Claude Mythos, le modèle qu’Anthropic voulait garder hors de portée, est tombé entre les mains d’un groupe de mystérieux internautes. Depuis le jour de l’annonce, ils se servent de l’IA générative à l’insu d’Anthropic. La start-up avait tout prévu pour protéger Claude Mythos, mais ses précautions n’ont pas suffi à éviter une nouvelle fuite.
La semaine dernière, Anthropic a levé le voile sur Claude Mythos, un puissant modèle d’IA taillé pour débusquer des failles de sécurité dans du code informatique. La start-up américaine s’est vite rendue compte que son modèle était aussi capable de concevoir des méthodes permettant d’exploiter les vulnérabilités découvertes. Ces aptitudes offensives sont apparues naturellement, à mesure que le modèle gagnait en maîtrise de la programmation, du raisonnement logique et de l’autonomie. Lors d’un test interne, il aurait même réussi à sortir de son environnement de test, à contacter un chercheur parti déjeuner et à publier les détails de son exploit sur des sites publics pour prouver ce dont il est capable.
Redoutant que des individus malveillants ne se servent de Mythos pour lancer des cyberattaques, Anthropic a décidé de restreindre l’accès au modèle. Celui-ci n’a pas été mis à disposition du grand public. La société a préféré réserver l’intelligence artificielle à des partenaires triés sur le volet, dans le cadre du « Project Glasswing ». Des entreprises comme Amazon, Apple, Broadcom, Cisco, CrowdStrike, Google, Linux Foundation, Microsoft, et NVIDIA pourront se servir de Mythos. Anthropic recommande à ses partenaires d’utiliser la nouvelle version de Claude pour colmater toutes les failles dans leurs outils.
À lire aussi : Inspiré par Anthropic, OpenAI lance son ChatGPT dédié à la cybersécurité
Comment des utilisateurs ont pu accéder à Claude Mythos ?
Malheureusement, il s’avère que de mystérieux individus sont parvenus à contourner les restrictions d’Anthropic pour accéder à Claude Mythos. Comme le rapporte Bloomberg, ce groupe a infiltré le système d’Anthropic le 7 avril dernier, le jour même de l’annonce. Citant une source interne et des captures d’écran à l’appui, le média affirme que les intrus proviennent d’un serveur Discord dédié à la traque des modèles d’IA inédits. Ils se servent notamment de bots pour collecter des informations sur Anthropic ou d’autres géants de l’IA, notamment sur des sites comme
Pour arriver à leurs fins, ils ont d’abord tout fait pour deviner l’adresse en ligne où Mythos était hébergé. Ils se sont basés sur le format utilisé par Anthropic pour ses autres modèles, et ont réussi, de fil en aiguille, à localiser l’IA. Ensuite, ils ont exploité les droits d’accès d’un membre du groupe, employé chez un sous-traitant tiers travaillant pour Anthropic. L’intrusion repose donc surtout sur une attaque de la chaîne d’approvisionnement, qui consiste à percer les défenses du maillon le plus faible.
Selon les informations partagées par le média, les intrus se sont aussi servis des informations qui ont découlé de la fuite de données d’un autre prestataire employé par Anthropic, Mercor. Cette startup spécialisée dans la formation de modèles d’IA collabore avec plusieurs grands laboratoires.
À lire aussi : Une « cyberattaque à grande échelle » reposant sur l’IA a été déjouée par Anthropic
Pas d’intention malveillante
En réaction aux révélations préoccupantes du média, Anthropic n’a pas tardé à réagir. Le géant de l’intelligence artificielle indique qu’une enquête a été ouverte au sujet « d’un accès non autorisé à Claude Mythos Preview via l’un de nos environnements de fournisseurs tiers ». L’entreprise n’a aucune preuve que l’accès frauduleux se soit étendu en dehors du système de son prestataire.
La source interrogée par Bloomberg affirme que le groupe cherchait simplement à « jouer avec de nouveaux modèles », sans intention malveillante. Les intrus auraient d’ailleurs utilisé Mythos pendant plusieurs jours, sans jamais lancer la moindre cyberattaque. Le groupe dispose également d’un accès à des tas d’autres modèles d’IA d’Anthropic, encore non dévoilés.
Tout porte à croire que Mythos n’est pas tombé entre les mains de cybercriminels… pour le moment. Si ces internautes sont parvenus à contourner les défenses d’Anthropic, des pirates pourraient en faire de même. En fait, des pirates ont peut-être déjà pu exploiter Mythos sans qu’Anthropic s’en rende compte.
Fuites à répétition chez Anthropic
On se souviendra d’ailleurs qu’Anthropic a été victime d’une myriade de fuites de données ces derniers mois. Suite à des erreurs ou des négligences, le code source complet de Claude a été mis en ligne, de même que des informations confidentielles sur les futurs projets d’Anthropic. Avant sa sortie, l’existence de Claude Mythos avait d’ailleurs été largement éventée.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source :
Bloomberg