Anthropic détecte des bugs plus vite que Microsoft ne parvient à les corriger
Anthropic a lancé au printemps un programme baptisé Project Glasswing en collaboration avec Microsoft, autour d'un nouveau modèle d'intelligence artificielle interne surnommé Mythos, spécialisé dans la détection de failles de sécurité informatique. Mi-mai, des dizaines d'ingénieurs et de responsables de Microsoft se sont réunis, en visioconférence et dans une salle de réunion du siège de Redmond, dans l'État de Washington, pour faire le point sur le rythme auquel Mythos identifiait des vulnérabilités dans le code de l'entreprise. Anthropic avait donné à un nombre restreint d'organisations développant des logiciels utilisés par le grand public, des entreprises et des gouvernements du monde entier un accès anticipé à cet outil. Lors de la réunion, un ingénieur a résumé l'enjeu en demandant si Mythos était à la hauteur des promesses avancées par Anthropic.
Résumé et traduction réalisés par Le Fil IA à partir de Ars Technica AI. Lire l'article original →
L'ampleur du problème tient au décalage entre la vitesse de détection et la capacité de correction : Mythos débusque des failles plus vite que les équipes de Microsoft ne parviennent à les corriger, créant un embouteillage de vulnérabilités connues mais non encore patchées. Cette situation illustre un enjeu central pour l'industrie du logiciel : les mêmes capacités d'intelligence artificielle qui permettent de renforcer la sécurité peuvent aussi, entre de mauvaises mains, servir à repérer et exploiter des failles à grande échelle. Pour les utilisateurs finaux, entreprises comme administrations, cela signifie une fenêtre de risque prolongée tant que les correctifs ne suivent pas.
L'initiative s'inscrit dans une course contre la montre plus large face à des acteurs malveillants, hackers indépendants ou gouvernements considérés comme adverses, notamment la Chine, susceptibles de développer ou d'acquérir des outils d'IA comparables pour l'espionnage ou le sabotage. En donnant un accès privilégié à des éditeurs de logiciels largement déployés, Anthropic cherche à devancer ces usages offensifs en aidant à corriger les failles avant qu'elles ne soient exploitées. Le cas Microsoft montre toutefois que la détection automatisée par IA dépasse déjà, à ce stade, la capacité humaine de remédiation, posant la question de savoir comment adapter les processus de correction à cette nouvelle échelle.
Pas d'impact direct sur la France/UE
Anthropic détecte les failles plus vite que Microsoft ne les corrige, et c'est exactement le genre de goulot d'étranglement qu'on avait prédit sans vouloir y croire. Le vrai enseignement, c'est que la sécurité par l'IA ne se joue plus sur la détection, elle se joue sur la vitesse de correction humaine derrière : on a créé un outil qui va plus vite que les équipes censées s'en servir. Reste à voir combien de temps une vulnérabilité connue traîne avant d'être patchée, parce que c'est cette fenêtre-là que les acteurs malveillants vont adorer.