Le catalyseur : l'Aperçu de Claude Mythos d'Anthropic

Le modèle d'IA spécifique au cœur de cette tempête réglementaire est l'Aperçu de Claude Mythos d'Anthropic . Le modèle n'a pas été rendu public. Anthropic l'a restreint à un programme de partenaires vérifiés appelé Project Glasswing, comprenant environ 40 entreprises "critiques" de la technologie et de la finance, dont les grandes banques de Wall Street, pour des tests de cybersécurité défensive uniquement . Malgré ces restrictions, les capacités démontrées du modèle ont eu un impact profond et immédiat sur les régulateurs financiers mondiaux .

Ce qui fait de Mythos une menace systémique inédite

Claude Mythos Preview n'est pas un simple scanner de vulnérabilités. Il représente un changement d'échelle dans les capacités offensives de l'IA, avec les compétences pratiques pour agir comme un opérateur cybernétique autonome.

Exécute des attaques multi-étapes de manière autonome. Lors d'évaluations contrôlées menées par l'Institut de sécurité de l'IA du Royaume-Uni (AISI), Mythos Preview, après avoir reçu une cible et un accès réseau, a été capable d'exécuter de manière autonome des attaques multi-étapes sur des réseaux vulnérables, y compris la découverte et l'exploitation de failles de sécurité, des tâches qui prendraient des jours à des professionnels humains . Incroyablement, il est devenu le premier modèle à résoudre une attaque simulée sur un réseau d'entreprise en 32 étapes du début à la fin, parvenant à un compromis complet dans 3 tentatives sur 10 .

Trouve des milliers de vulnérabilités critiques à la vitesse d'une machine. Les propres tests d'Anthropic ont révélé que le modèle a trouvé "des milliers de vulnérabilités de haute sévérité, y compris certaines dans chaque système d'exploitation et navigateur web majeur" . Le modèle peut identifier puis exploiter des vulnérabilités zero-day, c'est-à-dire des failles inconnues de l'éditeur du logiciel et pour lesquelles aucun correctif n'existe, et ce avant même que les défenseurs humains n'en aient conscience . Cela réduit à néant la fenêtre traditionnelle entre la divulgation d'une vulnérabilité et son exploitation réelle, mettant sous pression les banques qui s'appuient sur des systèmes informatiques fragmentés et parfois vieux de plusieurs décennies .

Représente un risque systémique pour l'ensemble du système financier. Le Fonds monétaire international (FMI) a émis un avertissement précoce, déclarant que des risques cybernétiques rapides et pilotés par l'IA de ce type pourraient "déstabiliser le système financier s'ils ne sont pas gérés avec soin", exhortant les autorités à ne plus traiter ces développements comme de simples problèmes techniques ou opérationnels . La crainte est que Mythos, ou un modèle comparable, puisse être utilisé comme une arme pour lancer des attaques à grande échelle et simultanées contre l'infrastructure financière interconnectée, transformant un incident cybernétique en une crise de stabilité financière.

Comment la directive Mythos s'intègre dans le plan directeur de supervision 2026-2028 de la BCE

L'action urgente concernant Mythos n'est pas une réaction de panique isolée. Il s'agit de l'action d'application la plus agressive et la plus précoce dans le cadre des nouvelles priorités de supervision 2026-2028 de la BCE, qui, pour la première fois en cinq ans, se concentrent sur deux piliers principaux .

La directive s'inscrit directement sous le Pilier 2 : renforcer la résilience opérationnelle des banques et favoriser des capacités informatiques robustes . Ce pilier est un mandat large qui attend des banques qu'elles fassent ce qui suit :

• Se conformer pleinement à DORA, notamment en ce qui concerne le risque lié aux tiers dans le domaine des TIC, le signalement des incidents et les tests de résilience opérationnelle numérique .
• Corriger les lacunes connues en matière de cybersécurité et de gestion des risques liés aux tiers qui ont été signalées lors des examens précédents .
• Développer une stratégie numérique mature et à long terme avec une gouvernance robuste spécifique à l'IA, y compris la gestion des risques liés à la qualité des données, à l'explicabilité des modèles, au risque de concentration découlant d'une poignée de fournisseurs d'IA non européens et à la dépendance excessive envers un seul fournisseur .

La réunion et la directive déclenchées par Mythos représentent le passage de la BCE d'un "risque IA comme sujet technique" à un "risque IA comme sujet de supervision prudentielle", avec une attente implicite de plans de remédiation concrets et financés, et non de simples pilotes et principes . Le message sous-jacent est que, durant ce cycle de trois ans, la capacité d'une banque à survivre et à maintenir ses services critiques face à une grave perturbation cybernétique activée par l'IA n'est plus une subtilité technique : c'est une mesure centrale de sa sécurité et de sa solidité.

