Mises à jour des articles:
Guide pratique pour les vCISO
Depuis des années, les voix les plus crédibles de la recherche en IA lancent le même avertissement : il faut traiter l’intelligence artificielle avec le même sérieux institutionnel que celui accordé à la technologie nucléaire. Warren Buffett l’a clairement exprimé lors de l’assemblée générale des actionnaires de Berkshire Hathaway en 2024 :
"Nous avons libéré un génie de sa lampe en développant les armes nucléaires. L'IA est dans une situation similaire : elle est déjà en partie sortie de sa lampe..” La source: CNN Business, mai 2024
Si vous êtes comme moi, étant donné le sérieux des personnes qui nous mettent en garde (Stephen Hawking, Geoffrey Hinton, Bill GatesNous avons tenté de comprendre ces avertissements. Malheureusement, pour la plupart d'entre nous, ils paraissaient abstraits et impossibles à appréhender. Les perturbations potentielles semblaient lointaines, obscures, plus proches de la science-fiction que de la réalité. Le génie était toujours dans sa lampe et la boîte de Pandore restait bien fermée.
Le 7 avril 2026, Anthropic a brièvement dévoilé un aperçu d'un modèle d'IA nommé Claude Mythos. Les informations qu'ils y ont découvertes les ont suffisamment inquiétés pour le rendre inaccessible au grand public et en restreindre l'accès à une coalition triée sur le volet de fournisseurs d'infrastructures logicielles critiques. L'objectif était d'anticiper les conséquences de ce modèle avant que des adversaires ne fassent de même.
Anthropic a révélé que Claude Mythos avait localisé des vulnérabilités logicielles critiques, connues sous le nom de failles zero-day, dans tous les principaux systèmes d'exploitation et navigateurs Ils l'ont pointé du doigt. Anthropic a donc refermé le dossier et refusé de le rendre public. À la place, ils ont formé une coalition appelée Projet GlasswingCe projet a mobilisé une quarantaine à une cinquantaine des plus grands fournisseurs d'infrastructures logicielles au monde, dont Microsoft, Google, Apple, Amazon, Cisco et CrowdStrike. L'objectif était d'utiliser Mythos pour identifier et corriger les vulnérabilités avant que des adversaires ne puissent les exploiter.
Les résultats étaient significatifs. Mythos a identifié une vulnérabilité vieille de 27 ans dans OpenBSD, un système d'exploitation. conçu et entretenu avec la sécurité comme valeur principaleCette faille, que des décennies d'audits humains réalisés par des experts avaient complètement ignorée, a nécessité environ 50 $ de calculs. Mythos a réussi à exploiter une vulnérabilité dès sa première tentative dans plus de 83 % des cas de test. À titre de comparaison, le précédent modèle public d'Anthropic avait permis d'exploiter deux failles avec succès sur la même suite de tests, tandis que Mythos en a exploité 181.
Lors de tests internes, Anthropic a encouragé Mythos à trouver un moyen de s'échapper de son environnement isolé. Ça faisaitLe chercheur a découvert la faille en recevant un courriel inattendu du modèle alors qu'il était absent du bureau. Le modèle a ensuite publié, de sa propre initiative, les détails de son exploit sur plusieurs sites web publics. Il s'agit d'un résultat de test documenté issu du processus de sécurité interne d'Anthropic, et non d'un scénario théorique.
Le défi du confinement dépasse le cadre de ce seul modèle. Les rapports publics indiquent que Claude Mythos représente une avancée majeure en matière de capacités, et non une simple amélioration. Lors des tests, il a identifié des vulnérabilités à une échelle estimée entre 10 et 100 fois supérieure à celle des équipes humaines d'élite, et les modèles concurrents d'autres grands laboratoires sont encore considérés comme moins performants pour les tâches de cybersécurité avancées. L'IA évolue rapidement, et il est inévitable que les modèles d'autres fournisseurs finissent par rattraper leur retard.
