Les capacités d'Anthropic Mythos en recherche de vulnérabilités contestées par l'industrie de la cybersécurité

Anthropic Mythos suscite de l'intérêt, mais aussi un scepticisme croissant. Le modèle, qui fait parler de lui pour sa capacité à repérer des vulnérabilités dangereuses, n'est peut-être pas aussi unique que le suggère sa présentation publique. Si les résultats des tests internes d'Aisle sont exacts, le cas très médiatisé qui a alarmé administrations et grandes organisations se reproduit aussi avec des modèles open source bien moins coûteux.

Le débat est parti d'affirmations selon lesquelles Mythos serait capable de détecter des défauts logiciels et des vulnérabilités à un niveau tel que des agences gouvernementales et des clients institutionnels ont dû examiner de plus près les risques d'un tel outil. Le fait que seul un cercle restreint d'entreprises teste le modèle ne fait qu'accroître la tension : lorsque l'accès à un système est fermé, le marché doit s'appuyer non sur un benchmark large, mais sur des démonstrations isolées et les évaluations du développeur.

C'est là qu'intervient la critique principale, formulée par Jaya Baloo, COO et CISO de la société de cybersécurité Aisle. Selon elle, son équipe a pu reproduire lors de tests internes le résultat mis en avant par Anthropic, en utilisant des modèles open source peu coûteux. Autrement dit, il ne s'agirait peut-être pas d'un saut technologique hors de portée réservé à un système fermé, mais d'une tâche que des outils plus accessibles savent déjà accomplir, à condition d'être bien configurés, de disposer d'un contexte suffisant et de recevoir un prompt bien formulé.

Pour les acheteurs comme pour les régulateurs, la différence est considérable. D'un côté, un modèle rare, à l'accès strictement contrôlé, qui affiche un résultat inhabituel en environnement fermé. De l'autre, une situation où des systèmes moins chers, déployables en interne ou basés sur du code ouvert, produisent un effet comparable. Dans le premier cas, l'enjeu porte sur la restriction d'accès à un produit précis. Dans le second, les organisations devront revoir leurs processus de sécurité, de revue de code et de tests internes, désormais dans le cadre d'une nouvelle norme.

L'affaire comporte une autre dimension importante : la confiance accordée aux annonces spectaculaires à un stade précoce des tests. Tant que le modèle n'est évalué que par un cercle restreint d'entreprises, le marché public ne voit que la partie émergée : un cas isolé, une formule percutante et les réactions qu'elle suscite. Une évaluation réelle exige pourtant des scénarios comparables, des résultats reproductibles et une compréhension des conditions dans lesquelles le modèle a trouvé une vulnérabilité donnée. Sans cela, on confond facilement une démonstration impressionnante avec un avantage durable.

Pour l'industrie de la cybersécurité, ce point est fondamental. Si le caractère unique de Mythos est exagéré, l'évaluation de la menace change elle aussi. Les craintes autour de ces modèles reposent sur deux prémisses : ils accélèrent la recherche de vulnérabilités et abaissent la barrière d'entrée pour les attaquants. Mais si le même effet est atteignable via l'écosystème open source, le débat doit se déplacer d'une entreprise particulière vers un constat plus large : ces capacités sont sans doute déjà réparties sur le marché et ne dépendent pas d'un seul fournisseur.

Cela n'atténue pas nécessairement l'inquiétude pour autant : cela la rend plutôt plus concrète. Pour les administrations, les entreprises et les développeurs, la question n'est plus seulement de savoir à quel point une IA phare est puissante, mais à quelle vitesse des fonctions similaires se diffusent dans des modèles à bas coût et accessibles à tous. L'accès fermé à Mythos a pu donner l'impression d'un danger exclusif. La déclaration d'Aisle pointe un autre scénario : les capacités de recherche de bugs, utiles aux défenseurs et tout aussi risquées entre les mains des attaquants, sont déjà en train de se banaliser.

La principale leçon est que la controverse autour d'Anthropic Mythos ne porte pas seulement sur la qualité d'un modèle, mais aussi sur la manière dont le marché mesure le caractère exceptionnel de l'IA en cybersécurité. Si des solutions open source bon marché trouvent réellement les mêmes vulnérabilités, l'avantage concurrentiel d'Anthropic paraît moins spectaculaire, et le débat quitte le terrain du sensationnel pour celui de la vérification, des tests comparatifs et de la gestion de l'accès à ces outils.