Entre Mythos et GPT-5.4-Cyber : les LLM prennent le chemin de la cybersécurité automatisée

Quand les pure players de l'IA Anthropic et OpenAI passent à la défense !

Avec Claude Mythos Preview, la société Anthropic semble faire un bond sur la détection de vulnérabilités augmentée par l'IA. OpenAI leur emboîte le pas avec l'annonce dans la foulée de GPT-5.4-Cyber. Vivien Mura, Chief Technology Officer (CTO) d’Orange Cyberdefense, revient  sur l’impact positif de l’IA dans les pratiques de cybersécurité et sur le potentiel donné aux attaquants.

Anthropic ou l'IA responsable

Anthropic est un « pure player » de l’intelligence artificielle générative (AI gen ou Gen AI), fondé en 2021 par d’anciens chercheurs d’OpenAI, dont Dario Amodei et sa sœur, Daniela Amodei. Basée à San Francisco, la société a su se faire une place de choix parmi les acteurs émergents de l’intelligence artificielle. Avec leur famille de modèles de langage (LLM ou Large Language Models) Claude, Anthropic se démarque par la place accordée à la sécurité et à l’éthique (on parle ainsi de « Constitutional AI ») dans le développement de leurs plateformes LLM. 

Claude Mythos : un outil de détection à double tranchant ?

La révélation de l’existence de Claude Mythos Preview marque un tournant décisif dans la convergence entre intelligence artificielle et cybersécurité. Avec Claude Mythos Preview, Anthropic franchit un cap puisque ce modèle d’IA non public, dont l’usage est actuellement restreint aux membres ⁽¹⁾ de l’initiative « project Glasswing », serait capable de trouver et d'exploiter des failles logicielles critiques. 

Les capacités de raisonnement avancées de Claude Mythos, qui ne sont pas liées à un entraînement spécifique à la cybersécurité, lui permettent de comprendre et, sous certaines conditions, de briser la logique de logiciels et de systèmes d’informations, explique Vivien Mura, CTO d’Orange Cyberdefense. 

Concrètement, Claude Mythos Preview serait en capacité de découvrir et d’exploiter en autonomie des vulnérabilités « zero-day », qui n’ont pas encore été détectées, au sein d’environnements numériques largement déployés et identifiés, tels qu’OpenBSD et Firefox. 

Le problème : ces failles n’ont jamais été détectées précédemment par des experts humains. Et ce pendant des années. Si l’outil a été développé pour renforcer la cybersécurité des environnements numériques, dans la lignée du positionnement d’Anthropic, quid de son usage entre les mains de cybercriminels et autres hacktivistes ? 

Malgré le manque de recul à l’heure actuelle pour mesurer les performances réelles du modèle, les détails donnés dans la System Card⁽²⁾ de Mythos ont des conséquences à la fois multiples et profondes, développe Vivien Mura. 

Claude Mythos : quel impact du côté des cyberattaquants ?

Du côté des attaquants, Claude Mythos marque la résurgence des vulnérabilités « Zero-Day »⁽³⁾. Le modèle serait capable d’identifier de multiples failles critiques en quelques jours seulement, suggérant une baisse du coût de la recherche de failles 0-day, tant pour les chercheurs en cybersécurité que pour les attaquants.

Ensuite, Claude Mythos Preview marque le pas en ce qui concerne l’automatisation de la chaîne d’attaque. De manière impressionnante, le modèle peut enchaîner en totale autonomie l’exploitation de vulnérabilités de logiciel et de configuration. Dans certains cas documentés, il est parvenu à s'échapper d’environnements isolés ou « sandbox »⁽⁴⁾ et à établir des communications externes, faisant preuve d'un raisonnement tactique jusqu'ici réservé aux pentesters humains. Il faut toutefois prendre en compte le contexte d’exécution, avec un système d’information conçu à des fins de recherche et dénué des mécanismes classiques de détection et de protection.

Autre observation importante : Claude Mythos Preview est un modèle générique, qui n'a pas été entraîné à partir de donnés spécifiques à la cybersécurité, et sans architecture particulière (de type RAG ou agentique). Le modèle devient donc de facto un « blueprint », un modèle, pour d’autres architectures de référence à venir en cyber offensive. En d’autres termes, un usage malveillant de ces outils ne nécessiterait pas de moyens beaucoup plus avancés que de disposer d’un modèle Frontière. 