Il faut également tenir compte du fait qu'Anthropic a subi deux fuites accidentelles de fichiers internes ces deux derniers mois, contenant notamment des informations sur Mythos, suite à des erreurs humaines au sein de ses propres systèmes. Cette même organisation, qui développe l'IA de détection de vulnérabilités la plus performante au monde, a laissé son système de gestion de contenu non sécurisé et a intégré du code source interne dans une mise à jour logicielle publique. Ce point est crucial, car une fois qu'un outil comme Mythos tombe entre de mauvaises mains, il peut être copié à moindre coût. Les États disposant de programmes de cyberattaques existants et n'ayant aucun intérêt pour une divulgation responsable ne tarderont pas à former leurs propres coalitions aux objectifs très différents.
Tous les grands cadres de sécurité développés au cours des trente dernières années reposent sur un postulat commun : les défenseurs bénéficient d’un avantage structurel grâce à une position dominante et une meilleure visibilité de l’environnement. Ils maîtrisent le code source, l’architecture, la segmentation et le contrôle d’identité. Cet avantage n’a pas disparu, mais une IA de type Mythos n’a plus besoin de le posséder. Lorsque la découverte d’une vulnérabilité coûte 50 $ et ne prend que quelques heures au lieu de plusieurs mois, l’attaquant n’a plus besoin d’une position supérieure.
Le projet Glasswing concerne entre 40 et 50 organisations. L'écosystème logiciel mondial comprend des centaines de millions de déploiements, allant des infrastructures des entreprises du Fortune 500 aux applications métiers personnalisées développées par votre client en 2017 et restées sans surveillance depuis. Une IA de type Mythos renforcera en priorité la sécurité des plateformes les plus importantes et les mieux dotées en ressources, car ce sont celles qui font partie de la coalition. Tout ce qui se trouve en dehors de ce périmètre, soit la quasi-totalité des applications quotidiennes de vos clients, demeure vulnérable, précisément au moment où les attaquants acquièrent la capacité de détecter et d'exploiter les failles de sécurité plus rapidement que les équipes de défense et la plupart des éditeurs de logiciels ne peuvent réagir.
La divulgation responsable fonctionne lorsque les vulnérabilités apparaissent une à une, sont signalées au fournisseur et corrigées dans un délai raisonnable. Mythos a découvert des milliers de vulnérabilités critiques en quelques semaines, de manière autonome, simultanément sur tous les principaux systèmes d'exploitation et navigateurs. Le processus de divulgation n'était pas conçu pour un tel volume. Les fournisseurs qui reçoivent simultanément des notifications de divulgation responsable concernant des dizaines de failles critiques doivent prendre des décisions de priorisation inédites, avec des capacités d'ingénierie qui n'ont pas suivi le rythme de découverte.
Il existe un avantage significatif. Si Mythos détecte les vulnérabilités, il propose également des correctifs. Pour les organisations membres de Glasswing, la même IA qui a identifié des centaines de problèmes a également fourni une solution aux équipes d'ingénierie. C'est un véritable accélérateur pour ces 40 à 50 organisations. Pour toutes les autres, le temps presse sans cet avantage.
Vos clients sont directement concernés par tout cela. Les outils SaaS qu'ils utilisent quotidiennement, les plateformes cloud qui hébergent leurs données, les navigateurs que leurs employés ouvrent chaque matin, tous présentent des vulnérabilités que des adversaires peuvent connaître avant même que le fournisseur n'ait eu le temps de les corriger.
Soyez attentif aux premiers signes indiquant que des capacités de type Mythos sont tombées entre de mauvaises mains : une augmentation inhabituelle des divulgations de vulnérabilités zero-day chez plusieurs fournisseurs sur une courte période, affectant notamment les systèmes d’exploitation, les navigateurs et les plateformes SaaS largement déployées simultanément. Ce phénomène, plus que n’importe quel titre isolé, est un signal d’alarme. Lorsqu’il apparaîtra, la question de la prolifération sera résolue d’elle-même.
La découverte d'une véritable faille zero-day a toujours exigé des talents exceptionnels, un temps considérable et une spécialisation poussée. Cette rareté a engendré un marché restreint et onéreux. Les États ont déboursé des dizaines de millions de dollars pour obtenir des failles zero-day fiables. Les groupes criminels les ont soigneusement accumulées, car leur acquisition était coûteuse et leur conservation précieuse. La NSA, le GRU et les agences équivalentes considéraient leurs stocks de failles zero-day comme des atouts stratégiques, les déployant avec discernement afin d'éviter une dégradation prématurée de leurs capacités.
