GPT-5.5 aussi redoutable que Mythos en matière de hacking ? Les tests inquiètent

Les chercheurs estiment que l'IA devient redoutablement efficace en matière de piratage, même sans Mythos

Anthropic a développé un nouveau modèle d'IA baptisé Mythos, jugé si performant dans la réalisation de cyberattaques que l'entreprise a décidé de ne pas le rendre public. La société a choisi de le partager uniquement avec de grandes entreprises technologiques sélectionnées, afin qu'elles puissent anticiper et renforcer leurs défenses avant une éventuelle diffusion plus large. Parallèlement, la startup de cybersécurité Buzz, financée par Sequoia Capital, a publié de nouvelles recherches révélant que les modèles d'IA déjà disponibles publiquement sont capables de mener des cyberattaques complexes et autonomes en quelques minutes seulement. Ces résultats sont préoccupants à plusieurs titres. Le fait que des outils existants, accessibles à n'importe qui, puissent automatiser des attaques informatiques sophistiquées sans intervention humaine significative abaisse drastiquement le seuil d'entrée pour les acteurs malveillants. Des individus sans compétences techniques avancées pourraient désormais conduire des offensives qui requéraient auparavant des équipes entières de hackers expérimentés, menaçant aussi bien les entreprises que les infrastructures critiques. La décision d'Anthropic de restreindre Mythos illustre une tension croissante dans l'industrie de l'IA entre innovation ouverte et gestion des risques. Les grands laboratoires sont de plus en plus confrontés à la question de la divulgation responsable de modèles à capacités duales. Que des modèles grand public aient déjà atteint ce niveau de dangerosité offensive souligne l'urgence d'investir massivement dans la cybersécurité défensive, et relance le débat sur la nécessité d'une régulation internationale coordonnée du développement et de la diffusion des modèles d'IA les plus puissants.

💬 La rétention de Mythos fait les gros titres, mais c'est presque pas le sujet. Ce qui compte, c'est que les modèles déjà publics automatisent des attaques sophistiquées en quelques minutes, sans expertise requise. Le seuil d'entrée vient de s'effondrer, et on n'a pas attendu le modèle secret pour ça.

GPT-5.5 égale Mythos Preview dans les nouveaux tests de cybersécurité

Le modèle GPT-5.5 d'OpenAI, mis en accès public la semaine dernière, a obtenu des résultats comparables à ceux de Mythos Preview d'Anthropic lors des évaluations cybersécurité menées par l'AI Security Institute britannique (AISI). Sur les 95 défis de type Capture the Flag testant des compétences en rétro-ingénierie, exploitation web et cryptographie, GPT-5.5 a résolu en moyenne 71,4 % des tâches de niveau "Expert", contre 68,6 % pour Mythos Preview, un écart qui reste dans la marge d'erreur. Sur un défi particulièrement difficile consistant à construire un désassembleur pour décoder un binaire Rust, GPT-5.5 a résolu la tâche en 10 minutes et 22 secondes, sans assistance humaine, pour un coût de 1,73 dollar en appels API. Les deux modèles ont également obtenu des performances similaires sur "The Last Ones" (TLO), un scénario simulant une attaque d'extraction de données en 32 étapes sur un réseau d'entreprise: GPT-5.5 a réussi 3 tentatives sur 10, contre 2 sur 10 pour Mythos Preview. Aucun modèle testé auparavant n'avait jamais réussi ce scénario ne serait-ce qu'une seule fois. Ce résultat fragilise directement la posture d'Anthropic, qui avait présenté Mythos Preview le mois dernier comme un modèle au potentiel cybersécuritaire exceptionnel, justifiant une restriction d'accès aux seuls "partenaires industriels critiques". GPT-5.5 atteint un niveau de capacité équivalent tout en étant disponible publiquement, ce qui soulève des questions sur la cohérence des politiques de déploiement entre les deux laboratoires. Pour les entreprises et les équipes de sécurité, cela signifie que des outils d'attaque automatisés de niveau expert sont désormais accessibles à tous, sans restriction. L'AISI conduit ces évaluations sur les modèles frontier depuis 2023, dans le cadre d'un effort de surveillance indépendante des capacités offensives de l'IA. Le seul scénario sur lequel aucun modèle n'a encore percé est "Cooling Tower", une simulation d'attaque contre le logiciel de contrôle d'une centrale électrique, ce qui indique qu'une limite demeure pour l'instant. Mais la trajectoire est claire: les capacités cybersécuritaires des grands modèles progressent rapidement, et le débat sur leur encadrement devient plus urgent à mesure que la performance rejoint puis dépasse celle des experts humains sur des tâches ciblées.

