Mythos, le mytho de la cybersécurité ?

À vaincre sans péril, on triomphe sans gloire. Et sans difficultés. L'Internet et l'Informatique n'ont pas été construits pour générer de la sécurité. Quel vrai niveau d'exploits pour Mythos ?

De multiples exploits jusqu'à l'interdiction d'exportation 

10 000 failles découvertes par-ci, des Zero Days par-là, des brèches fondamentales à la pelle ! En veux-tu, en voilà, nous sommes submergés par des annonces, toutes plus spectaculaires les unes que les autres, de l’insolente puissance du dernier outil de cybersécurité d’Anthropic, Mythos 5. Et pour couronner le tout, cette IA serait tellement puissante qu’elle doit être, en toute urgence, pour des raisons de souveraineté numérique des États-Unis, interdite à l’exportation.

Quelles vraies performances ?

Certes, Mythos a non seulement réalisé de véritables découvertes, mais aussi de réelles performances. Mais sont-elles tellement étonnantes que cela ? Tout le monde se souvient des histoires ou des dessins animés du grand méchant loup bien costaud qui souffle d’un seul coup, par la seule force de ses poumons, la pauvre petite maison en paille du premier cochon des trois. Et que diriez-vous si un combattant champion du monde de MMA allait affronter des enfants dans une école maternelle ? Vous seriez persuadés, outre l’action d’avoir prévenu la Police, que le combat serait injuste, immoral, ignoble et perdu par les enfants. Et qu’il n’y aurait pas là de véritables exploits de la part du guerrier. La bataille est trop aisée, un possible affrontement amènerait à un résultat inéluctable, et connu déjà à l’avance, un massacre des Innocents.

Il en est de même avec Mythos. En matière de cybersécurité, l’Internet n’est pas un gruyère ; car le véritable gruyère suisse n’a pas de trou ; c’est un emmental constitué à 99,99 % de creux. Ce n’est pas qu’un constat, c’est une vérité profonde. Et pour quelles raisons ? Il est facile, plus de 40 ans après l’invention du Web et 80 ans après celle de l’Informatique, d’oublier les origines qui ont fondé notre réalité d’aujourd’hui. L’Informatique et l’Internet ont été créés par des Gentlemen et des Ladies. Indubitablement, et malheureusement, pas assez de Ladies. Néanmoins, les mentalités étaient là. Tricher, mentir, voler, attaquer, détourner, trafiquer, tout ceci était non seulement des mots qui n’existaient pas dans leur vocabulaire, mais dans leurs concepts et mentalités. Pour ces pionnières et découvreurs, aucune mauvaise action ne pouvait être réalisée par les utilisateurs de ces outils. L’informatique, au sens global, devait être la plus partagée possible, ouverte à tout le monde, afin d’explorer et d’optimiser les maigres performances des ressources disponibles à l’époque. Les résultantes de cet état d’esprit et mentalité sont doubles. Rien, ou quasiment, n’est prévu pour la protection. Et presque tout est ouvert par principe. L’Informatique et l’Internet sont l’équivalent du cochon de la maison de paille et des enfants de maternelle.

La mentalité de partage des pionniers & pionnières

Cette chronique n’a pas pour but de retracer leurs historiques, mais rappelons-nous que dès l’apparition de véritables réseaux et leurs protocoles, les chercheuses et développeurs ont voulu ouvrir à tout va (4,2 BSD) les liaisons entre machines. Que penseriez-vous de la défense d’un château qui a 65 636 portes qui n’ont pas de serrures, qui sont grandes ouvertes à l’air libre par défaut, et qui n’a aucun gardien pour surveiller le tout ? C’est symboliquement (via les services utilisant le protocole TCP, et on double en rajoutant UDP) la situation dans laquelle on se trouve en Informatique de Réseaux. Mais pour quelles raisons fondamentales ? L’Informatique, d’une manière globale, nous amène dans le virtuel. Qui est une nouvelle dimension. Infinie. Tout peut arriver. Et lorsque des interdictions ne sont pas spécifiquement codées, articulées, vérifiées, authentifiées. Il y a une infinité de possibilités de détourner, en quelque sorte, l’usage du code créé.

