Mythos d'Anthropic : pas une arme absolue pour hackers, mais un signal d'alarme pour les développeurs

Anthropic a présenté Mythos, et la communauté professionnelle s'est immédiatement divisée. Pour certains, il s'agit d'une potentielle « super-arme de hacker » : la capacité de l'IA à raisonner et à automatiser des tâches y est perçue comme une menace directe pour la sécurité numérique. D'autres, dont la position compte bien davantage, affirment que la véritable crise de la cybersécurité a commencé bien avant l'apparition de tout modèle de langage.

Mythos est la nouvelle création d'Anthropic, société spécialisée dans le développement sûr de l'IA. Le modèle se distingue non seulement par ses performances, mais aussi par sa capacité de raisonnement complexe en plusieurs étapes, exactement ce qu'il faut pour analyser des vulnérabilités, écrire des exploits ou rechercher automatiquement des failles dans du code. Les spécialistes de la sécurité y voient un outil à double usage : il peut servir à se défendre, mais il peut aussi tomber entre les mains de malfaiteurs et abaisser le seuil d'entrée pour mener des attaques sophistiquées.

Pourtant, la thèse centrale de l'étude ne porte pas sur la puissance d'un modèle en particulier. Les experts pointent une faiblesse systémique : pendant des décennies, l'industrie du logiciel a traité la sécurité comme une tâche « pour plus tard ». Des millions de lignes de code ont été écrites sans tenir compte des principes de base de la protection. Ce n'est un secret pour personne, mais personne ne s'est vraiment pressé de corriger le tir.

L'arrivée d'un outil d'IA puissant, capable de trouver automatiquement des vulnérabilités, change l'équation. Ce qui demandait jadis des semaines de travail à un pentester chevronné peut désormais être fait en quelques heures, et pas seulement par ceux qui défendent les systèmes, mais aussi par ceux qui les attaquent.

Selon des études sectorielles, plus de 70 % des piratages exploitent des vulnérabilités connues, documentées de longue date, pour lesquelles des correctifs existent depuis longtemps. Le problème n'est pas l'absence de solutions, mais une culture où les mises à jour de sécurité passent après la vitesse de développement et le lancement de nouvelles fonctionnalités.

Mythos et les modèles du même type pourraient servir de catalyseur au changement, même douloureux. Si la recherche automatisée de vulnérabilités devient accessible à tous, ignorer la dette technique en matière de sécurité coûtera nettement plus cher. Les vieux services au code obsolète, les startups qui ont « lancé d'abord, la sécurité viendra après », les systèmes d'entreprise aux correctifs non publiés : tous se retrouvent en zone de risque accru.

D'un autre côté, cette même IA peut aider à se défendre. Plusieurs entreprises utilisent déjà des modèles de langage pour l'audit automatique de code, la recherche de vulnérabilités et la génération de tests de sécurité. Anthropic, qui affiche son engagement pour un développement sûr de l'IA, pourrait prendre la tête précisément dans cette direction, avec un outil pour les défenseurs et pas seulement un motif d'inquiétude.

L'arrivée de chaque nouveau modèle puissant pose inévitablement la même question : entre quelles mains se trouve cet outil ?

L'alarme autour de Mythos n'est pas de la panique, mais un rappel. Les développeurs et les entreprises qui continuent de repousser la sécurité risquent d'être les plus vulnérables au moment même où les outils d'attaque deviennent moins chers et plus accessibles. Le vrai défi n'est pas un modèle précis, mais l'habitude de considérer la sécurité comme le problème des autres.