Category: The Conversation

Source: The Conversation – France in French (3) – By Thomas Fraise, Postdoctoral research fellow, University of Copenhagen; Sciences Po

L’apparition de l’IA Mythos, présentée comme capable de détecter rapidement des failles informatiques majeures, montre que les capacités offensives dans le cyberespace progressent très vite. Cette évolution pourrait rendre les systèmes nucléaires plus vulnérables et augmenter le risque d’erreurs, de sabotage ou d’escalade accidentelle.

En 1983, le film WarGames imaginait un adolescent qui, entré par accident dans un système informatique du Pentagone, déclenchait un programme de simulation, lequel était interprété comme un prélude à une guerre nucléaire. Le film avait tant marqué Ronald Reagan qu’il avait interrogé ses conseillers sur la possibilité d’une telle intrusion dans les systèmes américains les plus sensibles. Une semaine plus tard, la réponse était venue : « Monsieur le Président, le problème est bien plus grave que vous ne le pensez. »

Les politiques autour de l’armement nucléaire reposent sur une série de paris, souvent lointains, sur l’avenir de la dissuasion nucléaire. D’abord, les pays dotés de l’arme nucléaire considèrent que la peur de leur riposte suffira toujours à empêcher un adversaire de les attaquer en premier, et qu’ils disposeront toujours de l’expertise et de la chance nécessaires pour prévenir des explosions accidentelles. Ils estiment donc que la possession de l’arme nucléaire sera pour eux, au cours des décennies à venir, source de sécurité et non d’insécurité.

Or, comme nous le montrons avec mes collègues Sterre van Buuren et Benoît Pelopidas, il existe plusieurs scénarios futurs plausibles dans lesquels posséder des armes nucléaires engendrera plus de coûts réels que de bénéfices potentiels dans un monde où la température aura augmenté de plusieurs degrés. Maintenir un arsenal crédible et sûr exigera de faire des choix budgétaires, au détriment d’autres dépenses rendues urgentes par la crise climatique. L’univers des risques existentiels pour un Etat, qui pourrait justifier l’usage de l’arme nucléaire, peut aussi s’élargir. Des experts s’inquiètent que des risques de pénurie d’eau au Pakistan et en Inde ne deviennent un terrain fertile pour un conflit menant à une escalade nucléaire.L’univers des risques existentiels pour un État, qui pourrait justifier l’usage de l’arme nucléaire, peut aussi s’élargir. Des experts s’inquiètent que des risques de pénurie d’eau au Pakistan et en Inde ne deviennent un terrain fertile pour un conflit menant à une escalade nucléaire.

Mais il existe un autre pari, bien plus implicite : celui que les arsenaux nucléaires, qui sont des systèmes technologiques complexes et hautement digitalisées, ne possèdent aucune vulnérabilité cyber qui pourrait être exploitée par un acteur souhaitant empêcher son fonctionnement normal.

La récente percée de l’intelligence artificielle Mythos révèle à quel point les conditions de ce pari peuvent changer sur le long terme.

Mythos et l’avenir de la cybersécurité

Le 7 avril 2026, la compagnie Anthropic – qui commercialise la série de grands modèles de langages (LLM) Claude – annonçait la création de son nouveau modèle d’intelligence artificielle (IA) : « Mythos ». Ce modèle, qui n’a pas été mis sur le marché mais rendu disponible à un groupe de travail restreint composé d’une douzaine des principaux géants américains de la technologie (Google, Microsoft, Apple, NVidia, Amazon Web Services, etc.), obtiendrait un taux de succès sans précédent en matière de détection des failles dans les systèmes informatiques.

Mythos aurait ainsi été capable de détecter, avec un impressionnant taux de succès, des failles « zero-day » dans différents navigateurs informatiques, logiciels ou systèmes d’exploitation. Une faille « zero-day » est une faille de sécurité critique dans un système d’information, contre laquelle aucune protection n’existe pour l’instant, rendant ainsi possible une attaque laissant un délai de « zéro jour » pour réagir. Selon Anthropic, Mythos aurait réussi à développer en un temps record (sans doute moins d’une journée) des méthodes permettant d’exploiter ces failles avec un taux de succès de 72,4 %, largement supérieur aux autres modèles existants.