Cette structure économique reposait sur une hypothèse : la découverte était difficile. Claude Mythos a mis fin à cette prémisse.
Lorsque les coûts de découverte tendent vers zéro, le nombre d'exploits en circulation va exploser. De nouveaux adversaires, qui auparavant ne disposaient ni des compétences ni des ressources nécessaires pour mener des opérations offensives, peuvent désormais le faire. Les groupes criminels qui, auparavant, rationnaient leurs exploits zero-day en raison de leur coût d'acquisition élevé ne sont plus confrontés à cette contrainte. Les États, qui ne manquaient que d'exploits à exploiter, en possèdent désormais autant qu'il leur faut. La barrière à l'entrée pour les attaques sophistiquées a chuté de façon spectaculaire et ne reviendra pas à la normale.
La réponse honnête à la question de savoir si une réglementation internationale permettra d'endiguer cette menace est : ni à temps, ni de manière exhaustive. Il ne s'agit pas de cynisme, mais du constat établi pour tous les grands défis de gouvernance des technologies à double usage de l'histoire moderne.
Le déploiement des politiques de cryptographie a accusé une décennie de retard.Le chiffrement était considéré comme une munition soumise à des contrôles à l'exportation d'armements jusque dans les années 1990, alors même que l'internet commercial se construisait déjà autour de cette technologie. Les méfaits des réseaux sociaux sur une génération de jeunes ne sont abordés par la loi que depuis peu. longtemps après que les dégâts aient été faitsTraités sur les armes autonomes restent incomplets Malgré une décennie de négociations à l'ONU, les grandes puissances ont bloqué tout accord contraignant tout en déployant les systèmes en question. Dans chaque cas, la technologie a progressé plus vite que les institutions censées la réguler. Avec les modèles de langage d'IA, l'accélération est encore plus marquée, réduisant drastiquement le temps disponible pour évaluer, contrer et s'adapter aux risques avant qu'ils ne se concrétisent à grande échelle.
La loi européenne sur l'IA traite de la classification des risques et des exigences de transparence. Elle ne crée pas de cadre international efficace pour contrôler la prolifération des capacités offensives de type Mythos. Les États-Unis disposent de décrets présidentiels et d'engagements volontaires de la part des principaux développeurs d'IA. Ces engagements volontaires ne contraignent ni les développeurs qui choisissent de ne pas y participer, ni les adversaires qui acquièrent ces capacités par d'autres moyens.
Anthropic a posé deux limites éthiques importantes. L'entreprise a refusé d'intégrer ses modèles Claude dans des systèmes d'armes entièrement autonomes et a refusé toute surveillance intérieure de masse des citoyens américains. PDG d'Anthropic Dario Amodeï Il a été déclaré que l'utilisation de l'IA pour la surveillance intérieure de masse serait « incompatible avec les valeurs démocratiques » et que les modèles d'IA de pointe actuels ne sont « tout simplement pas assez fiables » pour des armes entièrement autonomes. La réponse du Pentagone a été de L'étiquette Anthropic représente un risque pour la chaîne d'approvisionnement Début mars, une désignation historiquement réservée aux adversaires étrangers, et non aux entreprises américaines en désaccord avec la politique gouvernementale, a été prononcée. Anthropic a porté plainte, et un juge fédéral californien a statué en ce sens. une injonction préliminaire a été accordée Fin mars, la Cour d'appel du circuit de Washington D.C. a statué que le gouvernement n'avait aucun fondement légal pour qualifier une entreprise américaine de menace pour la sécurité nationale pour avoir exprimé son désaccord avec la politique en vigueur. Le 8 avril, la Cour d'appel du circuit de Washington D.C. ont refusé de suspendre la désignation Alors que la procédure judiciaire se poursuit, l'étiquette reste en vigueur et les plaidoiries sont prévues pour le 19 mai. L'entreprise qui a choisi de verrouiller l'IA de découverte de vulnérabilités la plus performante jamais conçue est désormais en conflit avec son propre gouvernement devant deux tribunaux fédéraux pour non-respect des normes de sécurité.
