Le CIO fédéral reste prudent sur le modèle Mythos d'Anthropic malgré son déploiement prévu

Le Chief Information Officer (CIO) fédéral, Greg Barbaccia, a déclaré mardi que le gouvernement américain aborde le modèle Mythos d'Anthropic avec des attentes prudentes. Bien que ce modèle puisse renforcer les défenses cybernétiques fédérales, des doutes subsistent quant à ses performances dans des conditions réelles.

Barbaccia a précisé que son exposition directe à Mythos se limite aux évaluations et tests de référence, et qu'aucune agence fédérale ne l'a encore déployé. Bien que le Bureau du Directeur national de la cybersécurité coordonne l'approche gouvernementale, son évaluation globale de l'évolution de la cybersécurité assistée par l'IA était sans équivoque.

« Nous allons bientôt entrer dans un monde où la défense par l'IA pourra rattraper les attaques », a-t-il déclaré à CyberScoop lors du Workday Federal Forum, organisé par Scoop News Group. « Nous devons parvenir à un stade où les bots détectent les bots. »

Début septembre, Barbaccia a envoyé un courriel aux agences fédérales pour les informer que le Bureau de la gestion et du budget avait commencé à préparer un déploiement contrôlé du modèle au sein des agences gouvernementales. Cette approche reflète l'idée que les mêmes capacités qui font de Mythos une menace offensive potentielle en font aussi un outil défensif précieux.

Anthropic affirme que le modèle a identifié des milliers de vulnérabilités inconnues et de haute gravité dans les systèmes d'exploitation et navigateurs majeurs lors des tests, dont certaines remontent à plusieurs décennies. La question pour les équipes de sécurité fédérales n'est pas de savoir si ces capacités existent, mais si elles peuvent être transposées des environnements de laboratoire contrôlés aux réseaux complexes et protégés des agences gouvernementales.

Barbaccia a reconnu cette disparité. « Je pense que ce modèle améliorera les compétences des opérateurs, même novices, en cybersécurité offensive », a-t-il expliqué. « Mais son efficacité réelle dans des conditions opérationnelles reste à prouver, notamment face à un réseau protégé par des défenseurs humains et doté de systèmes d'alerte. Les évaluations que j'ai vues se limitent à des environnements de laboratoire. »

Cette distinction est cruciale pour les équipes de sécurité fédérales qui doivent décider comment intégrer ce modèle. Déceler une vulnérabilité et l'exploiter avec succès dans un environnement défendu sont deux problèmes distincts. Barbaccia a cité le catalogue CVE, la liste officielle des failles logicielles connues, comme un domaine où la rapidité de Mythos pourrait être utile. Un analyste humain mettrait un temps considérable à parcourir ce catalogue, tandis qu'un modèle comme Mythos pourrait le faire bien plus rapidement.

Cependant, la vitesse seule ne détermine pas si une vulnérabilité représente une menace réelle. « Il y a une différence entre une faille exploitable en une nanoseconde lors du démarrage du BIOS et la réalité de son exploitation dans le monde réel », a-t-il souligné. « Nous devons comprendre, tout comme on sécurise une surface de menace entière, où se trouvent les actifs critiques. Et comment protéger ces actifs de manière efficace, en veillant à ce que les mesures déployées justifient la valeur des données protégées. »

Cette réflexion est familière aux défenseurs des réseaux fédéraux, qui doivent opérer sous contraintes budgétaires et prioriser les vulnérabilités à corriger en premier. Ce que Mythos pourrait changer, c'est la rapidité de ce processus de triage.