Le régulateur de Singapour somme les banques de combler leurs failles face aux inquiétudes autour de Mythos, d'Anthropic

L'Autorité monétaire de Singapour (Monetary Authority of Singapore, MAS) a adressé un avertissement officiel aux banques : les établissements doivent corriger d'urgence les vulnérabilités existantes de leurs systèmes de cybersécurité. Cet appel du régulateur intervient alors que l'inquiétude monte dans les milieux financiers asiatiques au sujet de Mythos, un nouveau modèle de langage de l'entreprise américaine Anthropic.

Mythos est la dernière création d'Anthropic, à l'origine de la famille de modèles Claude. Selon Bloomberg, ce sont les capacités du modèle à comprendre le contexte et à générer un texte convaincant qui ont suscité une inquiétude concrète chez les spécialistes de la sécurité de l'information du secteur financier. La crainte ne porte pas sur le modèle en tant que tel, mais sur son usage potentiel par des attaquants : rédiger des e-mails de phishing, imiter des communications bancaires et mener des attaques automatisées contre les clients et les employés des organismes financiers.

Singapour occupe depuis longtemps une place de premier plan parmi les centres financiers d'Asie et agit traditionnellement de façon proactive sur la régulation des risques technologiques. La MAS est réputée pour ses exigences strictes en matière de gestion du risque technologique : les banques doivent suivre les lignes directrices de gestion du risque technologique (Technology Risk Management Guidelines), régulièrement mises à jour. L'avertissement actuel s'inscrit dans cette pratique : plutôt que de réagir après des incidents, le régulateur réclame des mesures préventives.

Selon les sources de Bloomberg, la MAS pointe plusieurs catégories de vulnérabilités. La première : les systèmes d'authentification obsolètes, insuffisamment protégés contre les attaques utilisant des voix synthétiques et des deepfakes, dont la qualité a fortement progressé ces derniers mois. La deuxième : les points faibles dans la protection de la messagerie, les employés de banque étant de plus en plus souvent victimes de scénarios de phishing sophistiqués, pratiquement impossibles à repérer sans formation spécifique. La troisième : les risques liés à l'utilisation, par les banques elles-mêmes, d'outils d'IA tiers sans vérification adéquate de leur sécurité.

La réaction des régulateurs asiatiques à Mythos a été nettement plus vive qu'aux précédentes sorties d'Anthropic. Les analystes avancent plusieurs facteurs. Après une série d'incidents retentissants en 2025, où des fraudeurs ont utilisé avec succès des modèles de langage pour attaquer des clients de banques à Hong Kong et en Corée du Sud, les régulateurs de la région prennent ces risques beaucoup plus au sérieux. En outre, Singapour, premier hub financier d'Asie du Sud-Est, traite un volume important de transactions transfrontalières, ce qui fait de ses banques des cibles particulièrement attrayantes.

Il faut bien comprendre qu'il ne s'agit pas de dire que le modèle Mythos représente une menace directe, ni qu'Anthropic soit impliquée dans des abus. La MAS réagit à un bouleversement fondamental du paysage des menaces : tout modèle de langage puissant qui se généralise élargit inévitablement les capacités des utilisateurs légitimes comme celles des attaquants. Il y a quelques années encore, une attaque de phishing complexe exigeait une équipe de spécialistes chevronnés ; aujourd'hui, un simple accès à un outil d'IA de pointe suffit.

Les banques qui reçoivent la directive de la MAS devront auditer leurs systèmes de cybersécurité et rendre compte des mesures prises. Les analystes s'attendent à ce que l'Autorité monétaire de Hong Kong (HKMA) et d'autres régulateurs de la région puissent émettre des avertissements similaires prochainement. La question n'est plus de savoir si les régulateurs financiers asiatiques adapteront leurs normes à la réalité d'une IA puissante, mais à quelle vitesse ils le feront.