Anthropic va présenter son modèle d'IA Mythos aux régulateurs financiers du G20

Anthropic a reçu une invitation inhabituelle : présenter son modèle d'IA Mythos aux régulateurs financiers du G20. Le gouverneur de la Banque d'Angleterre, Andrew Bailey, qui préside le Financial Stability Board (FSB), a invité l'entreprise à exposer aux ministres des Finances et aux dirigeants de banques centrales les vulnérabilités détectées par le modèle.

Pourquoi la cybersécurité financière est au centre de l'attention

Le secteur bancaire est une infrastructure critique de l'économie mondiale. Toute faille dans les systèmes de paiement, de financement du commerce ou de règlement peut déclencher une crise systémique. SWIFT, qui traite des milliers de milliards de dollars chaque jour, a déjà subi des attaques graves : en 2016, 81 millions de dollars ont été volés via son système. Les cybermenaces de cette année sont devenues si dangereuses que le FSB les a inscrites sur sa liste des risques financiers prioritaires, au même titre que le changement climatique et l'inflation.

Dans ce contexte, un outil d'IA capable d'identifier automatiquement les vulnérabilités de l'infrastructure de paiement intéresse non seulement les technologues, mais aussi les responsables politiques. Les banques sont traditionnellement en retard sur les mises à jour de sécurité, en raison des coûts et de la réticence à perturber la stabilité des systèmes. Les régulateurs, eux, cherchent un moyen d'accélérer le processus sans surcharger les équipes informatiques.

Andrew Bailey a indiqué sans détour que Mythos a déjà identifié de graves problèmes de sécurité dans des systèmes financiers, et que cela suffit à justifier une discussion au niveau du G20.

Comment Mythos traque les vulnérabilités

Le modèle d'Anthropic analyse l'infrastructure financière de manière systématique, en lançant divers tests de sécurité :

• analyse les API des banques à la recherche de failles d'authentification et d'autorisation
• teste la résistance des passerelles de paiement aux attaques par déni de service
• examine les journaux de sécurité à la recherche de signes de compromission et d'activité suspecte
• repère les configurations incorrectes dans les systèmes cloud et les espaces de stockage de données
• vérifie la conformité des données aux normes réglementaires, dont PCI-DSS et GDPR

En pratique, Mythos a déjà découvert des vulnérabilités qui auraient pu mener à un accès non autorisé aux comptes de clients et à la compromission de terminaux de paiement. Certains de ces problèmes relevaient d'une mise en œuvre incorrecte de protocoles d'authentification, que les spécialistes des banques n'ont pas réussi à détecter lors d'un audit standard. Point important : Mythos travaille sur de vrais systèmes financiers, mais sous le contrôle et avec l'autorisation des banques.

Une première

C'est la première fois qu'une entreprise d'IA est invitée à présenter au FSB des résultats sur des vulnérabilités détectées dans le secteur financier. D'ordinaire, ces données restent confidentielles et ne sont discutées qu'entre les CISO des banques, leurs équipes techniques et les régulateurs nationaux.

La décision d'Andrew Bailey d'aborder le sujet devant le G20 laisse penser que le problème dépasse de simples bugs locaux dans des banques isolées. Il pourrait s'agir de vulnérabilités systémiques dans l'architecture des paiements internationaux, ou de nouvelles catégories d'attaques que les outils de sécurité traditionnels laissent passer. C'est aussi le signe que l'IA commence à jouer un rôle qui dépasse celui d'un simple outil technologique : celui d'un actif stratégique pour la protection de la stabilité financière.

«

Nous ne sommes pas là pour remplacer les humains, mais pour renforcer leur capacité à identifier les risques critiques pour la stabilité financière. »

Ce que cela signifie

C'est le premier signe que les régulateurs commencent à utiliser l'IA non comme une menace, mais comme un outil de protection du système financier. Si le FSB approuve l'approche d'Anthropic, on peut s'attendre à ce que de tels systèmes d'IA soient recommandés, voire obligatoires, pour toutes les grandes institutions financières des pays du G20. D'autres régulateurs, comme la SEC aux États-Unis, la FCA au Royaume-Uni et l'EBA en Europe, commenceront très probablement à exiger des banques qu'elles adoptent des systèmes similaires de détection des vulnérabilités.

Pour les entreprises d'IA, cela ouvre un nouveau marché : au lieu du B2C ou du SaaS B2B, elles peuvent travailler directement avec les régulateurs publics sur des infrastructures critiques.