Les fintechs indiennes réclament l'accès à Mythos d'Anthropic face au risque de cyberattaques

Les fintechs indiennes cherchent à accéder à Claude Mythos avant le grand public, par souci de défense et non par curiosité. Pour les acteurs qui portent les paiements, le crédit et d'immenses volumes de données clients, le nouveau modèle d'Anthropic ne ressemble pas à une énième nouveauté d'IA, mais à un outil capable de réduire fortement le délai entre la découverte d'une vulnérabilité et une attaque réelle. Demander un accès anticipé revient donc ici à une chose simple : tester sa propre infrastructure avant que quelqu'un d'autre ne le fasse. Sur ce marché, quelques heures d'avance peuvent compter lorsqu'il s'agit de passerelles de paiement, de systèmes antifraude et d'intégrations avec les banques.

Parmi les entreprises qui réclament l'accès figurent One97 Communications, Razorpay et Pine Labs. Leur logique est limpide : si Mythos trouve vraiment les failles mieux que la plupart des spécialistes, les grandes plateformes financières ont intérêt à l'utiliser pour des audits internes plutôt qu'à attendre que des malfaiteurs disposent de capacités comparables. Selon le dirigeant de One97, la discussion avec Anthropic a porté non seulement sur le calendrier d'accès, mais aussi sur la manière précise dont l'entreprise compte utiliser le modèle, ce qui témoigne d'une sélection stricte des utilisateurs.

Anthropic ne compte pas, pour l'instant, ouvrir Mythos à tout le monde. L'entreprise a lancé à la place le Project Glasswing, un programme contrôlé qui réunit de grands acteurs de la tech et de la cybersécurité, dont Amazon Web Services, Microsoft, Apple, Google, NVIDIA, Cisco, CrowdStrike et JPMorganChase. Plus de 40 autres organisations responsables d'infrastructures logicielles critiques ont obtenu un accès limité pour des tâches défensives. Anthropic a consacré à ce programme jusqu'à 100 millions de dollars de crédits d'utilisation du modèle, ainsi que 4 millions de dollars de soutien direct à des organisations open source liées à la sécurité.

Cette prudence s'explique par les capacités revendiquées du modèle lui-même. Anthropic écrit sans détour que le modèle a atteint un niveau où il surpasse presque tout le monde, à l'exception des spécialistes les plus pointus, pour trouver et exploiter des vulnérabilités logicielles. D'après l'entreprise, Mythos Preview a déjà découvert des milliers de vulnérabilités de forte criticité, y compris dans chaque grand système d'exploitation et chaque grand navigateur web.

Il ne s'agit pas seulement d'audit statique de code : le modèle sert à chercher des failles zero-day, à tester des binaires en black-box, à renforcer la protection des endpoints et à mener des pentests complets. L'entreprise affirme qu'une partie des failles trouvées était restée inaperçue pendant des années et que, dans certains cas, le modèle a pu non seulement signaler un bug, mais aussi proposer un chemin d'exploitation fonctionnel. Les rapports d'Anthropic indiquent aussi que, lors d'une vérification manuelle, les experts étaient d'accord avec l'évaluation de gravité dans 89 % des 198 cas examinés, et à un niveau d'écart au plus dans 98 % des cas.

C'est particulièrement sensible pour les banques et les fintechs : leur stack est généralement complexe, relié à des partenaires, et repose souvent sur des composants anciens difficiles à mettre à jour rapidement sans risque pour l'activité.

Le marché indien a réagi vite. FACE, association d'autorégulation qui regroupe plus de 275 entreprises de l'écosystème et que reconnaît la RBI, a recommandé à ses membres de renforcer leur protection, d'accélérer le correctif des vulnérabilités connues, de mettre en place une surveillance continue et de signaler immédiatement aux régulateurs tout incident suspect. Pour le secteur, la menace n'a rien d'abstrait : la fintech indienne s'est développée sur un réseau dense d'API, d'applications mobiles, de services de paiement et d'intégrations avec des prestataires tiers, si bien qu'une seule chaîne d'exploitation réussie peut se propager rapidement à plusieurs acteurs du marché.

Dans ce contexte, la demande d'accès à Mythos ressemble moins à une quête d'avantage concurrentiel qu'à une mesure d'alerte précoce.

La même inquiétude se fait déjà sentir hors d'Inde : aux États-Unis et au Royaume-Uni, régulateurs, banques centrales et grandes banques ont discuté séparément du fait que de tels modèles pourraient accélérer des cyberattaques sophistiquées plus vite que le marché ne parviendra à refondre ses défenses.

L'enseignement principal est que les modèles du niveau de Mythos changent l'économie même de la cybersécurité. Trouver des vulnérabilités profondes exigeait auparavant une expertise rare, des semaines de travail et des équipes coûteuses ; ce processus peut désormais être ramené à quelques heures et gagner une tout autre ampleur. Pour la fintech, cela ouvre une nouvelle course : il faudra se défendre avec les mêmes outils qui peuvent renforcer les attaquants.

Plus tôt les grandes plateformes de paiement pourront tester leurs systèmes en mode défensif, plus elles auront de chances de réduire la fenêtre de risque. Mais une autre question se pose aussi : si l'accès à ces systèmes reste réservé à un cercle restreint d'entreprises et d'États, la ressource stratégique ne sera plus seulement le capital ou les données, mais la capacité à repérer les faiblesses de l'infrastructure financière numérique plus vite que quiconque.