À Singapour, l’IA pourrait faire passer le délai d’une cyberattaque de plusieurs mois à quelques heures

La Cyber Security Agency (CSA), l’agence singapourienne chargée de la cybersécurité, demande aux organisations de considérer l’IA de pointe comme un accélérateur immédiat de menaces existantes, et non comme un risque lointain ou théorique. Dans un avis publié le 15 avril 2026, elle a estimé que des modèles tels que Claude Mythos Preview, développé par Anthropic, pourraient réduire de plusieurs mois à quelques heures le temps nécessaire pour identifier des vulnérabilités et concevoir des exploits .

Le modèle n’était accessible que dans le cadre d’un aperçu restreint. La CSA a précisé ne disposer d’aucun indice montrant que cette capacité avait déjà été activement détournée. Son inquiétude porte sur le scénario suivant : si des outils comparables tombaient entre les mains d’acteurs malveillants, les systèmes exposés à Internet et insuffisamment corrigés pourraient être repérés et ciblés plus rapidement que les équipes de sécurité ne sont capables de réagir .

Le risque central : des attaques plus rapides, avec des méthodes familières

La CSA ne prédit pas nécessairement l’invention d’un nouveau type de cyberattaque. Le danger vient plutôt de l’automatisation et de l’accélération d’étapes déjà utilisées par les attaquants : reconnaissance, recherche de vulnérabilités et développement d’exploits .

Cette compression du calendrier bouleverse l’équilibre entre attaque et défense. Une faille qui laissait auparavant plusieurs semaines ou plusieurs mois à une organisation pour être détectée et corrigée pourrait désormais être trouvée et exploitée bien plus vite. Les cycles classiques de mise à jour, les investigations manuelles et les audits ponctuels risquent de ne plus suffire pour les systèmes accessibles depuis l’extérieur.

Anthropic affirme que Mythos Preview a pu, lors de ses tests et lorsqu’un utilisateur le lui demandait, identifier puis exploiter des vulnérabilités dites « zero-day » dans tous les principaux systèmes d’exploitation et navigateurs web . Cette déclaration décrit une capacité testée par l’entreprise ; elle ne constitue pas une preuve d’utilisation dans des attaques réelles.

Les risques mis en avant par la CSA

Les systèmes accessibles depuis Internet deviennent des cibles prioritaires

La priorité la plus urgente concerne les vulnérabilités critiques ou de gravité élevée qui subsistent sur des actifs exposés à Internet. Directement accessibles depuis l’extérieur, ces systèmes pourraient offrir un point d’entrée rapidement détectable par des outils automatisés .

L’avertissement ne vise pas uniquement les grandes entreprises technologiques. Les banques, les opérateurs d’infrastructures critiques, les utilisateurs de services cloud et toute société qui expose des applications, des interfaces d’administration ou des environnements de développement sur Internet pourraient être contraints de repérer et de corriger leurs faiblesses beaucoup plus vite.

La découverte autonome abaisse le seuil d’accès à l’exploitation

L’importance de Mythos Preview tient à la combinaison annoncée de la découverte de vulnérabilités et de la génération d’exploits. Anthropic a indiqué que ses essais montraient que le modèle pouvait passer de la détection d’une faille jusque-là inconnue à la production d’un exploit fonctionnel sur les principaux systèmes d’exploitation et navigateurs .

Une telle capacité pourrait rendre des techniques offensives sophistiquées plus accessibles et permettre d’examiner davantage de cibles en moins de temps. Elle soulève également la possibilité de combiner plusieurs faiblesses apparemment limitées pour compromettre un système plus largement. Les informations disponibles auprès de la CSA n’établissent toutefois pas qu’un tel détournement ait déjà eu lieu.

Le secteur financier fait face à un risque systémique amplifié

À Singapour, le secteur financier a abordé le sujet comme une amplification des risques cyber existants. La Monetary Authority of Singapore (MAS), l’autorité monétaire du pays, a réuni les dirigeants de banques afin d’échanger sur les implications de modèles de pointe capables d’identifier et d’exploiter des vulnérabilités de manière autonome .