Si ces informations proviennent de la compagnie elle-même – qui a tout intérêt à exagérer les résultats –, certaines preuves publiques ont toutefois été apportées. Sylvestre Ledru, le directeur de l’ingénierie chez Mozilla responsable du navigateur Firefox, a déclaré que Mythos avait permis de découvrir un nombre « proprement hallucinant » de vulnérabilités dans leurs logiciels. Une faille de sécurité vieille de près de vingt-sept ans, ayant survécu à un grand nombre d’audits, a par exemple été découverte dans un système d’exploitation libre très utilisé par des services de sécurité informatique, OpenDSB.

Mythos révèle un problème de fond : l’augmentation des capacités offensives – non seulement des États, mais aussi d’acteurs privés comme des cybercriminels – dans le cyberspace risque d’être accélérée par le développement de l’IA, et une incertitude émerge quant à la capacité des acteurs défensifs à réagir suffisamment vite pour corriger les vulnérabilités existantes.

Même dans le cas où Mythos ne serait pas à la hauteur des performances annoncées, le développement des LLM depuis le début des années 2020 a montré à quel point leurs performances s’améliorent vite. Nous faisons donc face à une accélération du développement des capacités offensives et de la diffusion de celles-ci à un nombre d’acteurs plus large. Cela signifie une potentielle tendance à la hausse de la probabilité de succès d’une cyberattaque, ainsi qu’une augmentation du nombre absolu de ces attaques.

La vulnérabilité des arsenaux nucléaires

Pour comprendre la vulnérabilité des armes nucléaires aux cyberattaques, il faut avoir à l’esprit le fait que par « arsenal nucléaire », on entend bien plus qu’un stock de têtes nucléaires. Le fonctionnement normal des arsenaux nucléaires modernes repose sur une large configuration de technologies : têtes nucléaires, missiles permettant de transporter ces armes, technologies de communication (permettant d’assurer que l’ordre soit transmis depuis le président jusqu’à l’opérateur chargé d’actionner ces armes), ainsi qu’un ensemble de technologies d’alerte avancée servant à surveiller le ciel à la recherche de potentiels signaux d’une attaque nucléaire adverse. Ces éléments doivent être capables de communiquer entre eux pour assurer le contrôle de ces armes.

Et ils sont plus nombreux qu’on pourrait le penser. Comme le note Herbert Lin, chercheur à l’Université de Stanford et auteur d’une étude sur les cybermenaces contre les armes nucléaires, la métaphore du « bouton nucléaire » est simplifiée : une fois que le président appuie dessus, un ensemble de « cyber-boutons » doivent être pressés pour déclencher les opérations nucléaires, et les contrôler – autant d’échelons où des attaques informatiques pourraient s’insérer pour empêcher, par exemple, l’arrivée de l’information pertinente.

Le président pourrait ne pas recevoir suffisamment d’informations – ou ne pas en recevoir du tout – pour déterminer qu’une attaque est en cours. Ou alors, il pourrait ne pas être en mesure de communiquer à ses forces sous-marines l’ordre de tir. Pis, on pourrait voir se réaliser le scénario catastrophe imaginé depuis les années 1950 : un faux ordre de tir pourrait être communiqué aux opérateurs de missiles.

Les scénarios n’ont pas besoin d’être aussi radicaux : l’ordre pourrait être communiqué, mais avec un retard, ou ne pas être communiqué à l’ensemble des forces, menant à une riposte moindre que celle désirée. Ladite riposte pourrait être bloquée : en 2010, un centre de commandement américain a perdu la communication avec une cinquantaine de missiles nucléaires pendant près d’une heure. Un adversaire pourrait savoir tirer profit de telles failles.

Alternativement, une cyberattaque d’ampleur menée par des acteurs non étatiques pourrait créer l’impression qu’un adversaire cherche à s’en prendre à notre arsenal nucléaire, créant un risque d’escalade par « inadvertance ».

On peut aussi imaginer des actions cyber contre les armes elles-mêmes, le hardware plutôt que le software de l’arsenal. Bien sûr, les acteurs de la sécurité nucléaire ne se contentent pas d’attendre qu’une attaque survienne sur l’un de ces systèmes. Ils développent et testent leurs capacités défensives de manière continue. Le problème est que la complexité des systèmes existants ne permet pas d’affirmer avec certitude qu’il n’existe « aucune vulnérabilité ».

