Un raz-de-marée offensif qui redéfinit la menace

Les modèles d'IA de nouvelle génération ne se contentent plus de répondre à des questions : ils exécutent des workflows complexes capables de mener des opérations de cybersécurité offensives. Anthropic vient de franchir un cap critique avec le déploiement de sa classe Mythos, dont le modèle Fable 5 est désormais accessible au grand public. Ce passage à l'échelle change la donne : là où les outils précédents fournissaient de l'information, ces nouveaux systèmes sont capables d'orchestrer des phases entières de cyberattaques.

Le déploiement de Fable 5 montre que la puissance de calcul se transforme en une capacité de mouvement tactique. Le modèle surpasse ses prédécesseurs dans l'ingénierie logicielle et la recherche scientifique, capable de gérer des projets de grande ampleur avec un minimum de supervision humaine. Cette autonomie croissante est précisément ce qui inquiète les instances de régulation.

La découverte de 10 000 vulnérabilités : une force brute contre l'héritage du Web

Les résultats de testing sont sans appel : Mythos 5 a révélé plus de 10 000 failles de sécurité, incluant des Zero Days et des brèches fondamentales touchant les systèmes d'exploitation de référence comme Microsoft, macOS, Linux et BSD. Cette capacité de détection ne doit pas être confondue avec une révolution technique, mais doit être comprise comme l'exploitation massive d'une architecture qui, par essence, n'a jamais été conçue pour la sécurité.

L'informatique et les protocoles réseaux actuels sont le résultat d'une mentalité de partage et d'ouverture absolue. Les pionniers du Web ont privilégié l'accessibilité et l'optimisation des ressources sur la protection stricte. C'est un environnement de défense qui ressemble à un château possédant des dizaines de milliers de portes ouvertes sans aucun verrou, où chaque protocole est une invitation au détournement si une restriction n'est pas explicitement codée.

Mythos 5 agit ici comme un combattant de MMA face à des enfants de maternelle : il ne s'agit pas d'une lutte technique complexe, mais d'un massacre inéluctable de vulnérabilités structurelles. L'IA exploite les "trous béants" de nos systèmes pour identifier comment contourner l'absence de protection par défaut.

Souveraineté et mesures de restriction : la réponse d'Anthropic

Face à cette puissance démesurée, les autorités ont réagi. La capacité du modèle à découvrir des vulnérabilités et à assister le développement d'exploits a conduit à une interdiction d'exportation aux États-Unis pour des raisons de souveraineté numérique. Les risques de détournement par des acteurs malveillants sont jugés trop élevés pour un accès non contrôlé.

Pour tenter de contenir ce risque, Anthropic a mis en place des garde-fous automatisés. Le système utilise des classificateurs d'IA pour identifier les requêtes liées à la cybersécurité offensive ou à la biologie/chimie de haute précision. En cas de détection, le flux est redirigé vers Claude Opus 4.8, un modèle moins performant mais plus sécurisé.

Cependant, cette stratégie de "safety-first" comporte ses propres limites techniques :

• Les classificateurs sont intentionnellement conservateurs, générant des faux positifs.
• Des tâches de routine en réponse d'incidents ou en forensique sont parfois redirigées vers des modèles moins capables, créant une friction opérationnelle.

Vers un nouveau paradigい de la défense proactive

Le véritable test pour Mythos 5 ne réside pas dans l'exploitation de ces failles béantes, mais dans sa capacité à affronter des environnements complexes. Pour l'instant, l'IA récolte les fruits d'une architecture vulnérable sans rencontrer de réelle résistance. La question reste posée : que fera ce modèle face à un système d'exploitation non documenté, chiffré et dont les formats de données sont obscurcis ?

Si le combat actuel est une démonstration de force brute contre des infrastructures ouvertes, la véritable guerre de demain se jouera sur l'anticipation de trajectoires imprévisibles. La cyberdéfense ne peut plus se contenter de fermer les portes ; elle doit apprendre à contrer une intelligence capable d'anticiper chaque faille avant même qu'elle ne soit exploitée par un workflow automatisé.