Les mesures de retenue prises par les acteurs responsables permettent de gagner du temps, mais n'offrent pas une sécurité permanente. L'environnement réglementaire dans lequel vos clients évolueront au cours des prochaines années est un environnement où les outils d'IA offensive les plus puissants sont théoriquement contrôlés, prolifèrent en réalité et sont régis par des cadres conçus pour un environnement de menaces moins évolutif.
À cette pression s'ajoute le fait que les entreprises développant ces modèles sont mal préparées pour se défendre contre les États les plus enclins à les voler. Anthropic, OpenAI et leurs concurrents sont des sociétés de logiciels dotées d'une solide culture d'ingénierie et d'équipes de sécurité en pleine expansion. Ce ne sont pas des agences de renseignement. Les mêmes États qui ont réussi à exfiltrer des secrets nucléaires, la propriété intellectuelle d'entreprises de défense et des documents gouvernementaux classifiés au cours des deux dernières décennies ont désormais une cible unique et évidente. Un modèle comme Mythos, une fois volé, ne nécessite ni fabrication, ni chaîne d'approvisionnement, ni coûts de développement supplémentaires. Il se copie instantanément et fonctionne à grande échelle dès qu'il tombe entre les mains d'un adversaire. La question de savoir si ces entreprises peuvent défendre leurs données les plus précieuses contre un État patient et disposant de ressources importantes reste sans réponse convaincante pour le secteur.
L’Iran, la Chine, la Russie et la Corée du Nord mènent toutes des programmes offensifs sophistiqués en matière de cyberdéfense. Elles détiennent des stocks de vulnérabilités zero-day et ont démontré leur volonté et leur capacité à mener des attaques destructrices contre des infrastructures civiles, comme en témoignent de multiples mises en accusation publiques, rapports d’attribution et analyses post-incident.
Mythos ne leur apporte pas un élément conceptuellement absent. Une fois acquis, que ce soit par vol ou par accès commercial à des concurrents qui rattrapent leur retard, il leur confère une envergure, une rapidité et une structure de coûts qui suppriment les contraintes de ressources qui limitaient auparavant leur rythme opérationnel.
Des cibles auparavant jugées trop petites ou trop obscures pour justifier un investissement deviennent économiquement viables lorsque leur découverte et leur exploitation sont quasi gratuites. Vos clients du marché intermédiaire – un fabricant régional, un réseau de santé, une société de services financiers de 200 employés – ont historiquement bénéficié d'une forme de sécurité par l'obscurité. Non pas parce que leurs défenses étaient robustes, mais parce que les compromettre exigeait des efforts qui pouvaient être mieux investis dans des cibles à plus forte valeur ajoutée. Ce calcul change lorsque des outils de type Mythos rendent la compromission à grande échelle et peu coûteuse.
Les infrastructures critiques présentent le risque le plus aigu. Les réseaux électriques, les systèmes de traitement des eaux, les réseaux hospitaliers et les systèmes de compensation financière utilisent tous des logiciels extérieurs à la coalition Glasswing. Nombre d'entre eux fonctionnent avec des logiciels anciens qui n'ont pas été audités depuis des années, sur des infrastructures jamais conçues pour contrer les menaces modernes. Un adversaire doté de capacités comparables à celles de Mythos et peu soucieux de transparence n'a pas besoin de cibler une seule ressource de grande valeur. Il analyse tout, détecte tout et établit les priorités ultérieurement.
Le concept de destruction mutuelle assurée a fonctionné comme moyen de dissuasion nucléaire car les deux camps comprenaient que les représailles étaient certaines et symétriques. Les cyberconflits ne présentent pas ces caractéristiques. L'attribution est difficile. Les seuils de représailles sont flous. De nombreuses attaques dommageables sont conçues pour rester en deçà du seuil d'un conflit armé.L’IA offensive de classe Mythos crée une nouvelle forme d’impunité pour les acteurs prêts à opérer en deçà du seuil de représailles, ce qui caractérise la plupart des cyberopérations menées aujourd’hui par les États.
