Dans une démarche qui aurait semblé improbable il y a encore quelques années, certains des plus grands rivaux technologiques au monde, dont Apple, Google et Microsoft, unissent leurs forces pour s’attaquer à ce qu’ils considèrent comme une escalade rapide des risques de cybersécurité liés à l’intelligence artificielle.
Ce partenariat, baptisé Project Glasswing et piloté par Anthropic, rassemble plus de 45 organisations issues des secteurs de la tech, de la finance et de la cybersécurité. Leur objectif commun est d’utiliser de puissants modèles d’IA de nouvelle génération pour identifier et corriger les vulnérabilités logicielles critiques avant qu’elles ne puissent être exploitées.
Le projet s’articule autour de Claude Mythos Preview, un modèle d’IA de pointe inédit développé par Anthropic qui a déjà démontré sa capacité à découvrir des milliers de failles de sécurité jusque-là inconnues, dont certaines étaient intégrées depuis des décennies dans des logiciels d’infrastructures critiques.
Un nouveau type d’outil de sécurité
Les premiers tests laissent entrevoir des résultats impressionnants.
Mythos Preview aurait déjà découvert de subtiles vulnérabilités dans des systèmes logiciels largement utilisés, notamment un bug vieux de 27 ans dans le système d’exploitation OpenBSD, axé sur la sécurité, ainsi qu’une faille longtemps négligée dans un logiciel vidéo qui avait passé des millions de fois les tests de sécurité automatisés.
Ce qui rend Mythos Preview unique, c’est la capacité du modèle à analyser le comportement des logiciels au sein d’écosystèmes technologiques plus vastes. Sa compréhension des systèmes logiciels complexes lui permet de détecter des faiblesses qui n’apparaissent que lorsque plusieurs systèmes interagissent, un domaine dans lequel les tests traditionnels montrent souvent leurs limites.
Il semble que, dans le domaine de la cybersécurité, l’IA soit désormais suffisamment puissante non seulement pour aider les chercheurs en sécurité humains, mais aussi pour potentiellement les dépasser dans certains domaines.
Se préparer à une course aux armements de l’IA dans la cybersécurité
L’une des principales préoccupations qui motivent Project Glasswing est la vitesse. Les experts en sécurité craignent de plus en plus que l’IA ne réduise considérablement le délai entre la découverte d’une vulnérabilité et son armement à des fins malveillantes.
Cela crée une dynamique dangereuse, car les mêmes capacités d’IA qui aident les défenseurs à identifier les risques peuvent aussi être utilisées par les attaquants pour intensifier leurs opérations cyber. Les entreprises subissent donc une pression croissante pour moderniser leurs défenses aussi vite que progresse l’IA.
Project Glasswing réunit plus de 45 organisations issues de l’informatique en nuage, des semi-conducteurs, de la cybersécurité, de la finance et des logiciels open source. Parmi les participants figurent Amazon Web Services, Cisco, Nvidia, la Linux Foundation, JPMorgan Chase, CrowdStrike et Palo Alto Networks. Ensemble, ils bénéficieront d’un accès contrôlé à Mythos Preview afin de tester leurs propres systèmes et de renforcer leurs défenses.
Cette initiative reflète la conviction grandissante qu’aucune entreprise ne peut gérer seule cette évolution.
Le double tranchant de la sécurité assurée par l’IA
Les modèles d’IA capables de coder et de raisonner à un niveau avancé sont de plus en plus aptes à trouver des vulnérabilités et à proposer des moyens de les exploiter. Les outils qui aident aujourd’hui les défenseurs pourraient donc aussi permettre aux attaquants d’agir s’ils tombaient entre de mauvaises mains.
Bien sûr, la diffusion trop large d’un système aussi puissant suscite des inquiétudes, car elle pourrait donner aux attaquants le même avantage que les défenseurs cherchent à acquérir. Selon les informations disponibles, Mythos Preview a déjà identifié des vulnérabilités de haute gravité dans de grands systèmes d’exploitation et navigateurs web, et aurait même, dans certains cas, développé de manière autonome des chaînes d’exploitation potentielles.
Cette capacité explique notamment pourquoi Anthropic limite l’accès à des partenaires de confiance au lieu de rendre le modèle public. Le plan prévoit notamment d’accorder à ces organisations un accès contrôlé à Mythos Preview afin qu’elles puissent tester leur propre infrastructure et corriger ses faiblesses avant que des outils similaires ne deviennent largement disponibles.
Le fait que des concurrents directs soient prêts à collaborer, ne serait-ce que sur ce sujet, montre à quel point le secteur prend la menace au sérieux.
Soutenir l’écosystème open source
L’autre grand axe du projet concerne les logiciels open source, qui soutiennent une grande partie des infrastructures numériques actuelles, mais sont souvent maintenus par de petites équipes ou des développeurs indépendants disposant de ressources limitées.
Pour contribuer à combler cette lacune et soutenir l’écosystème logiciel au sens large, Anthropic s’est également engagé à fournir 4 millions de dollars US de financements directs et des crédits d’utilisation de l’IA afin de soutenir les améliorations de sécurité dans des projets open source critiques. L’objectif est de rendre les outils de sécurité avancés accessibles non seulement aux grandes entreprises, mais aussi aux développeurs indépendants, afin de leur permettre d’identifier et de corriger plus rapidement les problèmes de sécurité.
L’intérêt des pouvoirs publics progresse lui aussi. Anthropic a confirmé avoir informé des responsables américains des capacités cyberdéfensives et potentiellement offensives de Mythos Preview, soulignant les implications pour la sécurité nationale des outils avancés de cybersécurité fondés sur l’IA.
Un aperçu de ce qui nous attend
Project Glasswing pourrait marquer un tournant dans la manière dont le secteur technologique aborde les risques de sécurité partagés. Il est encore trop tôt pour dire s’il deviendra un modèle durable de coopération ou simplement une première expérience de défense cyber pilotée par l’IA.
Il n’en montre pas moins qu’à l’ère des menaces accélérées par l’IA, même les concurrents les plus acharnés pourraient devoir œuvrer ensemble sur un champ de bataille commun pour protéger les fondations numériques dont ils dépendent tous.
À lire aussi : Google étend Gemini à la recherche, aux appareils et aux outils pour développeurs, soulignant à quelle vitesse les grandes entreprises technologiques intègrent l’IA avancée dans leurs écosystèmes.