C’est James Gosler, ancien responsable de la sécurité informatique des systèmes nucléaires américains au sein du laboratoire Sandia, qui l’affirme : à partir des années 1980, du fait de la complexification exponentielle des composants internes aux armes nucléaires, « vous ne pouvez désormais plus affirmer que l’ensemble des microcontrôleurs (destinés à assurer le fonctionnement du mécanisme déclenchant l’explosion) sont invulnérables ».

Cela ne signifie pas non plus que des vulnérabilités existent nécessairement. Mais cela veut dire qu’aucun acteur n’est en mesure de savoir s’il y en a. Alors, faut-il craindre que l’arsenal nucléaire français, ou bien n’importe quel autre arsenal ciblant la France, soit « hacké » dans le futur ?

En fait, on ne sait pas. Des scénarios de ce type sont de l’ordre du possible : il n’existe pas de large système d’information complexe dont on puisse garantir, avec une totale certitude, la fiabilité totale. L’évolution des outils permettant des cyberattaques, et leur potentielle diffusion auprès d’un large nombre d’acteurs étatiques et non étatiques, rend ce type de scénario futur potentiellement plus probable et, dans tous les cas, plausible.

Un nouveau pari sur le futur

Mythos met en lumière une nouvelle modalité du pari nucléaire, née du développement des nouvelles technologies et de leur intégration aux arsenaux nucléaires.

Nous parions d’abord sur l’absence de vulnérabilité au sein de ces systèmes – alors même qu’il est impossible de mesurer cette probabilité avec certitude. Elle évolue avec le temps, au rythme des systèmes mis à jour, remplacés, connectés à d’autres. Si une vulnérabilité existe malgré tout, nous parions ensuite sur le fait que, en temps voulu, l’évolution des capacités offensives dans le cyberespace sera constamment égalée, et toujours à temps, par l’évolution des capacités défensives – y compris à l’ère de l’intelligence artificielle. Là encore, cette probabilité est elle aussi indéterminable, puisque le développement de capacités défensives est réactif : il se fait en fonction de la connaissance que l’on a de la nature des capacités offensives et des vulnérabilités existantes, qui sont indéterminables. On fait donc le pari que nos défenses, et celle des autres États dotés d’armes nucléaires, suffiront.

Nous faisons donc le pari que nos défenses contre les cyberattaques, et celle des autres États dotés d’armes nucléaires, seront suffisantes. Dans le cas contraire, alors on fait le pari que la chance sera de notre côté et que les vulnérabilités existantes ne seront pas détectées – comme celle qui existait depuis 27 ans dans le code d’OpenDSB. Il s’agit d’un pari sur la chance puisque dans ce scénario, c’est l’incapacité ou l’absence de volonté adverse, sur laquelle nous n’avons aucun contrôle, à développer des capacités efficaces qui nous sauve.

La capacité des pratiques existantes de contrôle à remplir leur tâche est rendue plus incertaine par l’arrivée de grands modèles d’IA capables de détecter des vulnérabilités et concevoir des cyberattaques de façon massive et automatisée. Faire le choix d’une politique de sécurité fondée sur les armes nucléaires revient à parier sur le fait que, dans le futur comme par le passé, la chance restera toujours de notre côté.

Ce travail a été financé par le Conseil Européen de la Recherche (ERC) au titre du programme-cadre de l’Union européenne pour la recherche et l’innovation Horizon Recherche (projet RITUAL DETERRENCE, convention de subvention n°101043468).

– ref. Hacker la bombe ? Ce que l’IA Mythos révèle du pari de la dissuasion nucléaire – https://theconversation.com/hacker-la-bombe-ce-que-lia-mythos-revele-du-pari-de-la-dissuasion-nucleaire-281557

Source: The Conversation – in French – By Bamba Gaye, MD, MPH, MSc, PhD, Executive Director, Alliance for Medical Research in Africa (AMedRA) | Adjunct Professor at Biomedical Informatics, Emory School of Medicine in Atlanta, Georgia, USA |, Université Cheikh Anta Diop de Dakar

La médecine moderne se targue d’être une science universelle, fondée sur les données issues des essais cliniques.

