L’IA déclenche une nouvelle course aux armements en cybersécurité bancaire

En Australie, l’autorité de supervision bancaire APRA (Australian Prudential Regulation Authority) a également alerté le secteur financier. Selon le régulateur, des modèles inspirés de Claude Mythos pourraient donner aux attaquants des capacités que les banques ne sont pas encore prêtes à contrer . L’organisme a même suggéré que les banques puissent obtenir un accès contrôlé à ces technologies afin de tester leurs propres défenses.

Dans plusieurs juridictions, les autorités encouragent désormais :

• des tests d’intrusion et exercices « red team » assistés par IA
• une détection et correction beaucoup plus rapides des vulnérabilités
• une surveillance accrue des fournisseurs logiciels et des dépendances
• un renforcement de la gouvernance et du reporting cyber

L’objectif est clair : préparer les institutions financières à des menaces qui évoluent à la vitesse des machines plutôt qu’à celle des humains .

Claude Mythos : pourquoi ce modèle inquiète

Anthropic a présenté Claude Mythos Preview comme un système d’IA particulièrement performant dans le domaine de la cybersécurité. Selon des informations rapportées par plusieurs sources, le modèle serait capable d’identifier et d’exploiter des failles dans des systèmes d’exploitation et des navigateurs majeurs .

L’entreprise affirme que le modèle a détecté « des milliers de vulnérabilités critiques », y compris dans des plateformes logicielles largement utilisées .

Un exemple souvent cité concerne une faille dans le système d’exploitation OpenBSD qui serait restée indétectée pendant près de trois décennies avant d’être repérée par le modèle .

Ce qui inquiète les experts n’est pas seulement la découverte de failles, mais la vitesse à laquelle l’IA peut automatiser l’ensemble du processus d’attaque. Un modèle avancé pourrait théoriquement :

• analyser d’immenses bases de code
• repérer automatiquement des vulnérabilités
• générer du code d’exploitation
• combiner plusieurs failles pour créer une attaque complexe

Les banques sont particulièrement exposées, car beaucoup d’entre elles utilisent encore des architectures informatiques anciennes et fragmentées, où des vulnérabilités peuvent rester cachées pendant des années .

Il faut toutefois noter que plusieurs affirmations sur les capacités exactes de Mythos proviennent de reportages et d’analyses secondaires. Certaines performances restent donc difficiles à vérifier de manière indépendante .

Daybreak : la réponse défensive d’OpenAI

Face à ces nouveaux risques, les entreprises d’IA développent aussi des outils destinés aux défenseurs. L’un des plus récents est Daybreak, une initiative de cybersécurité présentée par OpenAI.

Le projet vise à aider les organisations à détecter et corriger les vulnérabilités avant que des attaquants ne les exploitent .

Daybreak combine les modèles d’IA d’OpenAI avec Codex Security, un système agentique capable d’analyser du code, d’identifier des faiblesses et de proposer des correctifs vérifiés.

L’idée est de déplacer la sécurité plus tôt dans le cycle de développement logiciel, plutôt que de réagir après une intrusion.

Les capacités mises en avant incluent notamment :

• détection automatisée de vulnérabilités dans les bases de code
• modélisation des menaces et analyse de risques
• génération et validation de correctifs
• vérification de dépendances et sécurité de la chaîne logicielle

OpenAI a également introduit des variantes spécialisées de ses modèles, comme GPT‑5.5‑Cyber, ainsi que des environnements d’accès restreint pour les chercheurs en sécurité et les équipes de défense réalisant des tests légitimes .

L’objectif est de réduire le délai critique entre la découverte d’une faille et son correctif, un facteur devenu essentiel à mesure que l’IA accélère le rythme des cyberattaques .

Une course technologique entre attaquants et défenseurs

La coexistence de technologies comme Claude Mythos et Daybreak montre à quel point la cybersécurité change de dimension.

L’IA peut accélérer à la fois l’attaque et la défense :

• les modèles offensifs peuvent découvrir des vulnérabilités à une échelle inédite
• les outils défensifs peuvent analyser du code, simuler des attaques et produire des correctifs beaucoup plus rapidement

Dans ce contexte, l’avantage pourrait dépendre de la capacité des organisations à automatiser leur sécurité aussi vite que les attaquants automatisent leurs offensives.

Ce que les banques et grandes entreprises doivent anticiper

Les régulateurs insistent désormais autant sur la gouvernance que sur la technologie elle‑même. Les institutions financières devront démontrer qu’elles savent utiliser l’IA tout en maîtrisant les risques qu’elle introduit.

Parmi les priorités évoquées dans les discussions réglementaires :

• gouvernance rigoureuse des systèmes d’IA
• contrôle strict de l’accès aux modèles cyber avancés
• pratiques de développement logiciel sécurisées
• tests de résilience face aux attaques assistées par IA
• coopération renforcée entre banques, régulateurs et experts en cybersécurité

Le paysage des menaces évolue rapidement. À terme, les organisations pourraient être confrontées à une exploration permanente de leurs systèmes par des IA, cherchant en continu la moindre faille exploitable.

En résumé

L’arrivée de modèles d’IA capables de découvrir automatiquement des vulnérabilités logicielles pousse les régulateurs et les institutions financières à repenser leurs stratégies de cybersécurité.

Des systèmes comme Claude Mythos illustrent la puissance croissante des outils d’attaque assistés par IA. En réponse, des initiatives comme Daybreak cherchent à offrir aux défenseurs les mêmes capacités d’automatisation pour détecter et corriger les failles avant qu’elles ne deviennent des incidents majeurs.

Dans cette nouvelle ère, la sécurité numérique dépendra de plus en plus de la capacité des organisations à intégrer l’IA dans leurs défenses — aussi vite que les attaquants l’intègrent dans leurs offensives.