La Banque d'Angleterre réunit les banques britanniques pour un briefing sur les cyberrisques du modèle Mythos d'Anthropic

Le 16 avril, la Banque d'Angleterre a élevé Claude Mythos Preview au rang de risque systémique pour l'ensemble du secteur financier. Les régulateurs préparent un briefing dédié aux plus grandes banques, assureurs et places boursières, après des déclarations selon lesquelles le nouveau modèle d'Anthropic peut trouver et exploiter de façon autonome des vulnérabilités dans des logiciels clés, des systèmes d'exploitation aux navigateurs.

Les réunions se tiennent au sein du Cross Market Operational Resilience Group (CMORG), une instance qui coordonne la résilience de l'infrastructure financière du Royaume-Uni. Y siègent les dirigeants des huit plus grandes banques du pays, des représentants de quatre opérateurs d'infrastructure et de deux groupes d'assurance, ainsi que le ministère des Finances, la Banque d'Angleterre, la FCA et le National Cyber Security Centre. Le fait que le sujet soit porté à ce niveau montre qu'il n'est pas traité comme une simple actualité informatique, mais comme une question de stabilité des paiements, des plateformes de négociation et des services critiques.

L'élément déclencheur est Claude Mythos Preview, un modèle d'Anthropic pas encore publié, auquel l'entreprise n'ouvre l'accès qu'à un cercle restreint de partenaires. Selon Anthropic, le modèle a déjà aidé à identifier des milliers de vulnérabilités inconnues de haute criticité, dont des bugs dans chaque grand système d'exploitation et chaque grand navigateur. L'entreprise affirme aussi que le modèle sait non seulement repérer les points faibles, mais aussi construire des chaînes d'exploitation presque sans intervention humaine. Un exemple : la découverte d'une méthode permettant à un site malveillant d'accéder aux données d'un autre site, y compris bancaires.

Ce qui inquiète particulièrement les régulateurs, c'est qu'il ne s'agit pas d'une démonstration de laboratoire. Anthropic a expliqué sans détour qu'elle ne met pas Mythos Preview à la disposition du grand public précisément à cause de ses capacités cyber. Parmi les exemples divulgués figure une faille vieille de 27 ans dans OpenBSD, ainsi que d'autres bugs que ni les experts ni les tests automatisés n'avaient repérés pendant des années. Pour les banques, c'est un point particulièrement sensible : une grande partie du secteur repose encore sur une pile legacy complexe et hétérogène, où une seule nouvelle technique de recherche d'exploits peut réduire fortement le délai entre la découverte d'une faille et une attaque réelle.

La réaction internationale souligne elle aussi la gravité de la situation. Avant ces réunions britanniques, des discussions d'urgence avaient déjà eu lieu aux États-Unis et au Canada. À Washington, le sujet a été porté par le Trésor américain et la Réserve fédérale, avec les dirigeants des plus grandes banques d'importance systémique.

Pour les régulateurs, c'est le signe que les modèles de pointe commencent à peser non seulement sur la productivité des développeurs, mais aussi sur le profil du risque systémique : si de tels outils tombent entre les mains d'attaquants, ou devancent simplement la préparation des équipes de défense, ce sont les nœuds les plus importants qui seront les plus exposés : paiements, compensation, infrastructure de négociation et services web bancaires.

Parallèlement, Anthropic a lancé Project Glasswing, un programme d'accès anticipé et contrôlé pour les équipes de défense. Parmi les partenaires cités figurent AWS, Apple, Google, Microsoft, Nvidia, Cisco et JPMorgan Chase. L'entreprise promet jusqu'à 100 millions de dollars de crédits d'utilisation de Mythos et 4 millions de dollars supplémentaires de dons à des organisations qui œuvrent pour la sécurité de l'open source. La logique est simple : donner une longueur d'avance aux défenseurs pour qu'ils trouvent et corrigent les failles avant que des capacités similaires ne se généralisent chez les concurrents ou ne fuitent vers le camp des attaquants.

Le principal enseignement pour le secteur financier est que le risque lié à l'IA a cessé d'être un sujet abstrait sur l'avenir. Si les affirmations d'Anthropic se confirment, même en partie, dans la pratique, les banques devront accélérer l'inventaire de leurs vulnérabilités, revoir leurs processus de correctifs et apprendre à utiliser des modèles similaires pour se défendre. Sinon, l'avantage en vitesse et en échelle pourrait, pour la première fois, passer non aux équipes de sécurité, mais à ceux qui automatisent l'attaque.