Mais il existe un biais dans la recherche médicale. Alors que l’Afrique représente environ 25 % de la charge de morbidité du monde et 19 % de la population mondiale. Pourtant, sa population est largement absente des essais cliniques.

L’ampleur de cette exclusion est révélée par une étude phare portant sur 2 472 essais contrôlés randomisés publiés dans le monde entier entre 2019 et 2024.

J’ai dirigé cette équipe de chercheurs, qui a passé au crible les publications médicales les plus influentes dans le monde monde afin de quantifier la représentation africaine. Parmi celles-ci figuraient le New England Journal of Medicine, The Lancet, le Journal of the American Medical Association, Nature Medicine et le British Medical Journal. L’étude portait également sur trois revues de référence en cardiologie : Circulation, l’European Heart Journal et le Journal of the American College of Cardiology.

Je suis médecin-chercheur et je travaille à la croisée de l’épidémiologie cardiométabolique et de la science des données biomédicales. Je me consacre également aux études de population à grande échelle en Afrique et à la prévention cardiovasculaire fondée sur les données.

Les essais cliniques randomisés constituent la pierre angulaire de la médecine factuelle. Introduits au milieu du XXe siècle, ils évaluent rigoureusement la sécurité et l’efficacité des traitements en répartissant aléatoirement les participants dans différents groupes. Cette méthode vise à minimiser les biais. De tels essais ont joué un rôle central dans les avancées médicales majeures, des thérapies cardiovasculaires aux vaccins. Ils continuent de guider les décisions cliniques et le développement de nouveaux traitements à travers le monde.

Read more:
Accords sanitaires Afrique–États-Unis : les alertes d’un virologue

Ce que nous avons découvert

Nos résultats révèlent un profond déséquilibre dans le paysage mondial de la recherche clinique. Parmi les cinq revues médicales les plus prestigieuses dans le monde, seuls 3,9 % des essais ont été menés exclusivement en Afrique. En matière de santé cardiovasculaire, ces chiffres tombent à un niveau statistiquement insignifiant. Parmi les essais majeurs publiés dans les principales revues de cardiologie, seules deux études (0,6 %) ont été menées uniquement sur le sol africain.

C’est un problème de fiabilité scientifique. Lorsque les essais cliniques excluent les populations africaines, ils produisent des données qui manquent de « validité externe ». Cela fait référence à la capacité des résultats d’une étude à être généralisés au-delà des participants. La question est de savoir si les conclusions d’un essai clinique resteront valables lorsqu’elles seront appliquées à des populations, des contextes ou des conditions réelles différents.

Sans cette validité, les médecins appliquent des résultats incertains à des millions de patients chaque jour.

La médecine moderne ne peut prétendre être universelle si des populations entières restent invisibles dans la base de données probantes. La biologie, les systèmes de santé et les schémas épidémiologiques ne sont pas identiques partout dans le monde.

Read more:
Protocole d’accord avec les États-Unis : le Sénégal teste un nouveau modèle de financement de la santé

Le fossé et son importance

De nombreux traitements utilisés sur le continent reposent sur des données générées auprès de populations non africaines, ce qui soulève des inquiétudes quant à leur applicabilité.

De plus, la plupart des essais menés en Afrique se concentrent encore sur les maladies infectieuses, malgré le fardeau croissant des maladies non transmissibles telles que les maladies cardiovasculaires.

De nouvelles données montrent que la génétique, l’environnement et l’alimentation peuvent modifier radicalement la façon dont un organisme réagit à un médicament. Il n’est donc pas logique, d’un point de vue médical, qu’un continent entier soit exclu du réseau des essais cliniques.

Il existe également des preuves montrant que certains traitements présentent des profils de sécurité différents chez les patients noirs. Le diabète et la goutte n’en sont que deux exemples. Il en va de même pour certains médicaments courants contre l’hypertension, tels que les inhibiteurs de l’enzyme de conversion de l’angiotensine (ECA). Des recherches montrent qu’ils présentent un risque trois à quatre fois plus élevé d’effets secondaires graves et potentiellement mortels chez les personnes d’origine africaine par rapport aux autres populations.

Lorsque les essais cliniques excluent certaines populations, les médecins sont contraints d’extrapoler les résultats obtenus sur une population et de les appliquer à une autre.