C’est pour cette vérité que l’on se retrouve à découvrir des trous béants, des failles fondamentales de sécurité pour tous les systèmes d’exploitation, Microsoft, MacOs, Linux et même BSD, ainsi que de multiples failles dans des logiciels, applications et protocoles réseaux. Si une interdiction n’est pas spécifiquement codée, tout est accessible. Et possible. C’est pour cette raison que la force brute d’Anthropic, alliée à la connaissance de brèches et la possibilité de créer des variantes sur ces dernières, amènent inéluctablement à découvrir les absences de protection. Et comment les contourner. Et en profiter.

 Anthropic & les 3 Corps

Mais est-ce une preuve fondamentale que l’on doit faire confiance aux outils d’Anthropic pour découvrir les futurs trous de sécurité ? Que se passerait-il si le champion de MMA affrontait un autre champion de MMA, lui aussi formé à se défendre ? Voir à attaquer. Si le combat était réellement difficile, qu’en serait-il des véritables possibilités de Mythos ? Car pour l’instant, c’est du cousu main, il n’y a aucune difficulté, il n’y a qu’à se baisser pour récolter les fruits des absences de surveillances.

Or, on connaît maintenant, si ce n’est les livres, du moins la série, " Le problème à trois corps ". Sur un plan astronomique, elle représente la difficulté à calculer, à deviner, à identifier des trajectoires d’étoiles dès qu’il y a trois de ces corps célestes. Il y a là une difficulté quasi insurmontable. Mythos ne s’est jamais confronté à ces types de difficultés. Illustrons-la de manière concrète. Dans ce cas-là, que ferait vraiment l’outil Mythos ? Qu’en serait-il s’il devait affronter un Système d’Exploitation qui n’était pas documenté et qui, en plus, serait chiffré ? Qu’en serait-il si ce système d’Exploitation générait des formats de données qui ne seraient toujours pas connus de manière publique et qui seraient également obscurcis ? Avec des clés de chiffrement qui varieraient dans le temps ? Et qu’en serait-il si ces données étaient échangées entre machines par des protocoles réseau qui seraient aussi non documentés et chiffrés ?

Poser la question, c’est déjà reconnaître son existence et son impact. Les vendeurs d’IA veulent non seulement nous vendre leurs outils, mais leurs certitudes. Qui sont en réalité des croyances. Qui dit et qui peut prouver que les Systèmes d’Exploitation ne vont pas changer, que les formats de fichiers ne vont pas évoluer, que les protocoles réseaux ne vont pas se transformer, et même que les matériels, les supports physiques au sens large, qui vont permettre les échanges de données, ne vont pas aussi se renouveler ? Alors, ne nous laissons pas éblouir par des performances qui sont fondamentalement assez simples à reproduire. Certes, cela nécessite des compétences et du temps, Anthropic en a eu. Et de l’argent, elle en a. Mais passer par la fenêtre d’une maison non gardée et sans alarme, quand il n’y a pas d’huisserie et de vitres, ce n’est pas une véritable prouesse.

La paille et la poutre

D’autre part, en matière de cybersécurité et de défaillances, est-ce qu’Anthropic nous parle des gouffres béants de défaillance qui s’ouvrent sous les pieds de chaque pas de progression des IA ? À chaque jour qui passe, les menaces de manipulation et d’effondrement par les IA grandissent exponentiellement, alors qu’à l’inverse, celles des réseaux et des logiciels classiques, après un premier temps fort de pic, vont diminuer petit à petit. C’est un effet ciseau qui va survenir. Les défaillances de la pseudo-nouveauté, l’IA, seront bien supérieures en catastrophes aux oublis des gentlemen et ladies, qui eux, étaient de véritables constructeurs de l’informatique. Et ce n’est pas en cachant les risques ou à les réservant qu’à quelques sociétés (interdiction d’exportation) qu’on pourra les résoudre.

Savoir raison garder

Alors, gardons notre lucidité et préparons-nous à résoudre les causes, les racines des problèmes, des maladies, plutôt que de mettre des pansements. Et d’utiliser des thermomètres qui nous disent que, oui, le patient a chaud, mais la vraie problématique est comment le soigner pour éviter qu’il retombe mal portant ? Ça, c’est une autre question qui n’est pas abordée par Mythos et Anthropic.

Pour l’instant, ils sont champions du monde sur un terrain de jeu. Mais dans quelques années, celui-ci n’existera plus.