La CISA utiliserait Mythos, l’IA d’Anthropic, pour traquer les failles logicielles

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) utiliserait le modèle d’IA Mythos d’Anthropic pour examiner les logiciels gouvernementaux à la recherche de failles de sécurité, selon un article de Reuters citant des personnes proches du dossier.

L’initiative rapportée vise à analyser les dépôts de code de différentes agences fédérales afin de détecter les vulnérabilités avant qu’elles ne puissent être exploitées par des services de renseignement étrangers ou des groupes criminels. Reuters indique que ces travaux sont menés par l’équipe d’évaluation de la surface d’attaque de la CISA, une unité spécialisée dans les évaluations numériques et les tests offensifs simulés.

Premières découvertes et informations limitées

Deux des sources citées par Reuters ont déclaré que les analyses assistées par l’IA avaient déjà révélé un « grand nombre » de failles. Cependant, l’article n’a pas précisé quelles agences étaient concernées, quelle était la gravité des problèmes ni quelle quantité de logiciels avait été examinée jusqu’à présent.

• L’ampleur des analyses n’a pas été rendue publique.
• Les systèmes gouvernementaux concernés n’ont pas été nommés.
• La gravité des vulnérabilités n’a pas été communiquée.

Ni la CISA ni Anthropic n’ont officiellement commenté ce programme présumé auprès de Reuters.

Le rôle croissant d’Anthropic auprès du gouvernement

L’utilisation présumée de Mythos intervient alors que le modèle semble gagner du terrain dans les milieux américains de la défense et du renseignement. Le mois dernier, un responsable a déclaré à l’Associated Press que l’un des modèles d’Anthropic avait découvert des vulnérabilités dans des systèmes gouvernementaux hautement sensibles lors d’un exercice de test. La NSA utiliserait également le modèle d’une manière ou d’une autre, selon l’article.

Dans le même temps, Anthropic s’est heurtée à des responsables fédéraux au sujet de la manière dont ses outils devraient être contrôlés. Plus tôt cette année, l’entreprise a rejeté les pressions visant à supprimer les garde-fous qui limitaient l’utilisation de ses modèles pour les armes autonomes et la surveillance intérieure. Ce différend aurait incité le Pentagone à classer Anthropic comme un risque pour la chaîne d’approvisionnement. Par ailleurs, lorsque Anthropic a lancé une version publique de son modèle au début du mois de juin, des responsables ont soulevé des préoccupations concernant les accès depuis l’étranger, ce qui a entraîné une suspension temporaire mondiale, levée seulement la semaine dernière.

L’initiative présumée de la CISA illustre une évolution plus large dans la manière dont les agences évaluent l’IA pour les tâches de cybersécurité, notamment l’examen des logiciels et la découverte de vulnérabilités. Pour l’instant, toutefois, les détails opérationnels restent largement opaques.