Daniel Púa, responsable de la sécurité chez Magnific : « Si Claude Opus 4.8 pouvait être un couteau, Mythos est une machette »
Depuis qu’Anthropic a dévoilé Claude Mythos il y a quelques mois, la cybersécurité est devenue le principal argument avec lequel les laboratoires d’IA mettent en avant la puissance de leurs nouveaux modèles. Il y a des raisons à cela : Mythos en particulier a pu découvrir des vulnérabilités (inconnues et non corrigées) qui passaient inaperçues depuis des années.
Cela signifie-t-il que la cybersécurité traditionnelle est devenue obsolète du jour au lendemain ? Selon Daniel Púa, responsable de la sécurité chez Magnific, « la cybersécurité traditionnelle doit s’habituer à travailler avec l’IA. Tout comme aujourd’hui, les gens qui programment à la main et n’utilisent pas d’agents sont laissés loin derrière ».
Le battage médiatique du Mythe. « On lui a fait beaucoup de bruit », dit Daniel Púa à propos de tout le tumulte provoqué par Claude Mythos. Ce n’est pas que ce n’est pas un modèle puissant, mais cet expert ne croit pas « qu’il s’agisse d’un changement de paradigme comme beaucoup le vendent ». Leur raisonnement est que les vulnérabilités découvertes par Mythos auraient pu être découvertes avec le modèle le plus avancé de l’époque, Claude 4.8, simplement en « dépensant suffisamment de jetons ». En ce sens, Mythos n’est pas une arme nouvelle, juste une arme un peu plus puissante : « si on dit que Claude 4.8 était un couteau, Mythos est peut-être une machette. »
De plus, Púa profite de l’occasion pour souligner le travail de son rival, OpenAI : « on fait beaucoup de bruit autour de Mythos et Anthropic, mais je pense que les modèles qu’OpenAI propose (GPT 5.5 et 5.6) sont à la hauteur ».
Le changement est en open source. Il y a un détail notable à propos de tout ce problème : « presque toutes les vulnérabilités découvertes par Mythos proviennent de programmes open source ». C’est-à-dire qu’il les a trouvés dans les programmes dans lesquels l’IA était capable d’accéder à tout le code, selon Púa « c’est là que je vois un grand changement de paradigme ».
Traditionnellement, les programmes open source étaient considérés comme plus sûrs car « n’importe qui pouvait venir auditer le code ». C’est cette force qui, dans le contexte de modèles d’IA dotés de capacités de cybersécurité, se retourne contre eux. « Une personne peut mettre des jours ou des semaines et même se perdre dans ce flux sans trouver de vulnérabilité », explique Púa. En revanche, « un agent travaille beaucoup mieux car il peut suivre l’intégralité du flux en quelques secondes ou minutes ».
Danger ou intérêts ? Il y a quelques années, Dario Amodei, PDG d’Anthropic, déclarait que « l’IA Open Source devient un danger », un discours très similaire à celui de Steve Ballmer lorsqu’il disait que « Linux est un cancer ». Pour Daniel Púa, il y a un intérêt évident derrière ces déclarations : « ce n’est ni 100% vrai ni 100% faux (…) En fin de compte, les modèles open source chinois prennent de l’ampleur, il souhaite donc y mettre un terme d’une manière ou d’une autre. »
Cependant, il reconnaît que l’IA open source peut présenter un certain risque puisque « dans les modèles open source, vous ne pouvez pas mettre de garde-fous, vous ne pouvez pas dire : « Hé, ne faites pas ça ». Alors que dans les modèles OpenAI ou Anthropic, ils ont un contrôle pour dire « c’est aussi loin que vous puissiez aller ».
Le danger d’une IA qui « échappe au laboratoire ». Il y a eu un incident récent au cours duquel un modèle OpenAI a piraté la base de données d’une entreprise externe, et peu de temps après, Anthropic a déclaré que quelque chose de similaire leur était arrivé. Face à cette situation, beaucoup voient déjà un scénario presque apocalyptique dans lequel l’IA finit par échapper au contrôle humain. Daniel Púa y voit « un peu un film de science-fiction », mais reconnaît que « avec l’IA, on peut parler à court terme, même à moyen terme, mais à long terme… on ne sait pas où ça va aller parce qu’il avance à une vitesse qui n’a aucun sens ».
Il se montre cependant assez prudent et affirme que pour qu’une telle chose se produise, il faudrait d’abord ouvrir la porte : « Si vous ne donnez pas à une IA l’accès à des systèmes militaires fermés, par exemple, elle n’y arrivera pas du jour au lendemain. Si vous commencez à lui donner accès, cela pourrait arriver, mais je trouve cela très tiré par les cheveux. »
L’IA sert aussi à faire le bien. Normalement, nous nous concentrons sur l’utilisation de l’IA pour attaquer, ce qui est le plus effrayant, mais « également dans le cadre de la partie défensive. Dans la réponse aux incidents et dans la partie médico-légale, cela représente une aide incroyable », explique Púa. Chez Magnific, ils l’utilisent déjà pour surveiller leurs propres systèmes : « nous avons des agents internes qui prennent les centaines de millions de journaux que nous générons et nous aident à filtrer et à trouver des modèles d’attaque (…) Ce travail effectué à la main nous prendrait beaucoup de temps, et avec l’IA, il est presque instantané. »
Images | FlyD sur Unsplash
À Simseo | Il y a un métier en plein essor à l’ère de l’intelligence artificielle : expert en cybersécurité
