Mythos, le nouvel outil développé par l’entreprise américaine d’intelligence artificielle (IA) Anthropic, a suscité des inquiétudes dans le monde entier. Le ministre canadien responsable de l’IA, Evan Solomon, a annoncé lundi qu’il rencontrerait les dirigeants d’Anthropic mardi pour répondre à ces craintes. Jugée trop dangereuse et capable de provoquer une vague sans précédent de cyberattaques, Anthropic a finalement annoncé la semaine dernière le report de sa commercialisation. Présentation de ce nouvel outil d’IA.

Qu’est-ce que Claude Mythos ?

À la fin du mois de mars, un message de blogue rédigé par Anthropic a fuité révélant que la compagnie américaine développait un modèle d’IA très performant et que celui-ci présentait des risques de cybersécurité sans précédent.

Peu de temps après, Anthropic l’a baptisé « Claude Mythos ». Selon l’Agence France-Presse, l’entreprise a indiqué que Mythos avait initialement été conçu comme un modèle généraliste, mais qu’il est finalement utilisé comme un outil dédié à la cybersécurité.

« C’est un logiciel qui est spécialisé pour être en mesure de faire la détection de tout ce qui est vulnérabilités inconnues à ce jour », résume Steve Waterhouse, consultant et conférencier en cybersécurité. « C’est un autre exemple qui permet de démontrer qu’il y a du travail à faire que des chercheurs humains ne feraient pas avant très longtemps. »

Pour Karim Jerbi, directeur du Centre de recherche québécois en neurosciences et en intelligence artificielle, « on ne parle plus d’un assistant intelligent, mais d’un outil qui pourrait rendre les cyberattaques beaucoup plus faciles à lancer et donc beaucoup plus fréquentes ».

Pourquoi ce nouveau modèle fait-il autant parler ?

Avant même son lancement officiel, Mythos a identifié « des milliers » de vulnérabilités dans des programmes informatiques dont leurs concepteurs n’avaient pas conscience, selon Anthropic. L’entreprise californienne affirme avoir découvert des failles qui « remontent à dix ou vingt ans », dont une qui daterait de 27 ans.

Celle-ci concernait OpenBSD, un système d’exploitation reconnue pour sa sécurité, et permettait de faire planter le système en envoyant des données à des serveurs d’OpenSBD.

« Les failles que [Mythos] trouve sont souvent subtiles et difficiles à détecter », a prévenu Anthropic, prenant l’exemple d’un défaut dans un logiciel vidéo testé plus de cinq millions de fois par ses auteurs sans que le problème ait été relevé.

Pour M. Waterhouse, « plus vite on trouve les vulnérabilités qui sont exposées, plus rapidement seront protégées l’infrastructure et les ressources informationnelles ». L’expert estime que « la fenêtre de travail » pour corriger les vulnérabilités s’est réduite de façon significative dans les dernières années.

Qu’est-ce que le Projet Glasswing ?

Jugeant ce nouveau modèle trop puissant, Anthropic a décidé de reporter la commercialisation de Mythos, le temps de combler les failles identifiées par l’interface. Le 7 avril, l’entreprise californienne a créé le Projet Glasswing, en partenariat avec des grands géants de la tech, comme Amazon, Apple, Microsoft, mais aussi des spécialistes de cybersécurité, tels que CrowdStrike et Palo Alto Networks.

En bref, « c’est pour que les compagnies de la tech, les géants de la tech, utilisent [Mythos] pour identifier les vulnérabilités avant leurs adversaires », explique Fanny Tan, chercheuse à la Chaire Raoul-Dandurand de l’UQAM et experte en cybersécurité. « C’est comme pour donner une longueur d’avance avant que l’outil soit disponible et mis à disposition de personnes qui pourraient l’utiliser à des fins malveillantes. »

Anthropic a affirmé que le « but final reste de déployer Mythos à grande échelle », soit pour le grand public.

Doit-on y voir un coup médiatique d’Anthropic ?

Toute cette saga a créé beaucoup de remous jusqu’à ce qu’Anthropic soit accusé de coup médiatique. Le gouvernement Trump, en guerre ouverte avec l’entreprise californienne, a évoqué « un historique de tactiques alarmistes ».

« Claude Mythos est probablement une percée technique réelle, mais qui a été enveloppée dans une scénographie médiatique extrêmement habile », avance M. Jerbi, soulignant « le langage spectaculaire » employé par Anthropic.

« Dans le cas de Firefox, ça a été prouvé que toutes les vulnérabilités découvertes par [Mythos] étaient véridiques », assure Steve Waterhouse, qui ne doute pas de la précision des résultats de l’interface. Pour lui, Mythos va devenir « une référence avec laquelle évoluer ».

Publicité ou non, l’important est « d’attirer l’attention » sur cette problématique, selon l’expert en cybersécurité. « Comme ça, les gens vont prendre conscience [des failles] et qu’il faut [les] corriger plus rapidement », dit-il.

Fanny Tan dit ne pas être « en désaccord » avec l’hypothèse d’un coup médiatique d’Anthropic. « On ne peut pas seulement se baser sur des communiqués de presse puis sur la hype qui entoure ça », dit-elle en référence aux communications de l’entreprise américaine. « Il faudrait vraiment attendre que des experts en cybersécurité utilisent les modèles et puissent nous dire si ça fonctionne ou pas. »

Est-ce qu’il y a des risques associés à Mythos ?

Fanny Tan insiste sur le fait que Mythos n’a pas encore été testé par des experts en cybersécurité indépendants, et qu’il est donc difficile d’évaluer les impacts — positifs ou négatifs — de l’interface.

Toutefois, dans l’éventualité où Mythos est aussi performant que ce que laisse entendre Anthropic et que l’interface est commercialisée au public dans sa forme actuelle, « n’importe qui » pourrait lui demander de trouver les failles d’un système et de les exploiter, note M^me Tan.

Même son de cloche pour M. Jerbi : « plus un outil devient puissant pour défendre, plus il devient potentiellement dangereux s’il est détourné pour attaquer, et ce double usage semble particulièrement marqué dans le cas de Claude Mythos », dit-il. Il précise aussi que le « vrai danger » est que « la machine devienne trop puissante pour être encadrée à temps ».

M. Jerbi et M. Waterhouse soulignent toutefois qu’Anthropic n’est pas un cas isolé. « Ce que l’on observe aujourd’hui avec Claude Mythos, on le verra très probablement bientôt avec d’autres modèles », note M. Jerbi.

Les experts s’interrogent aussi sur les « faux positifs » que Mythos pourrait générer. « Il y a toujours cet élément qui nous guette avec l’utilisation d’outils d’IA dans la résolution de problèmes », note M. Waterhouse.

Avec l’Agence France-Presse et La Presse canadienne