Mythos, le modèle qu’Anthropic a gardé sous clé

La plupart des modèles d’IA sont annoncés le jour où chacun peut les utiliser. Pas Claude Mythos. En avril, Anthropic a décrit un modèle capable, selon elle, de trouver et d’exploiter des failles logicielles mieux que quiconque, à l’exception des spécialistes les plus aguerris, et a annoncé qu’elle ne le mettrait pas à la disposition de tous.

Six mois plus tard, une version dotée de garde-fous est en vente libre, après qu’une lettre du gouvernement l’a mise hors ligne pendant près de trois semaines en juin, et la question soulevée par Mythos reste ouverte : qui décide qu’un modèle est trop puissant pour être vendu. Voici ce qui s’est passé, et ce que nous en retenons.

Une fuite, puis un avertissement

Son existence a été révélée par accident. Le 26 mars, Fortune a rapporté qu’Anthropic avait laissé des brouillons non publiés dans un espace de stockage consultable publiquement. L’un d’eux qualifiait Mythos de « loin le modèle d’IA le plus puissant que nous ayons jamais développé », et le décrivait comme coûteux à faire tourner et pas encore prêt pour une diffusion générale. Anthropic a confirmé ces travaux et a parlé d’un modèle qui marque « un saut qualitatif, le plus performant que nous ayons construit à ce jour ».

Le 7 avril, elle a présenté Claude Mythos Preview avec Project Glasswing, un programme qui met le modèle au service de la défense. Parmi les partenaires de lancement figuraient Amazon Web Services, Apple, CrowdStrike, Google, JPMorganChase, la Linux Foundation et Microsoft, et plus de 40 autres organisations qui maintiennent des logiciels critiques ont obtenu l’accès. Anthropic s’est engagée à fournir jusqu’à 100 millions de dollars de crédits d’utilisation ; au-delà, les partenaires paient 25 dollars par million de tokens en entrée et 125 dollars par million de tokens en sortie.

Ses exemples étaient concrets : une faille vieille de 27 ans dans OpenBSD, qui permettait à un attaquant de faire planter une machine à distance, une faille vieille de 16 ans dans FFmpeg, et une chaîne de failles du noyau Linux menant au contrôle total d’une machine. Toutes ont été signalées et corrigées. La raison de garder le modèle en réserve était énoncée sans détour : « Nous ne prévoyons pas de mettre Claude Mythos Preview à la disposition de tous. » Si de telles capacités se répandaient, faisait valoir Anthropic, les retombées pour les économies, la sécurité publique et la sécurité nationale pourraient être graves.

Ce que d’autres ont constaté

L’AI Security Institute britannique a testé le modèle en moins d’une semaine. Mythos est devenu le premier modèle à mener de bout en bout l’attaque simulée en 32 étapes conçue par l’institut contre un réseau d’entreprise, dans 3 tentatives sur 10, et a franchi en moyenne 22 étapes, quand le meilleur modèle suivant plafonnait à 16. L’institut a ajouté une réserve importante : ses réseaux de test n’avaient pas de défenseurs actifs, si bien que « nous ne pouvons pas affirmer avec certitude que Mythos Preview serait capable d’attaquer des systèmes bien défendus ».

D’autres ont mis en doute l’exclusivité de cette capacité. Le jour du lancement, Stanislav Fort, de la société de sécurité AISLE, a soumis le code vulnérable des exemples d’Anthropic à de petits modèles bon marché. Tous les huit ont trouvé la faille FreeBSD mise en avant par Anthropic, y compris un modèle de 3,6 milliards de paramètres actifs, même si on leur avait fourni directement la bonne fonction. Sa conclusion : l’avantage tient davantage au système qui entoure un modèle qu’à un modèle en particulier.

Trouver s’est aussi révélé plus facile que corriger. Selon Anthropic, les partenaires de Glasswing ont découvert au moins 129'000 vulnérabilités vérifiées entre avril et juillet. En septembre, Patrick Garrity, de VulnCheck, a examiné les 26'153 découvertes qu’Anthropic revendique pour ses propres analyses : environ une sur dix figurait dans son registre public de divulgation, et moins d’une sur cent était marquée comme corrigée. « Les justificatifs commencent à arriver au compte-gouttes, mais ils ne concordent pas », a-t-il écrit.

