Richard Ford d'Integrity360 discute du malaise causé par le modèle avancé d'IA de cybersécurité d'Anthropic et de la manière dont les cyber-équipes peuvent se préparer à une telle technologie.
Depuis qu'Anthropic a révélé pour la première fois Claude Mythos en avril, le discours autour du modèle d'IA de cybersécurité n'a pas cessé.
Les affirmations d'Anthropic selon lesquelles Mythos possède des capacités apparemment avancées pour trouver et exploiter les vulnérabilités de sécurité des logiciels ont provoqué une frénésie dans les secteurs public et privé du monde entier, y compris en Irlande.
« Le problème n'est pas qu'Anthropic ait créé cela. Le problème est qu'Anthropic a démontré que cela est possible », a déclaré Richard Browne, directeur du Centre national de cybersécurité, en s'adressant au Comité mixte de l'Oireachtas sur l'intelligence artificielle peu après la révélation du Mythe.
Mythos n'a pas encore été rendu public, bien qu'Anthropic ait accordé l'accès à un pool d'entreprises, de banques et d'autorités – avant qu'une récente ordonnance du gouvernement américain n'oblige l'entreprise à désactiver le modèle pour tous ses utilisateurs.
Mais alors que les institutions et les gouvernements paniquent face aux capacités de ce nouveau modèle d’IA, le directeur technique d’Integrity360, Richard Ford, affirme que Mythos devrait être abordé avec « un examen minutieux plutôt qu’un battage médiatique ».
« Sur la base des informations disponibles jusqu'à présent, le modèle semble capable d'être un outil d'attaque autonome, mais il n'y a aucune preuve claire qu'il surpasse matériellement les grands modèles de langage existants dans ce domaine », a-t-il déclaré à SiliconRepublic.com.
« Le point le plus important est de savoir comment il pourrait être utilisé. Entre les mains d'acteurs menaçants, Mythos n'a pas besoin d'être révolutionnaire pour être dangereux.
« Cela resterait très efficace pour cibler les organisations ayant des postures de sécurité faibles, en particulier celles qui manquent de contrôles d'accès stricts, de discipline en matière de correctifs et de visibilité sur l'ensemble de leurs environnements. »
Battage médiatique et perturbation
Ford affirme qu'une grande partie de ce qui motive à la fois le battage médiatique et les inquiétudes autour de Mythos vient de résultats autodéclarés, avec une validation indépendante limitée.
Il est donc difficile de séparer les véritables progrès techniques du récit, dit-il.
« On peut légitimement se demander si les capacités sont surestimées ou si elles sont simplement présentées sans suffisamment de contexte.
« Les premières allégations de découverte de vulnérabilités à grande échelle semblent significatives, mais sans analyse comparative externe ni reproductibilité, il est difficile d'évaluer la signification de ces résultats dans la pratique. »
Ford ajoute qu'à la lumière des difficultés précédentes d'Anthropic avec le gouvernement américain, les sceptiques pourraient raisonnablement se demander si l'annonce de Mythos visait « en partie à façonner la perception autant qu'à démontrer ses capacités ».
Mais que se passerait-il si la prétendue sophistication du Mythe était aussi significative que le prétend Anthropic ?
« Si ces affirmations sont vraies, il est clair que des modèles comme Mythos pourraient commencer à perturber des domaines tels que les programmes de bug bounty et le marché plus large du piratage éthique », explique Ford. « L’inquiétude n’est pas que les chercheurs humains deviennent obsolètes du jour au lendemain, mais que l’IA puisse accélérer considérablement la découverte de vulnérabilités, modifiant ainsi l’équilibre en termes de vitesse, d’échelle et de coût.
« Nous observons déjà les premiers indicateurs de cette tendance. Les plates-formes basées sur l'IA fonctionnent très bien dans les environnements CTF compétitifs, où l'analyse rapide, la reconnaissance de formes et l'automatisation offrent un net avantage. «
« Cela soulève des questions sur la manière dont les écosystèmes traditionnels de bug bounty évoluent, en particulier si l'IA peut identifier les problèmes plus rapidement que les chercheurs humains ou banaliser certaines parties du processus. »
Comment les organisations peuvent-elles se préparer ?
Bien que Mythos n’ait pas encore été entièrement rendu public – et soit actuellement désactivé la semaine dernière – Ford donne quelques conseils aux équipes de cybersécurité concernant l’éventuelle disponibilité généralisée de modèles d’IA tels que Mythos.
« Les équipes de cybersécurité devraient considérer des modèles comme Mythos comme une accélération des menaces existantes plutôt que comme quelque chose d’entièrement nouveau », dit-il. « La priorité est de définir les fondamentaux correctement, car l’IA exploitera les faiblesses plus rapidement, et non différemment.
» Des contrôles d'identité stricts, des correctifs cohérents et une visibilité complète des actifs restent essentiels. Les organisations qui ne disposent pas de ces éléments de base seront les cibles les plus faciles pour les attaques assistées par l'IA. En bref, plus vos fondamentaux sont bons, plus vous serez résilients à mesure que les menaces basées sur l'IA se généralisent. «
Ford affirme que les organisations devraient éviter de réagir au mythe avec panique, mais devraient également prendre ses implications au sérieux.
« La direction à suivre est claire : l’IA est de plus en plus intégrée à la fois à l’attaque et à la défense », dit-il.
Il estime que toute organisation qui ne met pas en place une cyberdéfense basée sur l’IA prendra du retard et « se retrouvera directement dans la ligne de mire des attaquants ».
« Cela ne signifie pas courir après le battage médiatique, mais cela signifie investir dans des capacités qui améliorent la vitesse, l'échelle et la prise de décision en matière de détection et de réponse », explique-t-il.
« En même temps, cela ne fonctionne que si les fondamentaux sont en place. Les organisations qui réussiront seront celles qui combineront des contrôles de base solides avec une automatisation intelligente, leur permettant de suivre le rythme alors que le paysage des menaces continue de s'accélérer. »
La révélation de Mythos a sans aucun doute fait bouger les choses en ce qui concerne l’IA et sa place dans la cybersécurité.
Mais alors que beaucoup s'inquiètent de l'impact de la capacité de Mythos en matière de cyberexploitation, Ford estime que l'effet le plus significatif à long terme d'une telle technologie d'IA sera « un changement structurel » dans la rapidité et la rapidité avec laquelle les cyberattaques peuvent être exécutées – plutôt qu'une seule capacité révolutionnaire.
« Si des modèles comme Mythos mûrissent comme suggéré, ils réduiront le temps entre l'identification d'une exposition et son exploitation », dit-il. « Les tâches qui nécessitaient autrefois des chercheurs qualifiés et un investissement de temps, telles que la reconnaissance, la découverte de vulnérabilités et l'exploitation initiale, deviendront de plus en plus automatisées et évolutives.
« Cela change l'économie des cyberattaques, permettant aux auteurs de menaces d'opérer à un volume plus élevé et avec une plus grande efficacité. Tout cela dépend bien sûr de la question de savoir si Mythos n'est effectivement qu'un battage médiatique ou une vraie affaire. »
