La CISA utilise le modèle Mythos d'Anthropic pour auditer le code des systèmes de l'État américain

L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) utilise un modèle d'IA offensif et fermé d'Anthropic, baptisé Mythos, pour rechercher des vulnérabilités dans les logiciels des administrations. Trois sources au fait du dossier l'affirment, mais presque rien sur le travail lui-même n'est confirmé officiellement.

Ce que l'on sait de l'usage de Mythos

L'agence fédérale chargée de protéger les infrastructures civiles américaines met un modèle d'IA privé de classe offensive au service de l'audit de ses propres logiciels publics. Dans ce contexte, un modèle « offensif » désigne un outil conçu ou adapté dès l'origine pour des missions de cybersécurité offensive, c'est-à-dire pour trouver et exploiter des vulnérabilités, et pas seulement les détecter passivement.

• Le modèle s'appelle Mythos et appartient à Anthropic
• Il est utilisé par l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA)
• L'objectif est de trouver des bugs et des vulnérabilités dans les logiciels utilisés par les administrations
• L'information provient de trois sources au fait du dossier
• Presque rien sur le travail n'est confirmé officiellement ni documenté publiquement

Pourquoi le secret entourant le projet compte

Le fait que presque rien sur le travail de Mythos au sein de la CISA ne soit public est déjà révélateur. Lorsque des agences gouvernementales emploient des modèles d'IA avancés pour la cybersécurité offensive, les détails sont volontairement tus, car la publication des méthodes et des résultats de l'audit pourrait donner à d'éventuels adversaires des indices sur les vulnérabilités ou sur les capacités de l'outil. Le recours à un modèle fermé, disponible dans le commerce et issu d'une entreprise privée, et pas seulement à des développements internes de l'agence, reflète aussi une tendance plus large : les administrations s'appuient de plus en plus sur les modèles de laboratoires de pointe comme Anthropic pour des tâches qui exigeaient encore récemment le seul travail manuel de spécialistes internes en cybersécurité.

Ce que cela signifie

L'utilisation d'un modèle offensif d'Anthropic pour auditer du code gouvernemental illustre concrètement le passage des modèles de langage d'outils de chat d'appoint à des tâches aux conséquences directes pour la cybersécurité nationale. C'est aussi le signe que la frontière entre développement commercial de l'IA et opérations défensives de l'État continue de s'estomper.