Anthropic enquête sur des informations selon lesquelles un groupe non autorisé a accédé à son outil de cybersécurité Mythos AI à accès restreint, quelques jours seulement après sa mise à disposition limitée en avril 2026.
« Nous enquêtons sur un signalement faisant état d’un accès non autorisé à Claude Mythos Preview par l’intermédiaire de l’un des environnements de nos prestataires tiers », a déclaré un porte-parole d’Anthropic.
L’outil a été partagé avec un petit groupe de partenaires entreprises, dont Apple et Goldman Sachs, et n’était pas destiné à un usage public. Selon les informations disponibles, une poignée d’utilisateurs ont accédé à Mythos par l’intermédiaire d’un système lié à un sous-traitant et l’utilisent depuis son lancement, ce qui soulève des inquiétudes quant à ses capacités à identifier des vulnérabilités et à simuler des cyberattaques.
Un accès lié à un environnement tiers
Selon plusieurs informations, Anthropic enquête sur des allégations selon lesquelles un groupe privé en ligne aurait accédé à Mythos par l’intermédiaire du système d’un prestataire tiers. L’entreprise n’a trouvé aucun élément indiquant que l’activité se serait étendue au-delà de cet environnement ou aurait touché ses systèmes internes.
The Guardian a noté qu’une poignée d’utilisateurs avaient obtenu l’accès le jour même où Mythos avait été présenté à certains partenaires.
TechCrunch a également indiqué que le groupe avait employé diverses méthodes pour obtenir l’accès, notamment en s’appuyant sur l’« accès » d’une personne interrogée par Bloomberg, qui travaille pour un tiers sous-traitant d’Anthropic.
Les membres du groupe font partie d’une communauté Discord privée qui recherche des modèles d’IA non commercialisés. Bloomberg a indiqué qu’ils utilisaient Mythos depuis qu’ils y avaient obtenu accès et qu’ils avaient fourni des captures d’écran ainsi qu’une démonstration en direct pour étayer leurs affirmations.
Un outil d’IA à haut risque sous surveillance
Mythos fait partie de l’initiative Project Glasswing d’Anthropic, qui limite l’accès à un groupe restreint de partenaires entreprises. L’entreprise a souligné la nature à double usage du modèle. S’il peut aider les organisations à identifier des vulnérabilités, il pourrait également permettre à des attaquants de les exploiter.
Les autorités de régulation ont exprimé des inquiétudes quant au risque de détournement du modèle, alors même que le UK’s AI Security Institute a évalué Mythos et l’a décrit comme un « progrès dans les capacités cyber », selon The Guardian.
Lors des tests, Mythos a mené à bien une cyberattaque simulée en 32 étapes après plusieurs tentatives, une tâche qui prendrait généralement plusieurs jours à des professionnels humains.
Le UK AI minister Kanishka Narayan a déclaré que les entreprises « devraient être inquiètes » face à la capacité du modèle à découvrir des vulnérabilités que des attaquants pourraient exploiter.
Le risque lié aux prestataires attire l’attention du monde entier
L’accès rapporté met en lumière les difficultés persistantes liées à la gestion des risques associés aux tiers, en particulier à mesure que les systèmes d’IA deviennent plus puissants et plus largement déployés. Même lorsque les systèmes centraux restent secrets, les environnements des prestataires peuvent créer des points d’exposition.
Financial Review a souligné qu’Anthropic avait déclaré ne disposer d’aucun élément indiquant que l’incident se serait étendu au-delà du système du prestataire. « Les laboratoires d’IA font couramment appel à des sous-traitants tiers pour des tâches telles que les tests de modèles, même si l’identité du prestataire impliqué dans l’incident n’était pas claire », a ajouté la publication.
Les autorités de régulation du monde entier surveillent également la situation. La Reserve Bank of Australia a déclaré qu’elle échangeait avec des autorités de régulation et des organismes gouvernementaux afin d’évaluer les implications pour la résilience du système financier.
L’enquête d’Anthropic se poursuit, et l’étendue complète de l’accès reste incertaine. Son issue pourrait influencer la manière dont les entreprises d’IA gèrent les mises à disposition contrôlées de modèles à haut risque.
À lire également : La NSA utiliserait Mythos AI d’Anthropic malgré une désignation de « risque lié à la chaîne d’approvisionnement ».