L’étude met également en évidence un décalage dangereux entre le financement mondial de la recherche et l’évolution de la réalité sanitaire en Afrique. Les nouvelles données montrent que près de 76 % des essais menés exclusivement en Afrique portaient sur des maladies infectieuses. Or, le continent connaît actuellement une transformation épidémiologique majeure. Les maladies non transmissibles – maladies cardiaques, accidents vasculaires cérébraux et diabète – représentent désormais environ 38 % de tous les décès dans de nombreux pays africains.

La classe moyenne en Afrique a triplé pour atteindre 300 millions de personnes, contre environ 100 millions au début des années 2000. De plus en plus de personnes vivent désormais suffisamment longtemps avec des modes de vie qui augmentent le risque de maladies chroniques telles que les maladies cardiaques, le diabète et l’hypertension. Par conséquent, il existe un besoin et un marché croissants pour des traitements à long terme permettant de prendre en charge ces maladies, plutôt que pour des thérapies à court terme contre les infections. Pourtant, les essais cardiovasculaires continuent d’être découragés.

Même au sein du continent, les données révèlent de véritables zones d’ombre en matière d’information. L’Afrique du Sud représente plus de 62 % de tous les essais menés sur le continent. L’Afrique centrale, une région qui compte plus de 180 millions d’habitants, était pratiquement absente des registres mondiaux de la recherche. Elle a contribué à moins de 3 % de la production limitée d’essais cliniques du continent.

Parmi les raisons possibles, on peut citer les décennies d’investissements cumulés de l’Afrique du Sud, qui se traduisent par des pôles universitaires plus solides, une meilleure gouvernance de la recherche, des unités d’essais expérimentées et des relations plus établies avec les promoteurs. D’autres régions sont confrontées à des obstacles tels que des institutions de recherche disposant de moins de ressources, un accès plus limité aux plateformes d’essais cliniques, et parfois des problèmes linguistiques et de publication qui peuvent réduire leur visibilité dans les revues de premier plan.

Cette inégalité s’étend à la hiérarchie scientifique elle-même. Même lorsque des sites africains sont inclus dans de grands essais cliniques multiconinentaux, ils sont souvent relégués au rôle de « centres de recrutement » plutôt qu’à celui de partenaires scientifiques.

Notre étude a révélé que les scientifiques africains ne dirigeaient que 3,6 % des essais sur plusieurs continents incluant un site africain.

Read more:
L’Afrique perd ses professionnels de santé au pire moment : les racines coloniales d’une crise

Vers une nouvelle ère pour la science africaine

L’Afrique ne devrait pas se contenter d’être un simple lieu où l’on mène des études.

Elle doit être un lieu où la recherche est conçue, dirigée et interprétée. Le modèle actuel crée un cycle de dépendance vis-à-vis de l’extérieur, dans lequel les institutions internationales gèrent le financement et les données. Cela rend les systèmes de recherche locaux fragiles et incapables de traduire les données probantes en politiques nationales.

Il est nécessaire de mettre en place un financement « réservé » pour la recherche dirigée par des Africains, de développer des réseaux régionaux d’essais cliniques et d’imposer aux revues médicales de rendre compte de la diversité des populations participant aux essais.

Des signes indiquent une dynamique croissante. Des organisations telles que l’Alliance pour la recherche médicale en Afrique s’efforcent de former une nouvelle génération de chercheurs africains. L’Afrique doit créer un écosystème de recherche trop important pour que la communauté internationale puisse l’ignorer.

Bamba Gaye, MD, MPH, MSc, PhD does not work for, consult, own shares in or receive funding from any company or organisation that would benefit from this article, and has disclosed no relevant affiliations beyond their academic appointment.

– ref. Biais de la recherche médicale : l’Afrique absente des essais cliniques – https://theconversation.com/biais-de-la-recherche-medicale-lafrique-absente-des-essais-cliniques-282184

Source: The Conversation – France in French (2) – By Christine Abdalla Mikhaeil, Assistant professor in information systems, IÉSEG School of Management

L’entreprise états-unienne Anthropic, spécialisée en intelligence artificielle générative, a pris début avril la décision de geler la diffusion publique de l’un de ses modèles récents, baptisé « Mythos ».

