Il y a deux semaines, le secrétaire au Trésor américain Bessent et le président de la Fed Powell ont convoqué des dirigeants de Wall Street à une réunion à huis clos – ce qui montre à lui seul à quel point la menace de Mythos est réelle.
Mais la réunion à huis clos n'était pas la fin. Ce qui s'est passé ensuite était encore plus important.
Ce que disent les gouverneurs des banques centrales mondiales
Le gouverneur de la Banque d'Angleterre, Andrew Bailey, s'est exprimé : "a very serious challenge for all of us" et a exigé une évaluation réglementaire immédiate.
La présidente de la Banque centrale européenne, Christine Lagarde, a été encore plus directe : "if it falls in the wrong hands, it could be really bad."
Le vice-président du FMI, Dan Katz, a déclaré que les menaces de cybersécurité dans les mois à venir seront "absolutely essential on the international agenda".
Le travail quotidien de ces personnes est de gérer la stabilité financière mondiale. Normalement, ils ne disent pas des phrases comme "si cela tombe entre de mauvaises mains, cela pourrait être vraiment grave" en public. Quand ils le font, cela signifie que ce qu'ils voient en interne est vraiment préoccupant.
Le contexte n'est pas compliqué : Anthropic a découvert que Mythos peut trouver et enchaîner de manière autonome des vulnérabilités logicielles, avec une vitesse et une échelle dépassant les capacités humaines. Les résultats des tests étaient "found thousands of high-severity vulnerabilities, including some in every big operating system and web browser". Presque tous les principaux systèmes d'exploitation et navigateurs web contenaient des vulnérabilités de sécurité jusqu'alors non découvertes qu'il a trouvées.
L'approche d'Anthropic a consisté à restreindre l'accès à environ 40 entreprises – dont Amazon, Apple et JPMorgan Chase – afin que ces organisations puissent d'abord effectuer des tests et des correctifs de vulnérabilités. La logique est raisonnable. Le problème est : et les autres ?
L'Asie a réagi le plus rapidement
Singapour : L'Autorité monétaire et l'Agence de cybersécurité ont agi de concert, exigeant directement des institutions financières de "redouble efforts to strengthen their security defenses, pro-actively identify and close vulnerabilities". Ne pas attendre les évaluations, agir immédiatement.
Corée du Sud : A convoqué une réunion d'urgence entre les organismes de régulation financière et les associations professionnelles pour discuter spécifiquement de la façon de répondre aux menaces cybernétiques alimentées par l'IA. Le président du Comité de sécurité, Lee Won-tae, a prononcé la déclaration la plus directe de cette période :
"We have entered an era where AI, not humans, holds the initiative in hacking."
Le rapport attaque-défense s'est inversé. Auparavant, les humains dominaient la découverte de vulnérabilités ; désormais, l'IA est en avance. Ce n'est pas une métaphore, c'est une description littérale de la capacité réelle de Mythos.
Australie : Relativement discrète, mais a également exigé que les entreprises de services financiers maintiennent "sufficient safeguards" et coordonnent l'évaluation des nouvelles technologies avec d'autres organismes de régulation.
Le problème de l'Europe : vouloir tester, mais ne pas pouvoir
Il y a ici un étrange dilemme.
Les régulateurs européens savent que la menace de Mythos existe et veulent évaluer le risque de manière indépendante. Mais dans la liste d'accès de 40 entreprises d'Anthropic, les institutions européennes sont extrêmement rares.
Le président de l'Autorité bancaire européenne (ABE), François-Louis Michaud, a déclaré que le travail d'évaluation est "a process that is starting" – encore au stade initial. En comparaison, les États-Unis avaient déjà terminé leur réunion à huis clos, Singapour agissait, la Corée du Sud avait déjà convoqué une réunion d'urgence.
C'est un problème d'asymétrie d'information. Les régulateurs européens ne peuvent pas évaluer indépendamment le niveau de menace car ils n'ont tout simplement pas la possibilité d'un contact de première main avec le modèle. Soit ils font confiance aux informations fournies par Anthropic, soit ils ne peuvent que spéculer.
La stratégie d'"accès restreint" d'Anthropic a un effet secondaire involontaire : les organisations disposant le plus d'informations de première main (Amazon, JPMorgan, etc.) ont soit des équipes de sécurité solides, soit des partenariats approfondis avec Anthropic – tandis que les gouvernements et organisations internationales qui ont réellement besoin d'une perspective réglementaire indépendante sont laissés de côté.
Le double point de vue de JPMorgan
Le PDG de JPMorgan, Jamie Dimon, a fait une observation relativement équilibrée : l'IA augmente le risque de cyberattaques, mais fournit également de meilleurs outils de défense.
Cette évaluation est partiellement correcte. L'attaque et la défense seront toutes deux améliorées par l'IA.
Mais la question clé est de savoir si la vitesse est symétrique. Si les attaquants peuvent obtenir des modèles de niveau Mythos plus rapidement (via des acteurs étatiques ou des canaux souterrains), tandis que les défenseurs font encore la queue en attendant l'approbation d'Anthropic, l'équilibre attaque-défense est rompu. La stratégie actuelle d'Anthropic est "d'abord donner à des organisations de confiance pour qu'elles corrigent les vulnérabilités" – si cette chaîne peut être plus rapide que la vitesse d'action des attaquants, c'est la véritable question.
Sans cadre de coordination mondial, que peut-on faire ?
L'état actuel est : chaque pays/région utilise son propre cadre pour répondre à une menace mondiale, le partage d'informations est fragmenté et les tensions géopolitiques rendent la coordination internationale encore plus difficile.
Certains régulateurs ont déjà admis qu'établir un mécanisme de réponse de sécurité IA unifié à l'échelle mondiale est presque irréaliste – les intérêts des parties sont incohérents, les exigences de transparence varient et la sensibilité politique est différente.
Le système financier est l'une des cibles les plus systémiques. Les banques sont hautement interconnectées, et une vulnérabilité à un nœud peut se propager en chaîne. C'est pourquoi l'attitude des gouverneurs des banques centrales mondiales sur ce sujet mérite une considération plus sérieuse que les actualités IA ordinaires.
Ils ne parlent pas de l'avenir de l'IA, mais discutent d'un modèle qui existe déjà, d'une capacité qui a déjà été vérifiée et d'une menace pour laquelle il n'existe actuellement aucune solution complète.
Sources de référence : Latest AI models could threaten world banking system, financial officials warn (The Irish Times) ; CocoLoop, Asia Regulators Raise Scrutiny on Banks Amid Mythos AI Fears (Insurance Journal)