Le catalyseur : l'Aperçu de Claude Mythos d'Anthropic

Le modèle d'IA spécifique au cœur de cette tempête réglementaire est l'Aperçu de Claude Mythos d'Anthropic . Le modèle n'a pas été rendu public. Anthropic l'a restreint à un programme de partenaires vérifiés appelé Project Glasswing, comprenant environ 40 entreprises "critiques" de la technologie et de la finance, dont les grandes banques de Wall Street, pour des tests de cybersécurité défensive uniquement . Malgré ces restrictions, les capacités démontrées du modèle ont eu un impact profond et immédiat sur les régulateurs financiers mondiaux .

Ce qui fait de Mythos une menace systémique inédite

Claude Mythos Preview n'est pas un simple scanner de vulnérabilités. Il représente un changement d'échelle dans les capacités offensives de l'IA, avec les compétences pratiques pour agir comme un opérateur cybernétique autonome.

Exécute des attaques multi-étapes de manière autonome. Lors d'évaluations contrôlées menées par l'Institut de sécurité de l'IA du Royaume-Uni (AISI), Mythos Preview, après avoir reçu une cible et un accès réseau, a été capable d'exécuter de manière autonome des attaques multi-étapes sur des réseaux vulnérables, y compris la découverte et l'exploitation de failles de sécurité, des tâches qui prendraient des jours à des professionnels humains . Incroyablement, il est devenu le premier modèle à résoudre une attaque simulée sur un réseau d'entreprise en 32 étapes du début à la fin, parvenant à un compromis complet dans 3 tentatives sur 10 .

Trouve des milliers de vulnérabilités critiques à la vitesse d'une machine. Les propres tests d'Anthropic ont révélé que le modèle a trouvé "des milliers de vulnérabilités de haute sévérité, y compris certaines dans chaque système d'exploitation et navigateur web majeur" . Le modèle peut identifier puis exploiter des vulnérabilités zero-day, c'est-à-dire des failles inconnues de l'éditeur du logiciel et pour lesquelles aucun correctif n'existe, et ce avant même que les défenseurs humains n'en aient conscience . Cela réduit à néant la fenêtre traditionnelle entre la divulgation d'une vulnérabilité et son exploitation réelle, mettant sous pression les banques qui s'appuient sur des systèmes informatiques fragmentés et parfois vieux de plusieurs décennies .

Représente un risque systémique pour l'ensemble du système financier. Le Fonds monétaire international (FMI) a émis un avertissement précoce, déclarant que des risques cybernétiques rapides et pilotés par l'IA de ce type pourraient "déstabiliser le système financier s'ils ne sont pas gérés avec soin", exhortant les autorités à ne plus traiter ces développements comme de simples problèmes techniques ou opérationnels . La crainte est que Mythos, ou un modèle comparable, puisse être utilisé comme une arme pour lancer des attaques à grande échelle et simultanées contre l'infrastructure financière interconnectée, transformant un incident cybernétique en une crise de stabilité financière.

Comment la directive Mythos s'intègre dans le plan directeur de supervision 2026-2028 de la BCE

L'action urgente concernant Mythos n'est pas une réaction de panique isolée. Il s'agit de l'action d'application la plus agressive et la plus précoce dans le cadre des nouvelles priorités de supervision 2026-2028 de la BCE, qui, pour la première fois en cinq ans, se concentrent sur deux piliers principaux .

La directive s'inscrit directement sous le Pilier 2 : renforcer la résilience opérationnelle des banques et favoriser des capacités informatiques robustes . Ce pilier est un mandat large qui attend des banques qu'elles fassent ce qui suit :

• Se conformer pleinement à DORA, notamment en ce qui concerne le risque lié aux tiers dans le domaine des TIC, le signalement des incidents et les tests de résilience opérationnelle numérique .
• Corriger les lacunes connues en matière de cybersécurité et de gestion des risques liés aux tiers qui ont été signalées lors des examens précédents .
• Développer une stratégie numérique mature et à long terme avec une gouvernance robuste spécifique à l'IA, y compris la gestion des risques liés à la qualité des données, à l'explicabilité des modèles, au risque de concentration découlant d'une poignée de fournisseurs d'IA non européens et à la dépendance excessive envers un seul fournisseur .

La réunion et la directive déclenchées par Mythos représentent le passage de la BCE d'un "risque IA comme sujet technique" à un "risque IA comme sujet de supervision prudentielle", avec une attente implicite de plans de remédiation concrets et financés, et non de simples pilotes et principes . Le message sous-jacent est que, durant ce cycle de trois ans, la capacité d'une banque à survivre et à maintenir ses services critiques face à une grave perturbation cybernétique activée par l'IA n'est plus une subtilité technique : c'est une mesure centrale de sa sécurité et de sa solidité.