Le Threat Intelligence Group de Google a signalé lundi le premier cas observé d’un groupe de hackers déployant un exploit zero-day généré par une IA, qui aurait été conçu pour contourner les systèmes d’authentification multifacteur.
Les exploits zero-day préoccupent depuis longtemps les chercheurs en sécurité, car des modèles d’IA avancés pourraient en identifier des centaines bien plus rapidement que les experts humains. Les récentes mises à disposition limitées de modèles de cybersécurité par Anthropic et OpenAI, ainsi que l’engouement du secteur pour leur potentiel, ont renforcé les craintes de voir l’IA utilisée par des cybercriminels et des pays hostiles.
Google n’a pas révélé quel groupe de hackers en était responsable, ni quel modèle d’IA avait été utilisé. Dans un commentaire ultérieur adressé à Bloomberg, l’entreprise a indiqué ne pas croire que l’exploit ait été créé par Mythos ou Google Gemini. Google n’a pas lancé son propre modèle cyber avancé.
Mythos et l’avenir de la cybersécurité
Anthropic a attisé les craintes dans le monde de la cybersécurité le mois dernier avec le lancement limité de Mythos, après plusieurs semaines d’avertissements de l’entreprise sur l’impact potentiel de l’IA sur la sécurité. Environ 40 organisations ont obtenu un accès limité au modèle, parmi lesquelles des organismes publics, des fournisseurs d’infrastructures et des établissements financiers.
Les premiers tests de Mythos semblent montrer qu’Anthropic a eu raison d’en limiter la diffusion. Plusieurs des 40 organisations se sont manifestées pour alerter sur les capacités de Mythos en matière de cybersécurité, tandis que d’autres ont utilisé le modèle d’IA pour tester leurs défenses internes et corriger les vulnérabilités qu’il avait détectées.
Mozilla a déclaré avoir corrigé 271 vulnérabilités identifiées par Mythos, mettant en évidence la capacité du modèle à repérer rapidement les bugs et à proposer des correctifs.
La valeur de ces modèles d’IA a également été mise en évidence par le revirement de l’administration Trump à l’égard d’Anthropic. Celle-ci avait interdit l’utilisation des outils d’Anthropic par les administrations publiques, tandis que le Department of Defense avait signé des accords avec la plupart de ses concurrents après avoir désigné l’entreprise comme un risque pour la chaîne d’approvisionnement.
Le lancement de Mythos a incité plusieurs administrations à demander un accès, notamment la National Security Agency, qui l’utiliserait, selon certaines informations, pour renforcer ses défenses.
La chasse aux bugs et l’application de correctifs de sécurité n’ont jamais été aussi présentes qu’aujourd’hui. Microsoft a récemment déployé sa deuxième plus importante mise à jour de sécurité mensuelle de son histoire, corrigeant 160 bugs, dont deux vulnérabilités zero-day. Avec Anthropic Mythos et d’autres outils cyber reposant sur l’IA, ces entreprises pourraient prendre les devants, mais ce n’est qu’une question de temps avant que la technologie ne se diffuse à un plus grand nombre d’acteurs malveillants.
Mythos n’est que l’un des nombreux modèles d’IA que les hackers pourraient utiliser pour concevoir des exploits zero-day. Son principal rival, OpenAI, s’est montré plus souple quant aux personnes autorisées à accéder à son cyber model, allant même jusqu’à qualifier l’accès restreint d’Anthropic de « marketing fondé sur la peur » avant de limiter à son tour l’accès à son propre modèle cyber.
Anthropic a averti que les concepteurs chinois de modèles d’IA ont environ 12 mois de retard sur la frontière technologique américaine, et qu’ils pourraient disposer d’outils d’une sophistication comparable d’ici 2027.
À lire également : Les annonces d’avril de Google concernant l’IA portaient sur les agents Gemini, l’automatisation du travail et les mises à jour liées à l’IA dans le domaine de la défense.