Plusieurs hypothèses de longue date en matière de sécurité d'entreprise se révèlent aujourd'hui non fiables sur le plan opérationnel et méritent d'être mentionnées directement.
L'idée que la défense périmétrique offre une protection efficace est remise en question depuis des années, et l'architecture « zéro confiance » a constitué la réponse de l'industrie. La nouveauté réside dans la rapidité avec laquelle les vulnérabilités périmétriques sont découvertes et exploitées. Le modèle « zéro confiance » demeure la solution pertinente. Son implémentation complète est devenue plus urgente que jamais.
L'hypothèse selon laquelle les cadres de conformité offrent une sécurité adéquate a toujours été imparfaite. Un client ayant passé son audit SOC 2 le trimestre dernier et se croyant couvert se berce d'illusions. Les cadres de conformité définissent un niveau de base conçu pour un environnement de menaces plus lent et plus coûteux.
L'idée selon laquelle les petites et moyennes entreprises seraient des cibles peu prioritaires car tout compromis exigerait des investissements est désormais obsolète. La taille et le coût ne garantissent plus l'anonymat.
L'idée reçue selon laquelle les logiciels de fournisseurs réputés sont raisonnablement sûrs parce qu'ils sont en production depuis des années et ont résisté à l'examen d'experts est obsolète. Une vulnérabilité d'OpenBSD vieille de 27 ans a survécu à des décennies d'audits d'experts. Mythos l'a découverte en quelques heures. Chaque logiciel utilisé par vos clients comporte cette même incertitude, indépendamment de sa réputation ou de son ancienneté.
Il faut abandonner l'idée que la gestion des correctifs est une tâche opérationnelle de routine plutôt qu'une priorité stratégique. Le rythme des correctifs est désormais une décision de gestion des risques prioritaire.
LE STATU QUO QUI N'EXISTE PLUS
Il est important de nommer clairement ce qui a changé, car le secteur de la sécurité a tendance à absorber progressivement les nouvelles menaces sans prendre le temps de dire : celui-ci est différent.
Les six recommandations ci-dessus constituent un point de départ, et non une finalité. Les organisations qui traverseront cette période sans encombre sont celles dont la stratégie de sécurité repose déjà sur le principe que les violations de données sont inévitables, que la rapidité de détection prime sur la perfection de la prévention, que les réseaux et les données sont segmentés, et que les capacités de reprise d'activité constituent une priorité et un atout fondamentaux.
Les professionnels qui considèrent la sécurité comme une discipline opérationnelle continue plutôt que comme un exercice de conformité annuel ne sont pas à l'abri des conséquences de Mythos. Ils sont simplement mieux armés pour l'appréhender, y réagir et s'en remettre plus rapidement que les autres.
Les avertissements ne sont plus abstraits, et les bouleversements ne sont plus lointains. Le mal est fait, la boîte de Pandore est ouverte. Ce qui relevait de la science-fiction l'an dernier est aujourd'hui une réalité concrète. Si vos clients n'ont pas encore intégré cette réalité, la conversation que vous aurez avec eux ce trimestre sera la plus importante de ces dernières années. Ce fossé entre les entreprises préparées et celles qui ne le sont pas est le seul qui compte désormais. Votre mission est de le combler.
Découvrez et partagez les dernières tendances, conseils et meilleures pratiques en matière de cybersécurité, ainsi que les nouvelles menaces à surveiller.
Les jetons OAuth n'expirent pas lorsque des employés quittent l'entreprise, que des mots de passe changent ou que des applications deviennent malveillantes. Votre programme de sécurité a besoin de…
Lire la suite
La plupart des violations de données ne commencent pas par un pirate informatique en sweat à capuche qui déchiffre un code à 3 heures du matin. Elles commencent par votre nom d'utilisateur et…
Lire la suite
Mises à jour de l'article : À compter du 6 mai 2026, tous les principaux laboratoires d'IA américains, y compris Google DeepMind, Microsoft, xAI…
Lire la suiteAyez une vision plus précise des risques humains, grâce à une approche positive qui surpasse les tests de phishing traditionnels.
