Mythos AI d'Anthropic aurait piraté les systèmes les plus sensibles de la NSA « en quelques heures »

Lorsqu’Anthropic a dévoilé Mythos pour la première fois en avril, cela a provoqué une onde de choc anxieuse dans une grande partie du secteur de la cybersécurité. Le nouveau modèle d'IA aurait été si impitoyablement efficace pour détecter et exploiter les vulnérabilités de sécurité des logiciels existants que la société a déclaré qu'elle retardait sa publication publique et qu'elle n'accorderait l'accès qu'à un petit groupe de premiers testeurs, y compris la National Security Agency (NSA) américaine.

Une autre vague de peur s'est répercutée cette semaine après que la NSA aurait découvert plusieurs vulnérabilités au sein de ses propres systèmes de cybersécurité lors de ses tests avec Mythos. Si cette agence – qui est censée posséder les cyberdéfenses les plus impénétrables au monde – peut être piratée par Mythos, quel espoir ont les infrastructures de cybersécurité du reste du monde ?

Cette dernière vague de panique a commencé par ce qui semble avoir été une sorte de jeu de téléphone : quelqu'un dit une chose, qui est répétée par un autre, puis une autre après, et tout au long de cette chaîne de communication, la déclaration originale est déformée. La semaine dernière, The Economist signalé que lors d'une audition le 11 juin devant la commission sénatoriale des banques, du logement et des affaires urbaines, le sénateur démocrate Mark Warner de Virginie a déclaré que Mythos avait pénétré par effraction dans « presque tous les pays ». [the NSA’s] systèmes classifiés, non pas en semaines, mais en heures. Warner a déclaré avoir reçu cette information du chef de la NSA lui-même, le général Joshua Rudd, qui dirige également la division Cyber Command du Pentagone. Lundi, une coalition d’agences de renseignement – dont la NSA et ses homologues du Canada, du Royaume-Uni, de l’Australie et de la Nouvelle-Zélande – a publié un avertissement inhabituellement public selon lequel le risque que l’IA pose désormais pour la cybersécurité justifie une « réponse de l’ensemble de la société ».

Le rapport de The Economist a été considéré par certains comme la preuve que les pires craintes concernant Mythos étaient vraies, une réaction qui a sans aucun doute été également alimentée par l'aura de pouvoir et de mystère qui s'est formée autour du modèle ces derniers mois. Cette aura a sans doute été une aubaine pour Anthropic, qui a récemment usurpé OpenAI en tant que startup la plus précieuse au monde et se prépare à ce qui devrait être une introduction en bourse historique.

Mais cela a également contribué à sa dernière escarmouche avec l'administration Trump, qui a ordonné à l'entreprise plus tôt ce mois-ci de restreindre l'accès de tous les ressortissants étrangers à Fable 5, un modèle de « classe Mythos » qui avait récemment été rendu public et qui a été construit avec des garanties qui, pour certains utilisateurs, étaient extrêmement strictes. Invoquant des préoccupations en matière de sécurité nationale, l’administration a invoqué un obscur texte législatif sur le contrôle des exportations, une démarche qui, selon certains experts juridiques, est fallacieuse. De nombreux experts en cybersécurité, quant à eux, argumenté que l’interdiction paralyserait les défenses américaines en matière de cybersécurité et donnerait le dessus à des adversaires comme la Chine.

Cet argument a apparemment été confirmé par un mardi rapport du New York Times qui a déclaré que l'interdiction de Trump – qui visait également un autre modèle appelé Mythos 5, qui n'avait été mis à la disposition que d'un petit groupe d'organisations – avait mis un terme aux tests internes de la NSA avec Mythos, et que l'administration travaillait désormais avec Anthropic pour rétablir l'accès de l'agence à des fins limitées liées à la sécurité nationale. La NSA n'a pas immédiatement répondu à la demande de commentaires de Gizmodo.

Ce même article du Times précise également que les tests internes de la NSA avec Mythos étaient moins apocalyptiques que les rumeurs en ligne pourraient le suggérer. Selon des responsables fédéraux cités dans le rapport, les tests ont été effectués dans un environnement numérique si étroitement contrôlé qu'il est très peu probable qu'un pirate informatique ou une agence de renseignement étrangère puisse les reproduire. Les responsables ont également déclaré au Times que même si Mythos était capable d'identifier les vulnérabilités en matière de cybersécurité, il ne les exploitait pas réellement.

L'auteur du rapport dans The Economist – celui qui était à l'origine de toutes ces inquiétudes – a également admis que sa description des tests de la NSA avec Mythos avait été trompeuse. Les tests « sûrement [involved] en utilisant Mythos avec d'autres outils dans des conditions très particulières », a-t-il écrit dans un Message X le dimanche. «J'ai cité [Senator Warner] pour donner une idée de la puissance de Mythos. Mais c’était une erreur de ne pas ajouter de mises en garde.»