Le BSI met en garde contre une nouvelle technologie d'IA de détection des vulnérabilités
L'Office fédéral allemand de la sécurité des technologies de l'information (BSI) s'est penché en détail sur « Mythos », le nouveau modèle d'IA d'Anthropic, et met en garde contre des répercussions considérables sur l'état de la cybermenace et sur la sécurité nationale. Cette technologie marque un tournant important dans le paysage de la cybersécurité, car elle détecte de manière automatisée des vulnérabilités logicielles cachées dans des systèmes d'exploitation et des navigateurs web très répandus.
Qu'est-ce que le modèle d'IA Mythos ?
Mythos est un modèle d'intelligence artificielle développé par l'entreprise américaine Anthropic, spécifiquement conçu pour détecter de façon automatisée des vulnérabilités logicielles cachées. L'entreprise a annoncé avoir déjà trouvé, grâce à cet outil, des milliers de vulnérabilités graves – y compris dans tous les systèmes d'exploitation et navigateurs web largement utilisés. Ces découvertes soulignent la performance concrète de la technologie en conditions réelles.
Il est particulièrement notable qu'Anthropic mette elle-même en garde : compte tenu des progrès rapides de l'intelligence artificielle, de telles capacités pourraient assez rapidement être également à la disposition d'attaquants en ligne. Cela fait du contrôle et de la disponibilité restreinte de tels outils une question de sécurité centrale.
Un accès contrôlé grâce à des partenaires de premier plan
Anthropic ne prévoit pas de rendre Mythos accessible au grand public. L'entreprise mise au contraire sur une coopération contrôlée avec des grandes entreprises technologiques et des spécialistes de la sécurité soigneusement sélectionnés. Apple, Amazon et Microsoft font partie des partenaires auxquels l'accès à Mythos est accordé afin d'identifier et de combler les failles de sécurité dans leurs propres logiciels.
Outre les grands groupes technologiques, d'autres partenaires sont impliqués dans ce projet : la fondation Linux, les entreprises de sécurité informatique Crowdstrike et Palo Alto Networks ainsi que le spécialiste des réseaux Cisco. Ce choix témoigne d'une stratégie misant sur des acteurs établis et dignes de confiance du secteur de la sécurité.
Le point de vue du BSI : la sécurité nationale au premier plan
Une réévaluation complète du paysage des vulnérabilités
Claudia Plattner, présidente du BSI, s'est déclarée préoccupée par les implications de grande portée de cette technologie. Le BSI n'a certes pas encore pu tester lui-même le nouvel outil, mais il a pu, lors d'un entretien direct avec les développeurs, se faire une idée de son fonctionnement. L'autorité prend très au sérieux les annonces d'Anthropic et s'attend à des « bouleversements dans la gestion des failles de sécurité et dans le paysage des vulnérabilités en général ».
Poussé jusqu'au bout de sa logique, cela pourrait signifier qu'à moyen terme, il n'existe plus de vulnérabilités logicielles classiques inconnues. Cela entraînerait un déplacement fondamental des vecteurs d'attaque et un changement de paradigme dans l'état de la cybermenace. Les attaquants se verraient contraints de développer de nouvelles méthodes et d'exploiter d'autres points faibles.
Souveraineté et contrôle stratégique
Le BSI pose en outre la question de savoir si, et le cas échéant combien de temps, des outils aussi puissants seront disponibles sur le marché libre ou même accessibles à d'autres pays. Cette question soulève immédiatement des réflexions sur la sécurité nationale et européenne ainsi que sur la souveraineté technologique. Celui qui contrôle de tels outils de sécurité puissants détient aussi un avantage stratégique dans le paysage de la cybersécurité.
Le contexte critique : pourquoi les vulnérabilités sont si dangereuses
Portes d'entrée pour la cybercriminalité et l'espionnage
Les vulnérabilités dans les logiciels, le matériel ou les réseaux sont des portes d'entrée pour des cyberattaques menées par des criminels ou par des pirates agissant pour le compte de services de renseignement étrangers. Plus une vulnérabilité reste connue sans être corrigée, plus le risque est grand pour les entreprises, les institutions publiques et les particuliers d'être victimes d'un vol de données ou d'un chantage après l'installation d'un logiciel malveillant.
Les vulnérabilités dites « zero day », encore inconnues des fabricants, sont particulièrement critiques. Elles sont souvent les premières cibles des cybercriminels et des services de renseignement, car les entreprises et les administrations ne peuvent pas encore prendre de contre-mesures.
Exemple historique : WannaCry et la faille de la NSA
L'histoire montre les conséquences dramatiques d'une correction tardive des vulnérabilités. En 2017, des pirates ont exploité une faille de sécurité connue du service de renseignement américain NSA pour infecter à grande échelle des ordinateurs avec le rançongiciel WannaCry. Ces programmes chiffrent le disque dur et exigent de l'argent pour libérer les données. À l'époque, des hôpitaux britanniques et les panneaux d'affichage de la Deutsche Bahn avaient notamment été touchés. La NSA a été critiquée pour ne pas avoir fait combler cette faille de sécurité alors que le danger était manifeste.
Les services de renseignement et les enquêteurs allemands exploitent toutefois eux aussi des vulnérabilités à certaines fins – par exemple pour démanteler des réseaux terroristes, élucider des infractions graves ou prévenir des dangers. Cela illustre l'arbitrage complexe entre sécurité et certaines prérogatives d'enquête.
Portée pratique pour les responsables de la sécurité
Correctifs et mises à jour régulières comme pratique critique
Il en découle immédiatement, pour les entreprises et les exploitants d'infrastructures critiques, que l'application des mises à jour de sécurité et la gestion systématique des correctifs doivent constituer une priorité absolue. Avec des outils d'IA modernes qui détectent automatiquement les vulnérabilités, celles-ci sont connues plus tôt et en plus grand nombre. Les entreprises doivent accélérer et optimiser leurs processus de mise à jour en conséquence.
Pour les exploitants de systèmes à fort besoin de protection en particulier : une analyse proactive des vulnérabilités et des audits de sécurité réguliers deviennent encore plus indispensables. Cela vaut également pour les installations de sécurité spécialisées qui protègent des actifs critiques – les banques qui conservent des espèces et des titres, par exemple, pourraient tirer profit de mesures de sécurité supplémentaires afin d'être protégées aussi contre les attaques techniques.
Perspectives et implications stratégiques
Le développement de Mythos par Anthropic marque une nouvelle étape dans la technologie de la cybersécurité. En instaurant un accès contrôlé à cette technologie, Anthropic tente de préserver l'équilibre entre innovation et sécurité – un équilibre qui sera difficile à tenir lorsque des capacités similaires apparaîtront dans d'autres systèmes d'IA.
Le BSI continuera de suivre de près cette évolution et restera en contact avec Anthropic. Parallèlement, les autorités nationales et européennes devront se pencher sur la manière dont de telles technologies stratégiquement importantes peuvent être réglementées et contrôlées – dans l'intérêt de la sécurité et de la souveraineté de l'Allemagne et de l'Europe.
Pour les entreprises et les organisations, cela signifie : le moment de se préparer aux paysages de menaces modernes, c'est maintenant. La détection de vulnérabilités assistée par IA deviendra une réalité – et qui n'est pas bien préparé aujourd'hui subira demain une pression d'autant plus forte.
