Cryptage, logiciels espions, Mythos : l'histoire montre que les contrôles à l'exportation dans le domaine cybernétique ne fonctionnent pas

Vendredi dernier, invoquant des raisons de sécurité nationale non précisées, la Maison Blanche a ordonné à Anthropic de restreindre les exportations de ses puissants modèles d’IA, Fable et Mythos, vers toute personne située en dehors des États-Unis — y compris les ressortissants étrangers se trouvant sur le territoire américain. Peu après, l’entreprise spécialisée dans l’IA a rapidement mis hors service ces deux modèles, qui sont désormais indisponibles depuis une semaine.

Cet épisode constitue le premier véritable test permettant de déterminer si le gouvernement américain est en mesure d’utiliser les contrôles à l’exportation pour encadrer l’IA de pointe, à l’instar de ce qu’il avait précédemment tenté de faire — avec des résultats mitigés — pour contrôler le chiffrement et les logiciels espions. Aussi dramatique que cela puisse paraître, l’issue de ce bras de fer pourrait déterminer non seulement l’accès d’Anthropic aux marchés étrangers, mais aussi les règles que les autres laboratoires d’IA devront respecter.

Contexte : depuis le lancement de Mythos par Anthropic en avril, l’entreprise l’a présenté comme une sorte de cyber-machine apocalyptique susceptible de semer le chaos sur Internet si elle était diffusée à trop grande échelle. C’est pourquoi, avant l’interdiction, seules environ 150 entreprises et organisations gouvernementales ayant fait l’objet d’une vérification rigoureuse y avaient accès. L’objectif était d’aider les défenseurs à sécuriser leurs logiciels et leurs services avant que des acteurs malveillants ne parviennent à acquérir des capacités similaires à celles de Mythos.

Alors, qu’est-ce qui a déclenché cette interdiction ? Deux événements successifs, selon certaines sources. Premièrement, Anthropic a accordé à un opérateur de télécommunications sud-coréen l’accès à Mythos dans le cadre de son programme de partenariat limité. Les autorités américaines se sont alarmées après avoir identifié cette entreprise comme étant, selon leurs soupçons, liée à la Chine. (L’entreprise, largement identifiée comme étant SK Telecom, a nié tout lien avec la Chine.) Deuxièmement, le PDG d’Amazon, Andy Jassy, aurait alerté l’administration après que les chercheurs d’Amazon eux-mêmes, selon ses dires, eurent trouvé un moyen de contourner les mesures de sécurité de Fable 5. Anthropic conteste le terme de « jailbreak », qualifiant ce problème de mineur et déjà corrigé, plutôt que de considérer qu’il s’agisse d’une faille majeure des mesures de sécurité du modèle.

Le résultat a été le même : le ministère du Commerce a émis une directive de contrôle des exportations, et Anthropic a dû se démener pour limiter l’accès à ses produits dans les 90 minutes environ qui ont suivi la notification, selon certains témoignages.

Tout cela n’a toutefois rien de nouveau. Depuis des décennies, les gouvernements tentent d’utiliser les contrôles à l’exportation pour limiter la diffusion de ce qu’ils considèrent comme des technologies cybernétiques dangereuses, mais leurs résultats ont été, au mieux, mitigés.

Le gouvernement américain est à l’origine de ce qui est peut-être l’échec le plus spectaculaire de cette approche dans l’histoire, au début et au milieu des années 1990. À cette époque, des informaticiens développaient des technologies de chiffrement pour sécuriser les données transitant sur Internet. L’un de ces produits de chiffrement était Pretty Good Privacy (PGP), un logiciel populaire capable de chiffrer les données et de rendre leur déchiffrement pratiquement impossible, même si elles étaient interceptées avant d’atteindre leur destinataire.

Le gouvernement américain a d’abord considéré PGP comme une arme dangereuse, craignant qu’il n’empêche les agences de renseignement d’espionner les e-mails transitant par leurs réseaux. Pour en empêcher la diffusion, les douanes américaines ont ouvert une enquête pénale contre le créateur de PGP, Phil Zimmermann, pour violation présumée des contrôles à l’exportation d’armes. Il a riposté en publiant le code source de PGP sous forme de livre imprimé, déclenchant ce que l’on appelle aujourd’hui les « guerres du chiffrement ».

