La NSA teste le modèle Mythos d'Anthropic pour traquer les failles dans les produits Microsoft

La NSA américaine teste le nouveau modèle d'intelligence artificielle Mythos d'Anthropic pour détecter des vulnérabilités dans des logiciels populaires, dont des produits Microsoft. C'est l'un des signaux les plus visibles que les modèles génératifs servent désormais non seulement à écrire du code, mais aussi à auditer la sécurité au niveau de grandes structures étatiques.

Ce que l'on sait pour l'instant

Selon les informations disponibles, l'Agence de sécurité nationale américaine vérifie dans quelle mesure le modèle d'Anthropic peut trouver des points faibles dans des logiciels largement utilisés. Parmi les systèmes concernés par ces tests, des produits Microsoft sont cités.

Les détails du projet ne sont pas dévoilés. On ignore s'il s'agit d'un pilote interne, d'une évaluation ponctuelle des capacités du modèle ou d'un processus plus large qui pourrait devenir une pratique permanente. On ne dispose pas non plus de données publiques sur les classes de bugs que recherche le système.

L'identité du commanditaire compte aussi. Si la NSA expérimente l'IA pour traquer les bugs, la technologie n'est pas vue comme une démonstration de laboratoire, mais comme un outil potentiellement utile pour de vraies tâches de cybersécurité. Pour le marché, c'est un signal fort : de grandes organisations sont prêtes à vérifier si un modèle peut accélérer le travail des spécialistes qui protègent l'infrastructure et les logiciels d'entreprise. Surtout là où le coût d'une erreur manquée est trop élevé.

L'association entre Anthropic, Microsoft et la NSA suscite un intérêt particulier. D'un côté, un grand développeur de modèles qui pousse l'IA vers des usages professionnels et sensibles. De l'autre, un écosystème logiciel qui soutient une part importante du travail bureautique, du cloud et de l'infrastructure. Quand de tels acteurs se retrouvent dans un même dossier, il ne s'agit plus d'une expérience pour une présentation, mais d'un test de valeur pratique en environnement à haut risque.

Comment cela peut fonctionner

Dans ce type de scénario, l'IA ne remplace pas entièrement le chercheur en sécurité : elle aide à parcourir plus vite de grands volumes de code, de documentation et de dépendances système. Le modèle peut servir d'assistant qui propose des hypothèses, signale les zones suspectes, aide à reproduire des chaînes d'erreurs et indique où il vaut la peine de creuser. La validation finale reste humaine, surtout pour les produits critiques. C'est d'autant plus important avec des systèmes anciens et complexes.

L'intérêt est aussi révélateur pour Microsoft. Ses solutions sous-tendent un très grand nombre de systèmes d'entreprise et d'État, si bien que même de petites vulnérabilités dans des produits populaires peuvent avoir un effet large. Si l'IA peut détecter ces problèmes avant les attaquants ou avant les cycles d'audit classiques, le gain portera non seulement sur la vitesse, mais aussi sur l'échelle : le même modèle peut analyser en parallèle plus de composants qu'une équipe restreinte à la main.

Où la défense y gagne

Dans ces projets, les modèles sont généralement précieux non pas grâce à une fonction « magique » unique, mais comme un ensemble d'accélérateurs pour l'équipe de sécurité. Ils n'annulent pas l'audit manuel, mais aident à resserrer plus vite le périmètre de vérification, à fixer des priorités et à traduire des signaux techniques bruts en actions claires pour les ingénieurs, les analystes et les responsables produit. Cette couche est utile quand l'équipe a peu de temps pour le tri initial et trop d'endroits où une erreur peut se cacher.

• repèrent rapidement les zones de code et de logique potentiellement risquées
• aident à rapprocher les symptômes d'une erreur de classes de vulnérabilités connues
• suggèrent des scénarios de test pour des combinaisons de composants rares ou complexes
• réduisent le délai entre le signal initial et la revérification manuelle
• aident à documenter les conclusions en langage clair pour les développeurs et les analystes

Ces outils restent toutefois soumis à de nombreuses limites. Un modèle peut classer à tort du code sûr comme dangereux, passer à côté de bugs atypiques ou fournir des explications convaincantes mais fausses. La question centrale n'est donc pas de savoir si l'IA « sait chercher des vulnérabilités » en général, mais avec quelle constance elle le fait sur des produits réels, avec un nombre acceptable de faux positifs et un bénéfice clair pour l'équipe. C'est pourquoi, sans experts, ces systèmes ne fonctionnent pas encore.

Ce que cela signifie

L'affaire Mythos montre que la prochaine étape de l'adoption de l'IA en cybersécurité n'est pas celle des chatbots d'information, mais celle d'outils pratiques pour auditer des logiciels complexes. Si ces tests aboutissent, les grands éditeurs et les structures étatiques intégreront plus vite des modèles dans les processus de recherche et de priorisation des vulnérabilités.