Anthropic a mis en œuvre son modèle le plus restreint en analysant le code à la recherche de bogues. Un humain doit encore approuver chaque correctif

Anthropic a déplacé son outil d’analyse de code, Claude Security, sur Mythos 5. Cela est remarquable principalement en raison de son modèle : Mythos est le modèle le plus performant d’Anthropic et il n’est délibérément pas largement disponible, en particulier parce qu’il est si puissant dans les cybertâches. La société a annoncé le changement le 21 août.

L’outil lui-même est simple. Il lit une base de code, recherche les vulnérabilités et suggère des correctifs. Chaque résultat est accompagné d’une catégorie CWE, qui est une méthode standard de l’industrie pour classer un type de faille logicielle afin que différents outils décrivent le même problème de la même manière, ainsi qu’un indice de gravité et une proposition de correctif. Il est en version bêta publique pour les clients Enterprise et les analyses comptent comme une utilisation ordinaire du jeton plutôt que comme un produit distinct.

Le détail important se situe à la fin : un humain doit toujours signer chaque patch. Anthropic ne laisse pas le modèle valider lui-même les modifications du code.

L’asymétrie que cela est censé corriger

Les attaquants ont accès à une IA performante depuis un certain temps déjà, et ils ne sont confrontés à aucun processus d’approbation, à aucun contrôle de conformité et à aucune conséquence en cas de mauvaise suggestion. Les défenseurs affrontent les trois. Cette lacune est la raison pour laquelle un laboratoire choisirait son modèle le plus strict et l’orienterait spécifiquement vers la défense. Anthropic connecte également Mythos 5 aux produits de sécurité partenaires qui protègent les hôpitaux, les services publics et les banques, où les utilisateurs finaux ne touchent jamais directement le modèle et ne voient que le résultat, comme un correctif suggéré.

Cette structure est la véritable politique ici. Plutôt que de publier un cyber-modèle puissant et d’espérer qu’il sera bien utilisé, Anthropic le garde derrière une porte et le diffuse uniquement via des canaux défensifs. Que cela soit vrai est une question ouverte. Toute capacité suffisamment puissante pour trouver une vulnérabilité est suffisamment forte pour en exploiter une, et une porte n’est aussi efficace que les personnes qu’elle laisse passer. Mais il s’agit d’une tentative cohérente sur un problème véritablement difficile, et plus réfléchie que la simple publication des poids et l’espoir.

Il convient de noter le timing. Cela arrive la même semaine que les chercheurs ont démontré une attaque Grok non corrigée qui cachait des instructions cryptées dans une page Web, et quelques jours après que Microsoft ait publié un correctif pour une faille de vol de données Copilot en un clic dont il était au courant depuis huit mois. La sécurité de l’IA est actuellement une histoire de rattrapage pour les défenseurs.

Ce que cela signifie pour vous : Si vous n’écrivez pas de code, il s’agit d’un contexte, mais d’un contexte utile : l’histoire de la sécurité de l’IA ne concerne pas seulement les attaques, et une partie du travail défensif est réelle. Si vous écrivez du code ou si vous dirigez une petite entreprise qui le fait, le modèle à copier est l’étape d’approbation. Laissez un modèle trouver et proposer, ne le laissez jamais s’appliquer. Cette seule règle est ce qui distingue un scanner utile d’une nouvelle surface d’attaque, et son application ne vous coûte rien.

##Sources

• Amenant Claude Mythos 5 à plus de défenseurs, Anthropic -Anthropic met son modèle le plus puissant Claude Mythos 5 au service de la cyberdéfense, The Decoder
• Liste CWE, MITRE