Zimmermann a ensuite remporté une victoire décisive lorsque l’enquête a été classée sans suite, ouvrant la voie à des algorithmes essentiels de chiffrement de bout en bout, tels que celui utilisé par des milliards d’utilisateurs de Signal et de WhatsApp.

Plus tard, au début des années 2010, des chercheurs ont commencé à découvrir des logiciels espions de fabrication occidentale utilisés contre des dissidents au Moyen-Orient. En réponse, plusieurs gouvernements ont convenu d’élargir l’Arrangement de Wassenaar, un traité international qui limite l’exportation de logiciels et de technologies à double usage, utilisés aussi bien dans des applications civiles que militaires.

L’idée était de classer les logiciels de surveillance et de piratage comme étant à double usage, obligeant ainsi les fabricants de logiciels espions à obtenir des licences d’exportation pour vendre leurs produits à l’étranger.

Contactez-nous

Mais l’accord de Wassenaar a toujours présenté deux faiblesses intrinsèques. Plusieurs pays n’y adhèrent pas, notamment Israël, qui abrite certains des fabricants de logiciels espions les plus actifs au monde.

L’accord repose également sur le fait que les pays l’appliquent aux entreprises situées sur leur territoire à leur entière discrétion. Pendant un certain temps, le gouvernement italien a accordé à l’un de ses principaux fabricants de logiciels espions de l’époque, Hacking Team, une licence lui permettant d’exporter ses outils dans le monde entier, malgré les antécédents de l’entreprise en matière de vente de logiciels espions à des gouvernements oppressifs qui s’en servaient pour pirater des journalistes et des militants des droits de l’homme.

Depuis lors, d’autres pays européens ont fait preuve d’une même laxité envers les fabricants de logiciels espions que l’Italie. Malgré de nombreux scandales, l’Europe — qui abrite de nombreux fabricants de logiciels espions et d’outils de piratage — n’a cessé d’échouer à freiner les exportations de logiciels espions vers les régimes autoritaires. Les détracteurs estiment qu’une initiative récemment relancée au sein de l’Union européenne, qui compte 27 États membres, pour s’attaquer au problème croissant des exportations de logiciels espions vers des États autoritaires « ne va pas assez loin ».

Plusieurs fabricants de logiciels espions, tels qu’Intellexa, un consortium de sociétés de logiciels espions faisant l’objet de sanctions, ont tout simplement délocalisé leurs activités vers des pays où les contrôles à l’exportation sont laxistes. D’autres fabricants de logiciels espions ont cherché à délocaliser leurs activités en Arabie saoudite pour des raisons similaires.

Quelques victoires ont toutefois été remportées. Le fabricant allemand de logiciels espions FinFisher a cessé ses activités en 2022 à la suite d’une enquête menée pendant plusieurs années par le parquet allemand, qui lui reprochait d’avoir vendu des logiciels espions à la Turquie sans licence d’exportation. Les enquêteurs avaient auparavant découvert que les logiciels espions de FinFisher avaient été déployés sur les téléphones de détracteurs du gouvernement turc.

À l’heure où nous écrivons ces lignes, l’impasse entre Anthropic et l’administration Trump persiste. Il y a de fortes chances que l’administration cède et lève cette restriction afin de préserver la compétitivité des entreprises américaines d’IA à l’échelle mondiale — une décision qui reviendrait à reconnaître tacitement que les laboratoires d’IA d’autres pays, notamment en Chine, atteindront probablement des capacités similaires, quelles que soient les restrictions américaines. À défaut, les entreprises américaines spécialisées dans l’IA pourraient se retrouver dans l’obligation d’obtenir l’autorisation du gouvernement avant même de pouvoir servir des clients étrangers, une charge administrative qui pèserait inévitablement sur leurs résultats financiers.

Compte tenu des expériences passées, où les gouvernements ont tenté de contrôler la portée des logiciels, les contrôles à l’exportation imposés par les pouvoirs publics ne constituent probablement pas la bonne approche pour empêcher des acteurs malveillants d’abuser de puissantes cybertechnologies à double usage.