La BCE va évoquer avec les banques les risques du modèle Mythos d'Anthropic pour le système financier

La Banque centrale européenne fait sortir le débat sur l'intelligence artificielle du champ des expérimentations technologiques pour l'amener dans celui de la supervision bancaire directe. Le régulateur organise un appel avec les responsables des risques des banques de la zone euro afin d'aborder spécifiquement le nouveau modèle Mythos d'Anthropic et de déterminer s'il peut exploiter des vulnérabilités des systèmes financiers.

Le format de la réunion compte autant que son sujet. Quand une banque centrale s'adresse non pas aux équipes informatiques ni aux services d'innovation, mais aux directeurs des risques, cela signifie que le dossier est traité comme une menace potentielle pour la stabilité, et non comme un outil de plus pour gagner en efficacité. L'attention se porte alors non sur le confort de l'interface ni sur les performances du modèle, mais sur les risques opérationnels, la protection des données, le contrôle des accès, la résilience des processus internes et la possibilité que l'IA accélère des scénarios d'attaque déjà connus.

Aucun incident réel impliquant Mythos n'est signalé pour le moment, mais la formulation même de l'ordre du jour montre le sérieux avec lequel le régulateur prend le sujet.

La raison de cette attention est évidente. Les banques ont cessé depuis longtemps d'être des structures fermées dont les systèmes critiques seraient isolés du monde extérieur. Elles s'appuient sur de longues chaînes de sous-traitants, des services cloud, des API, des systèmes automatisés de surveillance, des outils d'analyse internes et des canaux numériques pour les clients.

Dans ce contexte, chaque bond des capacités de l'IA soulève de nouvelles questions. Si un modèle analyse mieux le code, construit plus vite des scénarios en plusieurs étapes, manipule avec assurance de gros volumes de données ou automatise l'interaction avec des services externes, le risque d'abus augmente en même temps que les bénéfices. En théorie, de tels systèmes peuvent aider des attaquants à repérer plus vite des configurations faibles, à préparer des campagnes de phishing convaincantes, à industrialiser l'ingénierie sociale ou à tester les barrières de défense plus rapidement qu'auparavant.

Pour le régulateur européen, le sujet est particulièrement sensible, car l'infrastructure financière de la zone euro repose sur la confiance dans la fiabilité des banques, des rails de paiement et des procédures de contrôle. Même si le nouveau modèle ne crée pas un type de menace fondamentalement nouveau, il peut rendre les anciennes menaces moins chères, plus rapides et plus massives. C'est l'un des effets clés des systèmes d'IA actuels : ils n'inventent pas forcément une nouvelle méthode d'intrusion, mais peuvent abaisser fortement le seuil d'entrée pour des opérations complexes.

La discussion sur Mythos concerne donc probablement non seulement le modèle d'Anthropic, mais aussi une classe plus large de systèmes qui gagnent en autonomie, planifient mieux leurs actions et peuvent servir d'outil entre les mains d'une personne ou d'une équipe.

En pratique, ces appels servent généralement à confronter les cartographies de risques et à déterminer ce que les banques doivent vérifier en priorité. Il peut s'agir de la manière dont l'accès aux systèmes internes est contrôlé, des faiblesses qui subsistent dans les processus d'authentification, du degré de sécurité avec lequel les banques connectent des modèles externes et de la rapidité avec laquelle elles repéreraient une activité atypique si l'IA servait dans une attaque. Pour les banques elles-mêmes, c'est aussi un signal pour revoir leurs scénarios de red teaming, leurs procédures de vendor risk management et leurs exigences envers les fournisseurs de services d'IA.

Dès lors que le régulateur aborde la question au niveau des directeurs des risques, le sujet débouche presque inévitablement sur des contrôles formels, des scénarios de crise et de nouvelles exigences de reporting.

Le principal enseignement est simple : les grands régulateurs financiers ne considèrent plus les modèles d'IA avancés comme une technologie bureautique neutre. L'affaire Anthropic Mythos montre que la prochaine étape de l'adoption de l'IA dans les banques ne tiendra pas seulement à la productivité et à l'automatisation, mais aussi à une révision stricte des cyberrisques, des contrôles internes et de la responsabilité liée à l'usage de modèles externes. Pour le marché, c'est un tournant important : plus les systèmes d'IA gagnent en puissance, plus vite ils sont jugés selon les normes des infrastructures critiques plutôt que celles des logiciels grand public.