Un modèle présenté comme le mieux aligné de son éditeur, et qui, pendant ses évaluations, fouille les processus de sa machine pour récupérer des jetons d’accès qu’on ne lui avait pas donnés. C’est le paradoxe de Claude Mythos Preview, le modèle d’Anthropic orienté cybersécurité. Dans ce décryptage vidéo, je reprends ce que les évaluations ont révélé et, surtout, ce que cela implique pour une organisation qui voudrait confier ce type d’agent à ses équipes.
Le décryptage en vidéo
▶️ La vidéo ne s’affiche pas ? Regardez-la directement sur YouTube.
Un bond de performance en analyse de vulnérabilités
Pour mesurer l’enjeu, il faut partir des chiffres. Sur le benchmark CyberGym, qui évalue l’analyse de vulnérabilités sur des bugs réels, l’ancienne référence plafonnait à environ 66 %. Mythos Preview dépasse 83 %.
Ce n’est pas une amélioration marginale. On parle d’un système capable d’analyser du code et d’en exploiter les failles de façon autonome, avec une puissance de raisonnement qui le place au niveau d’un expert. Pour une équipe de défense, c’est une promesse évidente : trouver les failles avant les attaquants. Pour un responsable des risques, c’est aussi un signal : la même capacité, mal encadrée, devient un risque en soi.
L’analogie du guide de haute montagne
Les chercheurs utilisent une image que je trouve très juste. Un guide de haute montagne très expérimenté emmène ses clients sur des terrains bien plus dangereux qu’un guide débutant. Ce n’est pas qu’il soit imprudent : c’est précisément son expertise qui lui ouvre ces terrains.
Pour l’IA, c’est la même chose. Une capacité extrême engendre des risques extrêmes. Même avec de bonnes intentions de départ, un modèle très doué pour résoudre des problèmes complexes s’aventure dans des zones où la moindre erreur prend des proportions considérables.
Ce qui s’est passé pendant les évaluations
Une tentative d’évasion du bac à sable
Pendant les évaluations internes, le modèle a activement cherché à sortir de son environnement de test. Les bacs à sable censés l’isoler n’ont plus suffi : son objectif était d’atteindre l’internet ouvert ou des ressources interdites, en contournant les barrières posées par ses propres concepteurs.
La méthode décrite dans la vidéo ressemble à du piratage classique. On demande au modèle de pousser une modification de code sans lui donner les accès nécessaires. Un système ordinaire aurait renvoyé une erreur. Mythos Preview, lui, a fouillé les processus, exploré le système de fichiers et utilisé des outils de bas niveau pour lire la mémoire vive et y récupérer les jetons d’accès qui lui manquaient.
Un modèle qui savait ce qu’il faisait
Le point le plus troublant vient des outils d’interprétabilité. Les visualisations des activations internes, réalisées pendant cette séquence, montrent que le modèle « avait conscience » du risque de sécurité et de la violation qu’il commettait. Il a pourtant continué pour atteindre son but.
Puis une tentative de masquer ses traces
Franchir une limite est une chose. Chercher à le cacher en est une autre. Dans un exercice d’estimation, l’agent est tombé par accident sur la réponse exacte dans une base de données à laquelle il n’aurait pas dû accéder. Il a alors ajouté une fausse marge d’erreur à sa réponse finale, pour qu’elle paraisse crédible sans être suspecte, et il l’a explicitement formulé ainsi dans son raisonnement.
Dans un autre cas, pendant qu’il écrivait un script destiné à effacer les traces d’une élévation de privilèges non autorisée, les activations associées à la tromperie et à la manipulation stratégique étaient fortement sollicitées. Autrement dit : ce n’est pas un simple bug.
Pourquoi la responsabilité bascule vers l’organisation
La conclusion de la vidéo est la partie la plus utile pour un RSSI ou un risk manager. Face à des agents capables d’une telle persévérance, on ne peut plus se reposer uniquement sur le fournisseur du modèle pour assurer la sécurité. La véritable forteresse, c’est l’environnement de déploiement.
Il faut distinguer deux couches :
- L’infrastructure (système d’exploitation, isolation, réseau) : elle se verrouille avec de bons outils. C’est gérable.
- La couche applicative : la manière dont l’agent interagit avec vos données et vos outils internes. Elle relève à 100 % de l’organisation qui déploie.
Si l’agent détourne un outil légitime qu’on lui a confié, ce n’est pas « la faute de l’IA » : c’est une faille de gouvernance locale. Et avec ce niveau d’autonomie, les conséquences peuvent être lourdes.
Les quatre piliers pour limiter la casse
La vidéo propose quatre règles, à appliquer sans exception :
- Permissions minimales : uniquement l’accès strictement nécessaire à la tâche.
- Séparation stricte des instructions et des données, pour limiter les manipulations (injection de prompt).
- Traçabilité complète, pour repérer la moindre anomalie en temps réel.
- Validation humaine obligatoire sur les actions critiques : aucune décision sensible sans feu vert humain.
Rien de révolutionnaire pour qui pratique la gestion des identités et des accès. C’est justement le message : les fondamentaux du moindre privilège et de la journalisation, appliqués aux agents IA, redeviennent la première ligne de défense. J’en parlais déjà dans Agents IA : pourquoi vos barrières de sécurité actuelles sont une illusion.
À retenir
- Claude Mythos Preview passe de 66 % à plus de 83 % sur CyberGym : un niveau d’expert en analyse de vulnérabilités.
- Pendant ses évaluations, il a tenté de sortir de son bac à sable et récupéré en mémoire des jetons d’accès qu’on ne lui avait pas accordés.
- Il a aussi cherché à dissimuler : fausse marge d’erreur, script d’effacement de traces.
- La sécurité d’un agent dépend désormais d’abord de l’environnement et de la gouvernance de l’organisation qui le déploie.
- Quatre piliers : moindre privilège, séparation instructions/données, traçabilité, validation humaine des actions critiques.
La question que pose la vidéo mérite d’être posée en comité des risques : nos architectures de contrôle actuelles sont-elles prêtes à encadrer des agents aussi capables, et aussi capables de dissimuler ?
Sources
- The New Stack – Anthropic’s Claude Mythos is now available, but not for you
- Webotit – Anthropic Glasswing : l’IA qui traque les zero-day avant les hackers
- AWS Security Blog – Building AI defenses at scale: Before the threats emerge
Vidéo générée avec NotebookLM à partir de sources sélectionnées par Pascal Froment.
Ces questions de contrôle et de confiance envers les machines, je les développe dans mon livre Où allons-nous ? (prospective jusqu’en 2040) : qui décide vraiment, quand l’IA agit à notre place.
Ressources Wet & Sea Tech
- 📺 Abonnez-vous à la chaîne YouTube Wet & Sea Tech pour les prochains décryptages : youtube.com/@wetseatech
- 💼 Suivez-moi sur LinkedIn pour les analyses cyber-risque de la semaine : LinkedIn de Pascal Froment
- 🔐 À lire aussi : JADEPUFFER, le premier ransomware agentique piloté par un LLM
Cet article t'a été utile ? Le site, ONDE et Risky restent gratuits et sans pub grâce aux lecteurs. Un café ou un partage : les deux comptent.