Selon un communiqué de la société, cette décision découle d’une puissance de calcul et d’une capacité de raisonnement jugées trop « offensives ». Anthropic a choisi de ne partager son modèle qu’avec une coalition de géants technologiques (Apple, Amazon Web Services, Cisco, Google, Microsoft, etc.) dans le cadre du projet Glasswing. Le but annoncé est d’utiliser Claude Mythos Preview pour détecter des vulnérabilités dites « zero-day » (c’est-à-dire inconnues et n’ayant aucun correctif connu) et sécuriser proactivement les logiciels critiques… avant que des acteurs malveillants n’exploitent ces failles.

Les grands modèles de langage savent déjà coder depuis quelques années, mais la presse spécialisée documente désormais un saut plus préoccupant. Des systèmes d’intelligence artificielle (IA) peuvent identifier des vulnérabilités réelles dans des logiciels critiques. Les autorités, comme l’Agence nationale de la sécurité des systèmes d’information (Anssi), soulignent la capacité des systèmes d’IA à automatiser les attaques.

Les enjeux de la diffusion massive de tels modèles, Mythos compris, dépassent largement le cadre technique. Une cyberattaque d’envergure, automatisée par une IA, pourrait paralyser des systèmes financiers ou logistiques en quelques secondes, avec un coût de remédiation se chiffrant en milliards d’euros. Les enjeux sont aussi sociétaux et de santé, puisque nos hôpitaux, nos réseaux énergétiques et les autres systèmes critiques reposent sur des couches logicielles souvent anciennes, vulnérables à des « attaques de zero-day » désormais générées à la chaîne.

Dans ce contexte, des IA ultraperformantes, comme Mythos, peuvent-elles contribuer à une forme de « dissuasion algorithmique » ? Celle-ci repose sur un principe simple : détecter et neutraliser ses propres vulnérabilités critiques plus vite que n’importe quel attaquant humain ou automatisé – y compris lors d’une attaque – si rapidement que l’attaque en devient inutile ou trop coûteuse.

La rétention de ce modèle par une ou des entreprises privées états-uniennes rouvre également la question de la souveraineté numérique à l’échelle mondiale.

Les systèmes d’IA facilitent les cyberattaques

Historiquement, la cybersécurité repose sur une asymétrie fondamentale : l’attaquant n’a besoin de trouver qu’une seule faille de sécurité, tandis que le défenseur doit toutes les combler dans une forme de course contre la montre.

L’intégration de systèmes d’IA renforce les capacités des attaquants, en premier lieu parce qu’un modèle comme Mythos peut scanner des millions de lignes de code en quelques minutes, là où un humain passait des semaines à analyser le code source d’un logiciel pour y déceler une erreur de mémoire. C’est ce que l’on appelle l’« automatisation de la reconnaissance ».

De plus, l’IA permet le phishing de haute précision, c’est-à-dire des messages frauduleux (le phishing classique) mais plus crédibles, sans fautes d’orthographe, dans n’importe quelle langue et ultrapersonnalisés pour tromper l’utilisateur. L’Anssi alerte d’ailleurs sur l’usage de l’IA générative pour briser les barrières linguistiques et psychologiques traditionnelles qui rend les « pare-feux humains » – c’est-à-dire la vigilance et l’esprit critique des lecteurs – de plus en plus obsolètes.

Enfin, des malwares peuvent désormais réécrire leur propre code en temps réel pour échapper à la détection « par signature ». Cette méthode classique des antivirus consiste à identifier un virus par son « empreinte » (un code déjà connu et répertorié). En changeant constamment de forme (exploitation polymorphe), le malware devient invisible pour ces outils traditionnels.

L’IA pour la cyberdéfense

En miroir, l’IA améliore aussi les capacités de cyberdéfense, grâce à des analyses causales, qui permettent de modéliser les relations entre événements, ainsi qu’en accélérant l’identification d’anomalies par une surveillance automatisée et la priorisation de leurs corrections. Ainsi, un système d’analyse IA a permis en janvier de découvrir 12 failles de sécurité dans OpenSSL, un logiciel essentiel à la protection des communications internet mondiales.