Fable, puis la coupure

Le 9 juin, Anthropic a publié Claude Fable 5, « un modèle de la classe Mythos que nous avons rendu sûr pour un usage général », ainsi que Mythos 5 pour ses partenaires de Glasswing. Il s’agit du même modèle, avec des garde-fous différents. Dans Fable, des classificateurs distincts repèrent les requêtes portant sur les cyberattaques, la biologie et la chimie, ainsi que les tentatives de copier le modèle, et les confient à un modèle Claude plus ancien.

Trois jours plus tard, le département du Commerce des États-Unis a écrit à Anthropic que toute personne étrangère, aux États-Unis ou ailleurs, y compris parmi le personnel d’Anthropic, avait désormais besoin d’une licence d’exportation pour utiliser l’un ou l’autre modèle. Des chercheurs d’Amazon auraient trouvé un moyen de contourner les garde-fous de Fable. Faute de pouvoir vérifier la nationalité de chaque utilisateur, Anthropic a écrit devoir « désactiver brutalement Fable 5 et Mythos 5 pour tous nos clients ». Des analystes du CSIS ont mis en doute le fondement juridique de la mesure, puisque rien n’est expédié : les utilisateurs accèdent au modèle sur les serveurs d’Anthropic.

Le 30 juin, le département du Commerce a levé ces contrôles. En contrepartie, a rapporté Al Jazeera, Anthropic s’est engagée à détecter et à traiter les risques de sécurité, à contribuer à fixer des normes pour les futurs modèles et à signaler les activités malveillantes. Les deux modèles sont revenus le 1er juillet. La version 5.1 a suivi le 1er septembre, Mythos 5.1 n’étant ouvert qu’aux organisations vérifiées, pour l’instant aux États-Unis. Le 6 octobre, Anthropic a intégré Glasswing à un Cyber Verification Program plus large, à trois niveaux, et chaque candidature au niveau le plus élevé est examinée avec le gouvernement américain.

Pourquoi cette approche

La raison avancée par Anthropic est que les capacités ont devancé les garde-fous. « Les modèles de la classe Mythos ont atteint un seuil où ils présentent des risques importants », a-t-elle écrit au lancement de Fable, et sa réponse a été une séquence : d’abord les défenseurs, puis les classificateurs, enfin une diffusion générale encadrée. En septembre, son directeur général, Dario Amodei, est allé plus loin : « Nous devons ralentir le rythme auquel nous améliorons les capacités des modèles d’IA. »

Ce n’est plus la voie d’une seule entreprise. Quand OpenAI a publié GPT-6 Astra en septembre, c’était le premier modèle d’OpenAI à atteindre son propre « seuil critique de capacité en cybersécurité », et il est allé aux défenseurs avant tout le monde. Un accès échelonné selon le degré de confiance devient la manière normale de publier les modèles les plus puissants.

Ce que cela signifie pour une entreprise

Trois enseignements s’imposent. Les meilleurs modèles se déclinent désormais en niveaux de confiance, et la version publique peut confier certaines questions à un modèle plus ancien. Un modèle peut disparaître du jour au lendemain pour des raisons qui ne vous concernent en rien : le 12 juin, tous les clients de Fable l’ont perdu le même jour. Enfin, trouver des failles est devenu la partie bon marché de la sécurité. Les corriger est la partie difficile, et c’est pourquoi les conseils de l’institut aux entreprises n’ont rien de spectaculaire : des mises à jour rapides, des contrôles d’accès stricts, une configuration sécurisée et une bonne journalisation.

C’est pourquoi nous conservons les connaissances d’une entreprise en dehors de tout modèle particulier, dans Twin, et pourquoi, pour le travail critique, nous apportons Eigna : un modèle privé, propre à l’entreprise, conçu par notre partenaire Eigna Labs, exécuté dans son propre cloud ou sur ses propres serveurs et pensé pour fonctionner hors ligne dans des réseaux fermés. Il n’égalera pas un modèle de pointe sur chaque tâche, et pour l’essentiel du travail confidentiel, il n’en a pas besoin. Un modèle qui tourne sur votre propre matériel ne disparaît pas parce qu’un fournisseur a reçu une lettre.