Claude Mythos : cybermodèle puissant qui a alarmé la FCA et la Réserve fédérale

# Claude Mythos : le modèle d’IA révélant les vulnérabilités des réseaux d’entreprise alarme les régulateurs britanniques et américains

Les régulateurs financiers britanniques ont convoqué une réunion d’urgence sur le modèle Claude Mythos d’Anthropic. Les participants — incluant la Bank of England, la FCA, le Treasury et le NCSC — discuteront des risques posés par le modèle qui traque indépendamment les vulnérabilités dans les systèmes IT critiques. Le modèle a réalisé une simulation complète d’un réseau d’entreprise dans le cyber-range de l’AISI, ce qui lui vaut le titre de modèle cyber le plus performant selon les autorités.

Tests à l’AI Security Institute

Le ministre britannique de l’IA, Kanishka Narayan, a confirmé : Mythos est le premier modèle à maîtriser pleinement la navigation dans un réseau d’entreprise simulé. À l’AISI, créée pour évaluer indépendamment les IA, il a détecté des vulnérabilités sans aucune intervention d’un opérateur. Les régulateurs ont déjà réagi aux découvertes, bien que les détails n’aient pas été divulgués.

Les tests ont inclus :

• Balayage autonome des segments de réseau.
• Identification de vulnérabilités zero-day dans l’infrastructure IT.
• Simulation de scénarios d’attaque et de défense en conditions réelles.

Cela distingue Mythos de ses prédécesseurs, qui nécessitaient des invites pour naviguer.

Réaction américaine : des mesures similaires

Les États-Unis ont agi en premier : la semaine dernière, le secrétaire au Trésor Scott Bessent et le président de la Fed Jerome Powell ont réuni des banquiers de Citigroup, Goldman Sachs et Morgan Stanley. La mission — tester Mythos sur leurs propres systèmes avant qu’il ne tombe entre de mauvaises mains. Anthropic a reporté la sortie publique, limitant l’accès via le programme Project Glasswing pour des applications de cybersécurité défensive.

Le modèle a déjà révélé des milliers de vulnérabilités graves dans :

• Operating systems.
• Browsers.
• Common software.

Avis d’experts et scepticisme

Tout le monde ne partage pas l’alarme. Le chercheur en IA Gary Marcus a remis en question les affirmations d’Anthropic, les qualifiant d’exagération marketing. Le député Danny Kruger a appelé à une étroite collaboration avec les développeurs plutôt que de se fier uniquement aux agences de régulation.

Mythos évolue d’un outil d’entreprise à un enjeu de coordination au niveau du G7. Deux réunions en une semaine soulignent ce virage : l’IA en cybersécurité exige une régulation internationale.

Points clés

• Mythos navigue indépendamment dans les réseaux d’entreprise au sein du cyber-range, surpassant les modèles précédents.
• Les régulateurs britanniques et américains le testent sur des infrastructures critiques pour minimiser les risques.
• Anthropic a restreint l’accès, en se concentrant sur des usages défensifs.
• Le modèle a révélé des milliers de vulnérabilités dans les OSes, browsers et logiciels.
• Les discussions préparent le terrain pour de nouvelles règles sur la sortie d’IA cyber puissantes.

Perspectives réglementaires

Ces événements signalent un durcissement des contrôles. Le Cross Market Operational Resilience Group, incluant banques, assureurs et bourses, évaluera les risques sous la direction de Duncan MacKinnon. Pour les développeurs, cela signifie trouver un équilibre entre innovation et sécurité : une sortie publique de Mythos n’est envisageable qu’après vérification.

Pour les développeurs de niveau intermédiaire et senior, des aspects techniques clés ressortent. Mythos démontre des capacités avancées en red teaming autonome — simulation d’attaques sans intervention humaine. Cela implique un raisonnement en chaîne de pensée pour analyser les protocoles réseau, parser les logs et générer des exploits basés sur les faiblesses détectées.

— Editorial Team