Mythos semble également déjà participer à cette automatisation, et Firefox affirme déjà avoir identifié et réparé 271 vulnérabilités grâce à ce logiciel, ce qui suggère que Mythos excelle effectivement dans la détection de vulnérabilités lorsqu’il a accès au code source.

En revanche, rien ne prouve pour l’instant que Mythos puisse, sans accès au code source et sans intervention humaine, compromettre de manière autonome n’importe quel logiciel fermé.

De plus, des analyses suggèrent que des capacités comparables seraient déjà reproductibles à partir de modèles publics, remettant en cause l’efficacité de cette rétention. Ainsi, Mythos ressemble aujourd’hui davantage à un analyste de sécurité surpuissant, capable d’identifier des failles et de proposer des pistes d’exploitation, qu’à une entité autonome de cyberattaque universelle.

Ce qui inquiète vraiment, ce n’est pas seulement que Mythos sache mieux coder ou mieux tester du code : c’est qu’il semble abaisser le coût, le temps et le niveau d’expertise nécessaires pour découvrir et enchaîner des failles, donc potentiellement accélérer aussi bien la défense que l’attaque.

Vers un nouvel équilibre de la « dissuasion algorithmique » ?

Dans ce contexte, la notion de « dissuasion algorithmique » (algorithmic deterrence en anglais) émerge. Elle peut être comprise par analogie avec la dissuasion nucléaire : il ne s’agirait plus seulement de se protéger, mais de posséder une capacité de réponse et de détection si rapide que l’attaque en devient inutile ou trop coûteuse.

Contrairement au domaine nucléaire, la dissuasion algorithmique repose sur le renforcement des mécanismes défensifs (plutôt que de réponse) : détection accélérée des intrusions, analyse des causes et simulation d’attaques pour boucher les failles avant qu’elles ne soient exploitées.

Avant l’ère de l’IA, la dissuasion algorithmique était plus limitée : les équipes de sécurité réalisaient des tests d’intrusion, une méthode d’évaluation de la sécurité qui repose sur la simulation de cyberattaques, pour identifier les ports ouverts et failles connues, pour enclencher leur correction.

Aujourd’hui, on l’a vu, l’IA peut renforcer les mécanismes défensifs et donc la dissuasion. Mais, dans le meilleur des cas, une IA de défense permet de réduire le coût de la protection et d’augmenter la probabilité qu’un attaquant soit repéré ou neutralisé avant d’atteindre son objectif.

La dissuasion algorithmique reste donc fragile. Même à l’ère de l’IA, elle dépend beaucoup des pratiques des acteurs opérationnels (agences de cybersécurité, armées, entreprises), de la qualité et de la modernité des systèmes hérités qu’ils doivent protéger et intégrer, des stratégies nationales et militaires mises en œuvre par les États ainsi que des dispositifs de gouvernance qui définissent les règles, les responsabilités et les mécanismes de contrôle de l’IA.

Le dilemme de la rétention d’outils de dissuasion : sécurité contre transparence

Ne pas rendre disponibles au grand public certains modèles peut sembler responsable, car cela évite de publier des capacités offensives qui seraient immédiatement détournées. Mais cette rétention concentre le pouvoir technologique entre quelques mains et réduit la transparence scientifique.

Le débat rejoint ici celui du cadre l’AI Act européen, qui impose déjà des obligations de transparence, de traçabilité et de documentation pour les modèles d’IA d’usage général, tout en cherchant à concilier innovation, sécurité et protection des secrets industriels.

L’opacité des modèles d’IA limite leur auditabilité, entrave le développement de contre-mesures appropriées et concentre le pouvoir technique entre quelques acteurs principalement américains, au détriment de la recherche ouverte et de la gouvernance démocratique. Cette critique s’inscrit dans une littérature académique plus large montrant que l’opacité des systèmes d’intelligence artificielle compromet leur reproductibilité, leur auditabilité et, in fine, leur valeur scientifique.

Christine Abdalla Mikhaeil est membre de Association for Information Systems (AIS). Elle a reçu des financements de l’Institut Bachelier et du LEM CNRS UMR 9221.

– ref. Dissuasion algorithmique, rétention : l’IA fait-elle passer la cybersécurité à une nouvelle ère ? – https://theconversation.com/dissuasion-algorithmique-retention-lia-fait-elle-passer-la-cybersecurite-a-une-nouvelle-ere-282192