintenance des infrastructures Internet critiques.

Ce modèle s'appelle Claude Mythos Preview, et l'initiative est connue sous le nom de Project Glasswing.

Parmi les partenaires de lancement figurent Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, Nvidia et Palo Alto Networks.

Au-delà de ce groupe central, Anthropic a accordé l'accès à plus de 40 autres organisations qui développent ou gèrent des infrastructures logicielles essentielles. Dans le cadre de cette initiative, Anthropic s'engage à fournir jusqu'à 100 millions de dollars de crédits d'utilisation pour Mythos Preview, ainsi que 4 millions de dollars de dons directs à des organisations de sécurité open source.

Un modèle qui a dépassé ses propres références

Mythos Preview n’a pas été spécifiquement formé pour des tâches de cybersécurité. Anthropic a déclaré que ses capacités « sont apparues comme une conséquence indirecte des améliorations générales apportées au code, au raisonnement et à l’autonomie », soulignant que les mêmes avancées qui permettent au modèle de mieux corriger les vulnérabilités renforcent également sa capacité à les exploiter.

Ce dernier point est significatif. Mythos Preview s'est amélioré au point de saturer largement les benchmarks de sécurité existants, ce qui a contraint Anthropic à se concentrer sur de nouvelles tâches concrètes, en particulier les vulnérabilités « zero-day ». Il s'agit de failles jusqu'alors inconnues des développeurs du logiciel.

Parmi les découvertes : un bug vieux de 27 ans dans OpenBSD, un système d'exploitation réputé pour sa sécurité robuste. Dans un autre cas, le modèle a identifié et exploité de manière autonome une vulnérabilité d’exécution de code à distance vieille de 17 ans dans FreeBSD – CVE-2026-4747 – qui permet à un utilisateur non authentifié, n’importe où sur Internet, de prendre le contrôle total d’un serveur exécutant NFS. Aucun humain n’est intervenu dans la découverte ou l’exploitation après l’invite initiale visant à trouver le bug.

Nicholas Carlini, membre de l'équipe de recherche d'Anthropic, a décrit la capacité du modèle à enchaîner les vulnérabilités : « Ce modèle peut créer des exploits en combinant trois, quatre, voire parfois cinq vulnérabilités à la suite pour obtenir un résultat très sophistiqué. J'ai trouvé plus de bogues au cours des deux dernières semaines que pendant tout le reste de ma carrière. »

Pourquoi n'est-il pas commercialisé ?

« Nous ne prévoyons pas de rendre Claude Mythos Preview accessible au grand public en raison de ses capacités en matière de cybersécurité », a déclaré Newton Cheng, responsable cyber de la Frontier Red Team chez Anthropic. « Compte tenu de la rapidité des progrès de l’IA, ces capacités ne tarderont pas à se généraliser, et pourraient se retrouver entre les mains d’acteurs qui ne s’engagent pas à les déployer en toute sécurité. Les répercussions – pour les économies, la sécurité publique et la sécurité nationale – pourraient être graves. »

Cette préoccupation n’est pas hypothétique. Anthropic avait précédemment révélé ce qu’elle décrivait comme le premier cas documenté d’une cyberattaque largement exécutée par l’IA : un groupe soutenu par l’État chinois avait utilisé des agents IA pour infiltrer de manière autonome une trentaine de cibles mondiales, l’IA gérant la majorité des opérations tactiques de manière indépendante.

La société a également informé en privé de hauts responsables du gouvernement américain des capacités complètes de Mythos Preview. Les services de renseignement évaluent désormais activement comment ce modèle pourrait transformer les opérations de piratage tant offensives que défensives.

Le problème de l'open source

Un aspect du projet Glasswing qui dépasse le cadre de la coalition phare est l’accent mis sur les logiciels open source. Jim Zemlin, PDG de la Linux Foundation, l’a clairement exprimé : « Par le passé, l’expertise en matière de sécurité était un luxe réservé aux organisations disposant de grandes équipes de sécurité. Les responsables de la maintenance open source, dont les logiciels sous-tendent une grande partie des infrastructures critiques mondiales, ont toujours dû se débrouiller seuls pour assurer la sécurité. »

Anthropic a fait don de 2,5 millions de dollars à Alpha-Omega et à l’OpenSSF par l’intermédiaire de la Linux Foundation, et de 1,5 million de dollars à l’Apache Software Foundation, offrant ainsi aux responsables de bases de code open source critiques un accès à des analyses de vulnérabilités de cybersécurité alimentées par l’IA à une échelle jusqu’alors hors de portée.

Et ensuite ?

Anthropic affirme que son objectif à long terme est de déployer à grande échelle des modèles de la classe Mythos, mais uniquement lorsque de nouvelles mesures de sécurité seront solidement en place. L’entreprise prévoit d’introduire ces nouvelles mesures de sécurité d’abord avec un prochain modèle Claude Opus, ce qui lui permettra de les affiner avec un modèle ne présentant pas le même niveau de risque que Mythos Preview.

Le paysage concurrentiel évolue déjà autour de ce développement. Lorsque OpenAI a lancé GPT-5.3-Codex en février, l’entreprise l’a qualifié de premier modèle qu’elle avait classé comme hautement performant pour les tâches de cybersécurité dans le cadre de son Preparedness Framework. L’initiative d’Anthropic avec Glasswing indique que les principaux laboratoires d’IA considèrent le déploiement contrôlé – et non la mise à disposition publique – comme la norme émergente pour les modèles de ce niveau de capacité.

La question de savoir si cette norme perdurera à mesure que ces capacités se généralisent reste, à ce stade, une question ouverte à laquelle aucune initiative ne peut apporter de réponse définitive.

Voir aussi : Le refus d'Anthropic d'armer l'IA est exactement la raison pour laquelle le Royaume-Uni la veut

Vous souhaitez en savoir plus sur l'IA et le big data auprès des leaders du secteur ? Découvrez l'AI & Big Data Expo qui se tiendra à Amsterdam, en Californie et à Londres. Cet événement complet fait partie de TechEx et se déroule en même temps que d'autres événements technologiques de premier plan, notamment le Cyber Security & Cloud Expo. Cliquez ici pour plus d'informations.

AI News est proposé par TechForge Media. Découvrez ici d'autres événements et webinaires à venir sur les technologies d'entreprise.

Article connexe

commentaires (1)