Une formidable opportunité pour les acteurs de la cybersécurité

Claude Mythos Preview représente néanmoins une formidable opportunité en cybersécurité, notamment pour l’évolution des métiers de la cyberdéfense. 

Face à la menace, l’écosystème numérique dans son ensemble place une priorité sur l'intégrité de la chaîne d'approvisionnement logicielle. C’est d’ailleurs l’objectif du CRA⁽⁵⁾. L'IA pourrait représenter un atout de premier plan pour répondre à cet enjeu de sécurisation de la « supply chain » et aux nouvelles exigences de conformité.

Bien que l'exécution de tels modèles nécessite encore des ressources de calcul importantes, le coût de la cyber offensive va nécessairement chuter certaines activités et des services de cybersécurité comme le pentest et le « bug bounty » ⁽⁶⁾ vont être amenés à évoluer. Il n’est en revanche pas envisageable de laisser une autonomie totale à la machine. L’expertise humaine restera nécessaire pour contrôler les accès et exécutions à hauts privilèges et éviter des erreurs d'exécution catastrophiques, comme la suppression involontaire de données.

Quant aux promesses d’automatisation que Claude Mythos semble apporter sur la table, il ne concerne pas que les attaquants. Mythos confirme que la cyberdéfense doit être extrêmement automatisée, sous contrôle humain, pour faire face à des avalanches de failles, de mises à jour de sécurité et d’incidents de sécurité. La remédiation, phase ultime de défense nécessitant des actions à fort impact sur un système d’information, va également devoir être davantage automatisée en intégrant la supervision humaine aux bons points de contrôle.

Claude Mythos Preview : : un modèle LLM à suivre ?

On le sait, depuis la sortie publique de ChatGPT d'OpenAI en 2022, chaque semaine (ou presque) est rythmée par la sortie d’une nouvelle version d’un LLM, sensée supplanter la précédente. 

Claude Mythos Preview est une étape clé, mais ce n'est pas un phénomène isolé. Nous devons anticiper, sur les mois à venir, l’apparition de modèles concurrents - potentiellement open source - atteignant ou dépassant les capacités de Mythos, clarifie Vivien Mura.  

Suite à la divulgation de l’existence de Claude Mythos Preview, la réponse d’OpenAI ne s’est pas faite attendre ⁽⁸⁾. Lancé de façon limitée le 14 avril et annoncé officiellement par OpenAI le 15 avril, GPT-5.4-Cyber a été conçu pour adresser la cybersécurité défensive.   

Quelles sont les prochaines étapes à anticiper en matière de détection des vulnérabilités assistée par IA ?

Si le modèle d'accès restreint de ces outils vise à renforcer la posture défensive, il crée un paysage sécuritaire à deux vitesses. Les partenaires utilisant actuellement Claude Mythos au sein du « Projet Glasswing »⁽⁸⁾ s’en servent pour durcir leurs propres écosystèmes, ce qui entraînera très probablement une vague massive de publication de correctifs de sécurité. 

Les organisations doivent se préparer à des vagues de patchs concernant leurs systèmes d’exploitation, applications, produits de sécurité et briques logicielles « open source » profondément intégrées⁽⁹⁾. Pour les entreprises disposant déjà de programmes de patch management, l’effort sera important mais pas insurmontable : pour les autres, la vague de correctifs risque fort de mobiliser les équipes sur le long terme.

A plus long terme, le ratio performance/coût de modèles d’IA pour des usages cyber pourrait augmenter, offrant la possibilité d’intégrer ces modèles dans les cycles de construction logicielle (DevSecOp, CI/CD) et dans les processus d’audit automatique de systèmes d’information.

Le risque pour l’avenir, est un contournement des garde-fous de empêchant l’utilisation malveillante de modèles puissants pour automatiser des attaques complexes à grande échelle, provoquant une escalade sans précédent dans le paysage de la menace. Les attaquants pourraient industrialiser des processus de hacking sophistiqués, sans fatigue et sans compétences avancées. L'ère de la cohabitation entre une cybersécurité automatisée et l’expertise humaine ne fait que commencer.

Via un partenariat avec Qevlar AI, Orange Cyberdefense s’est engagé dans la voie de la cybersécurité renforcée par l’IA. De plus, nos experts sont capables de vous accompagner sur la sensibilisation et l’implémentation de plateformes IA encadrées, conformes et responsables. 

Pour garder le contrôle sur l’avenir de votre activité à l’ère de l’intelligence artificielle, explorez la seconde édition de notre revue quadrimestrielle « Ctrl » ci-dessous.  

Sources et notes