Anthropic et le modèle Mythos : comment le danger pour les banques est vite devenu un risque pour tous

Anthropic a lancé Mythos sur le marché comme un modèle dangereux à diffuser en accès ouvert, déplaçant ainsi le débat sur l'IA de « est-ce plus pratique de travailler ainsi ? » vers « aurons-nous le temps de nous protéger ? ».

À première vue, l'alerte ressemble à une histoire de banques : après l'annonce, le secrétaire au Trésor américain, Scott Bessent, a réuni les dirigeants de Wall Street et exigé qu'ils vérifient que leurs systèmes sont prêts pour une nouvelle vague de risques cyber. Mais la conclusion la plus gênante est autre : si même les organisations dotées des environnements informatiques les mieux protégés au monde s'inquiètent d'un tel modèle, la menace est encore plus forte pour des milliers d'entreprises ordinaires.

D'après la description et les premières évaluations, Mythos se distingue bien des modèles grand public habituels, comme ChatGPT ou Gemini, précisément dans les scénarios de cybersécurité. Les études citées par l'article montrent que le modèle est mieux adapté aux attaques complexes et particulièrement dangereux pour les systèmes simplifiés, « peu protégés ». Les grandes entreprises ne sont pas les seules à chercher à y accéder : des organismes publics aussi.

Parmi les premières organisations ayant eu accès, on cite l'Institut britannique de sécurité de l'IA, et le Trésor américain insiste lui aussi pour être connecté. Cet intérêt montre qu'il ne s'agit plus de démontrer la puissance d'une énième IA, mais d'un outil capable de modifier l'équilibre entre attaque et défense.

Le problème tient à l'ancien modèle de réponse aux vulnérabilités. Pendant des années, le marché a fonctionné selon le schéma de la divulgation responsable : l'éditeur trouve la faille, publie les détails, diffuse un correctif, et les clients testent tranquillement la mise à jour avant de la déployer sur leur infrastructure. Microsoft en a fait un processus régulier, connu sous le nom de Patch Tuesday.

Dans les grandes banques comme Barclays ou Wells Fargo, les correctifs suivent un long parcours : vérification, validation, évaluation des risques pour les systèmes en production, et seulement ensuite déploiement. Cela fonctionnait parce que les attaquants avaient eux aussi besoin de temps pour étudier la description du bug, imaginer une méthode d'exploitation et rendre l'attaque opérationnelle.

L'IA générative, puis les modèles agentiques, ont commencé à briser cette logique. Un système peut désormais non seulement lire les publications sur les vulnérabilités, mais aussi chercher seul des faiblesses similaires dans du code ouvert, tester des variantes d'intrusion et enchaîner plusieurs petites erreurs en une attaque en plusieurs étapes. La fenêtre de défense se réduit donc brutalement. Selon zerodayclock.com, le délai moyen entre la découverte d'une vulnérabilité et l'apparition d'un exploit fonctionnel est passé de 771 jours en 2018 à moins de quatre heures aujourd'hui.

On comprend ici pourquoi la panique autour de Mythos ne devrait pas se limiter à Wall Street. Les pirates « black hat » n'ont jamais particulièrement aimé s'attaquer aux banques, avec leur haut niveau de contrôle et leur défense à plusieurs niveaux. Il est bien plus rentable de viser des hôpitaux, des sous-traitants, des services régionaux ou une petite boutique à l'infrastructure mal configurée, et d'exiger une rançon.

Si des modèles comme Mythos abaissent le seuil d'entrée de ces attaques et accélèrent leur préparation, la principale zone de risque se déplace là où il y a moins de personnel, moins de budget et presque pas de temps pour réagir. L'affaire renforce aussi l'aura d'Anthropic, l'entreprise qui a la première publiquement signalé une nouvelle limite de danger.

La question centrale n'est plus de savoir qui aura exactement accès à Mythos, mais si l'ancien rythme de la cyberdéfense reste viable. S'il ne reste que quelques heures entre la divulgation d'une faille et une attaque réelle, les cycles mensuels de correctifs perdent leur sens. Les banques pourront peut-être passer à des mises à jour quasi continues, à une vérification automatisée et à une gestion des changements plus stricte. Pour les petites et moyennes entreprises, sans services de protection bon marché, sans nouvelles exigences envers les fournisseurs et, probablement, sans aide réglementaire, ce sera beaucoup plus difficile.

Mythos compte donc moins comme un énième modèle sensationnel que comme un avertissement : l'époque où l'on disposait de semaines et de mois pour corriger les erreurs touche à sa fin.