Anthropic déploie un modèle d'IA avancé après un examen de sécurité

# Nvidia # Google # Microsoft # Anthropic # agentic ai # AI cybersecurity # ai security # amazon web services # Claude Mythos # CrowdStrike # cybersecurity # open source security # Palo Alto Networks # Project Glasswing # vulnerability # zero-day

Le modèle d'IA le plus avancé d'Anthropic a déjà mis au jour des milliers de failles de cybersécurité sur tous les principaux systèmes d'exploitation et navigateurs web. Au lieu de le rendre public, l'entreprise l'a discrètement mis à la disposition des organismes chargés de protéger l'infrastructure fondamentale d'Internet.

Ce modèle s'appelle Claude Mythos Preview, et l'initiative porte le nom de Project Glasswing.

Parmi les partenaires initiaux figurent Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, Nvidia et Palo Alto Networks.

Au-delà de ce groupe central, Anthropic a accordé l'accès à plus de 40 organisations supplémentaires qui développent ou gèrent des infrastructures logicielles critiques. L'entreprise s'engage à fournir jusqu'à 100 millions de dollars de crédits d'utilisation pour Mythos Preview dans le cadre de cette initiative, ainsi que 4 millions de dollars de dons directs à des organisations de sécurité open source.

Un modèle qui a surpassé ses propres références

Mythos Preview n'a pas été spécifiquement formé à la cybersécurité. Anthropic a déclaré que ses capacités « sont apparues comme une conséquence naturelle d'améliorations générales en matière de génération de code, de raisonnement et de fonctionnement autonome ». Les mêmes avancées qui rendent le modèle apte à corriger les vulnérabilités renforcent également sa capacité à les découvrir et à les exploiter.

Cette double capacité est significative. Mythos Preview a progressé au point d’atteindre largement les limites des benchmarks de sécurité existants, ce qui a contraint Anthropic à se concentrer sur des défis nouveaux et concrets — en particulier les vulnérabilités « zero-day ». Il s’agit de failles de sécurité jusque-là inconnues des propres développeurs du logiciel.

Parmi ses découvertes figure un bug vieux de 27 ans dans OpenBSD, un système d’exploitation réputé pour sa sécurité robuste. Dans un autre cas, le modèle a identifié et exploité de manière autonome une vulnérabilité d’exécution de code à distance vieille de 17 ans dans FreeBSD — CVE-2026-4747. Cette faille permet à tout utilisateur non authentifié sur Internet de prendre le contrôle total d’un serveur exécutant le service NFS. Aucune intervention humaine n'a été nécessaire au-delà de l'instruction initiale visant à trouver un bug.

Nicholas Carlini, membre de l'équipe de recherche d'Anthropic, a souligné la capacité du modèle à enchaîner les vulnérabilités : « Ce modèle peut construire des exploits à partir de trois, quatre, voire parfois cinq vulnérabilités distinctes qui, en séquence, aboutissent à un résultat très sophistiqué. J'ai découvert plus de bogues au cours des dernières semaines que durant toute ma carrière avant cela. »

Pourquoi n'est-il pas rendu public ?

« Nous ne prévoyons pas de rendre Claude Mythos Preview accessible au grand public en raison de ses capacités avancées en matière de cybersécurité », a déclaré Newton Cheng, responsable cyber de la Frontier Red Team chez Anthropic. « Compte tenu de la rapidité des progrès de l’IA, des capacités comme celles-ci risquent de se multiplier rapidement, et pourraient tomber entre les mains d’acteurs qui ne les déploieraient pas de manière sûre. Les conséquences potentielles pour les économies, la sécurité publique et la sécurité nationale pourraient être graves. »

Cette préoccupation n’est pas théorique. Anthropic a précédemment révélé ce qu’elle a qualifié de premier cas documenté de cyberattaque principalement exécutée par l’IA : un groupe soutenu par l’État chinois a utilisé des agents IA pour infiltrer de manière autonome une trentaine de cibles mondiales, l’IA gérant la plupart des opérations tactiques de manière indépendante.

La société a également informé en privé de hauts responsables du gouvernement américain des capacités complètes de Mythos Preview. La communauté du renseignement évalue actuellement activement comment un tel modèle pourrait transformer les opérations cybernétiques tant offensives que défensives.

Relever le défi de l’open source

Un aspect clé du projet Glasswing va au-delà de ses partenaires phares : la sécurisation des logiciels open source. Jim Zemlin, PDG de la Linux Foundation, l’a clairement exprimé : « Historiquement, l’expertise en matière de sécurité a été un luxe réservé aux organisations disposant de grandes équipes de sécurité. Les responsables de projets open source, dont les logiciels sous-tendent une grande partie des infrastructures critiques mondiales, ont souvent été laissés à eux-mêmes pour gérer la sécurité. »

Pour y remédier, Anthropic a fait don de 2,5 millions de dollars à Alpha-Omega et à l’OpenSSF par l’intermédiaire de la Linux Foundation, et de 1,5 million de dollars à l’Apache Software Foundation. Cela permet aux responsables de projets open source critiques d’accéder à des analyses de vulnérabilité basées sur l’IA à une échelle qui leur était auparavant inaccessible.

Prochaines étapes

Anthropic affirme que son objectif à long terme est de déployer des modèles de classe Mythos à grande échelle, mais seulement après avoir mis en place de nouvelles mesures de sécurité. L’entreprise prévoit d’introduire ces mesures de sécurité d’abord avec le prochain modèle Claude Opus, ce qui permettra de les affiner avec un système moins risqué avant de les appliquer à Mythos Preview.

Le paysage concurrentiel est déjà en train de changer. Lorsque OpenAI a lancé GPT-5.3-Codex en février, l’entreprise a qualifié ce modèle de premier modèle classé « à haute capacité » en matière de cybersécurité dans le cadre de son Preparedness Framework. L’initiative Glasswing d’Anthropic indique que les principaux laboratoires d’IA considèrent un déploiement contrôlé et limité — et non une mise à disposition ouverte — comme la norme émergente pour les modèles dotés de ce niveau de capacité.

La question de savoir si cette norme perdurera à mesure que ces puissantes capacités se généralisent reste ouverte, et aucune initiative ne peut y répondre de manière définitive.

Voir aussi : Le refus d’Anthropic d’armer l’IA est exactement la raison pour laquelle le Royaume-Uni la veut

Vous souhaitez en savoir plus sur l'IA et le big data auprès des leaders du secteur ? Découvrez l'AI & Big Data Expo qui se tiendra à Amsterdam, en Californie et à Londres. Cet événement complet fait partie de TechEx et se déroule en même temps que d'autres événements technologiques de premier plan, notamment le Cyber Security & Cloud Expo. Cliquez ici pour plus d'informations.

AI News est proposé par TechForge Media. Découvrez ici d'autres événements et webinaires à venir sur les technologies d'entreprise.

Article connexe

commentaires (0)