Le gouverneur de la Banque d'Angleterre appelle à évaluer d'urgence les cyberrisques du modèle d'IA d'Anthropic pour les banques

Andrew Bailey, gouverneur de la Banque d'Angleterre, a appelé les régulateurs du monde entier à évaluer rapidement la menace que le modèle d'IA Mythos d'Anthropic peut représenter pour les banques. Cette déclaration compte non seulement parce qu'elle cite une entreprise et un modèle précis. Elle montre que le débat sur l'intelligence artificielle dans le secteur financier glisse de l'efficacité et de l'automatisation vers la cyberrésilience et le risque systémique. Pour les banques centrales et les autorités de supervision, ce qui compte désormais, ce n'est pas seulement le potentiel de l'IA, mais aussi la vitesse à laquelle elle peut modifier le profil de menaces des plus grandes institutions financières.

Bailey dirige l'une des principales banques centrales du monde, et ses avertissements publics sont généralement perçus comme un signal adressé à l'ensemble de la communauté des régulateurs. Sur le cyberrisque, l'inquiétude ne porte pas sur une abstraite « révolte des machines », mais sur des scénarios plus terre à terre : attaques de phishing accélérées, automatisation de la recherche de vulnérabilités, génération de code malveillant, contournement des procédures internes et attaques sophistiquées moins coûteuses pour les malfaiteurs. Les banques sont particulièrement sensibles à ces évolutions, car elles gèrent à la fois l'argent, des infrastructures de paiement critiques et d'énormes volumes de données confidentielles.

Il importe aussi que Bailey parle précisément d'une réaction mondiale des régulateurs. Les grandes banques opèrent dans plusieurs juridictions à la fois, s'appuient sur des services cloud internationaux, sont reliées à des canaux de paiement communs et recourent à de longues chaînes de fournisseurs technologiques externes. Si un système d'IA puissant abaisse le seuil d'entrée des cyberattaques ou accélère la préparation d'opérations complexes, le problème ne reste pas local. Un maillon faible dans un pays ou chez un prestataire peut vite devenir un problème pour les flux financiers transfrontaliers. L'idée d'une évaluation rapide sonne donc comme un appel à la coordination, et pas comme un énième rapport interne.

La mention de Mythos est elle aussi révélatrice. Les régulateurs évoquent souvent l'IA comme une classe de technologies, mais désignent plus rarement en public un modèle précis nécessitant une évaluation urgente des risques. Cela signifie que l'attention passe peu à peu des principes généraux à l'analyse pratique des capacités d'un produit : son degré d'autonomie pour exécuter des chaînes d'actions, son efficacité sur les tâches techniques, sa capacité à utiliser des outils externes, la façon dont il rend un éventuel détournement extensible, et la vitesse à laquelle ses capacités progressent d'une version à l'autre.

Cette approche n'équivaut pas à accuser le développeur d'avoir créé un outil dangereux. C'est plutôt la reconnaissance que les capacités des modèles deviennent, en elles-mêmes, un objet de supervision financière.

Pour les banques, de tels signaux signifient qu'une cyberhygiène purement formelle ne suffit plus. Elles devront probablement réexaminer le contrôle d'accès, l'usage des services d'IA externes par les employés, la vérification des prestataires, les tests de scénarios de fraude, la protection des dépôts de code internes et la qualité de la surveillance des activités inhabituelles. L'IA complique le tableau, car les mêmes technologies peuvent renforcer aussi bien la défense que l'attaque.

Les systèmes qui aident les analystes à repérer plus vite les anomalies et à automatiser les enquêtes pourraient aussi, potentiellement, accélérer la préparation d'attaques plus précises et de plus grande ampleur. Dès lors, l'ancien modèle de contrôles rares et de mise à jour lente des exigences paraît de moins en moins suffisant.

La déclaration de Bailey peut se lire comme un marqueur précoce d'une nouvelle étape de la régulation : l'IA dans la finance est désormais envisagée non seulement sous l'angle de l'innovation, mais aussi sous celui de la résilience opérationnelle. Si les régulateurs du monde entier accélèrent réellement cette évaluation, les banques seront très probablement confrontées à des exigences plus strictes en matière de tests, de divulgation d'informations et de gestion des dépendances technologiques externes. Sinon, l'avantage de la vitesse pourrait revenir aux attaquants. La question principale n'est pas de savoir si le secteur financier a besoin de l'IA, mais si les règles et les moyens de protection suivent le rythme de développement des modèles eux-mêmes.