💬 Ce qui me frappe, c'est pas les scores (71% vs 68%, c'est dans la marge). C'est qu'Anthropic justifiait les restrictions sur Mythos par un risque hors-norme, pendant que GPT-5.5 sort en accès libre avec les mêmes capacités, en réussissant même "The Last Ones", ce scénario d'exfiltration en 32 étapes que personne n'avait jamais passé jusqu'ici. Soit OpenAI sous-estime le danger, soit Anthropic survend sa prudence.

GPT-5.5 rivalise avec Claude Mythos dans les tests de cyberattaques, selon l'Institut britannique de sécurité de l'IA

GPT-5.5 d'OpenAI est capable de résoudre de manière autonome une simulation complète d'attaque réseau, selon les évaluations publiées par l'UK AI Security Institute (AISI). C'est seulement le deuxième modèle à franchir ce seuil, aux côtés du Claude Mythos d'Anthropic. GPT-5.5 est d'ores et déjà déployé dans ChatGPT et accessible via l'API d'OpenAI, tandis que Claude Mythos reste réservé à un groupe très restreint de partenaires et testeurs. Cette performance marque un tournant dans le paysage de la cybersécurité. Qu'un modèle accessible au grand public puisse enchaîner de manière autonome les étapes d'une intrusion réseau complète, de la reconnaissance initiale jusqu'à l'exploitation d'une cible, représente une menace concrète pour les entreprises et institutions. Jusqu'ici, ce niveau de capacité restait cantonné à des systèmes expérimentaux à diffusion très limitée. Le fait que GPT-5.5 soit déjà largement déployé soulève des questions urgentes sur le contrôle des aptitudes offensives des modèles commerciaux. L'AISI britannique, créée dans le sillage du sommet de Bletchley Park de novembre 2023, évalue régulièrement les modèles dits frontier avant et après leur mise sur le marché, en testant leurs capacités dans des domaines sensibles comme la cybersécurité ou les armes de destruction massive. Ces évaluations s'inscrivent dans un effort plus large de gouvernance internationale de l'IA, auquel participent notamment la France, le Royaume-Uni et les États-Unis. La convergence de GPT-5.5 et Claude Mythos sur ces benchmarks offensifs va probablement intensifier les débats réglementaires sur les seuils de déploiement acceptables pour les modèles aux capacités les plus avancées.

💬 GPT-5.5 déjà en prod, accessible à tous, capable d'enchaîner une attaque réseau complète de bout en bout. Pendant ce temps Claude Mythos fait la même chose mais reste sous clé chez Anthropic. Le vrai débat, c'est là : OpenAI vient de décider tout seul que ce niveau de capacité offensive est acceptable en déploiement grand public, et personne ne leur a dit non.

Les tests Mythos AI du gouvernement britannique distinguent les vraies menaces cyber du battage médiatique

Le gouvernement britannique, via son AI Security Institute (AISI), a publié une évaluation indépendante du modèle Mythos Preview d'Anthropic, centré sur ses capacités en matière de cybersécurité offensive. Cette publication fait suite à l'annonce d'Anthropic la semaine précédente de restreindre l'accès initial à ce modèle à "un groupe limité de partenaires industriels critiques", le temps de préparer sa sortie publique. L'entreprise avait elle-même qualifié Mythos de modèle "remarquablement capable dans les tâches liées à la sécurité informatique". L'AISI confirme que le modèle dépasse les 85 % de réussite sur les défis Capture the Flag de niveau "Apprenti", une série d'épreuves de cybersécurité progressives utilisées depuis début 2023 pour évaluer les modèles d'IA. Sur les tâches individuelles de cybersécurité, Mythos ne se distingue pas fondamentalement des autres modèles frontières récents. Ce qui le différencie en revanche, c'est sa capacité à enchaîner ces tâches en séquences cohérentes et multi-étapes, ce type d'attaque coordonnée étant précisément ce qui permet d'infiltrer complètement un système réel. Cette nuance est cruciale : un modèle capable de relier reconnaissance, exploitation et persistance au sein d'une même session représente un saut qualitatif pour les attaquants potentiels, mais aussi pour les équipes défensives qui cherchent à automatiser les tests de pénétration. L'AISI mène ces évaluations sur Capture the Flag depuis début 2023, à une époque où GPT-3.5 Turbo peinait à résoudre les tâches de niveau débutant. La progression a été régulière depuis, et Mythos marque une nouvelle étape dans cette courbe. La décision d'Anthropic de limiter l'accès initial témoigne d'une stratégie de déploiement prudente face aux risques de mésusage dans un domaine aussi sensible. La publication des résultats par une institution gouvernementale indépendante apporte une crédibilité publique à ces avertissements, au-delà du discours commercial habituel des laboratoires d'IA.