La leçon pratique est claire : les organisations ne doivent pas attendre l’apparition d’une catégorie de menace entièrement nouvelle ni la confirmation d’un incident local. Des faiblesses déjà connues — en particulier sur des systèmes exposés, non corrigés ou dotés de privilèges excessifs — peuvent devenir bien plus dangereuses si des attaquants les recherchent à la vitesse de l’IA.

Les mesures immédiates recommandées

La CSA invite les organisations à réduire sans délai les voies d’attaque les plus simples et les plus lourdes de conséquences :

• Corriger toutes les vulnérabilités critiques et de gravité élevée sur les systèmes exposés à Internet. Ce sont les actifs les plus accessibles aux attaques automatisées et ceux dont la compromission pourrait avoir les conséquences les plus étendues .
• Imposer l’authentification multifacteur sur les interfaces d’administration, les passerelles et les consoles de gestion cloud. Lorsque l’authentification multifacteur n’est pas possible, des restrictions comme l’autorisation par liste d’adresses IP doivent être envisagées .
• Supprimer l’accès public inutile aux environnements de développement et de préproduction. Il faut les protéger par des contrôles d’accès stricts ou les déconnecter d’Internet lorsque cela est possible .
• Réexaminer les configurations cloud, en portant une attention particulière aux ressources accessibles publiquement et aux groupes de sécurité trop permissifs .
• Appliquer le principe du moindre privilège. Les droits inutiles doivent être retirés, les comptes inactifs révoqués et les accès des comptes de service et des API limités au strict nécessaire .
• Activer et configurer correctement la protection contre les attaques par déni de service distribué (DDoS) pour les actifs accessibles depuis Internet .

Ces recommandations sont volontairement classiques. Leur urgence nouvelle vient du risque que l’IA raccourcisse le délai entre l’exposition d’un système, la découverte de sa faille et son exploitation.

Vers une architecture de sécurité plus continue

Au-delà des correctifs immédiats, les recommandations de la CSA suggèrent de passer d’un renforcement ponctuel de la sécurité à une gestion continue de l’exposition et à une défense en profondeur.

Réduire la surface d’attaque

Les organisations devraient supprimer les services inutilement accessibles depuis Internet, désactiver les ports et protocoles inutilisés et corriger les paramètres cloud dangereux. Moins un attaquant automatisé peut cartographier de systèmes joignables, moins il dispose d’occasions d’exploiter rapidement une faille .

Empêcher la propagation dans le réseau

La segmentation et la microsegmentation des réseaux peuvent limiter les déplacements latéraux après une première intrusion. En séparant les systèmes et en restreignant les flux entre eux, une organisation peut compliquer l’accès aux services sensibles ou aux infrastructures privilégiées .

Intégrer les fournisseurs et les dépendances dans l’analyse du risque

La découverte assistée par l’IA ne s’arrête pas au code développé en interne. L’analyse des dépendances, la maîtrise des processus de mise à jour et l’évaluation des risques fournisseurs peuvent aider à détecter les faiblesses de composants tiers avant qu’elles ne servent de relais vers des systèmes critiques .

Surveiller en continu les chemins d’attaque et les comportements anormaux

La CSA appelle à améliorer la visibilité sur le trafic réseau, les terminaux et l’activité des utilisateurs, notamment autour des comptes privilégiés et des déplacements latéraux. L’analyse comportementale et la détection des anomalies pourraient contribuer à repérer des attaques progressant plus vite que les campagnes menées principalement par des opérateurs humains .

Renforcer les applications et les systèmes d’identité

La stratégie de long terme repose également sur une défense en profondeur, les principes du « zero trust », la vérification continue, la surveillance de la sécurité des applications en fonctionnement et une gestion plus rigoureuse des identités et des accès. L’authentification multifacteur obligatoire, la réaction rapide aux compromissions d’identifiants et l’authentification continue peuvent limiter les dégâts provoqués par un compte détourné .

Ce que Singapour a fait ensuite

Le 5 mai 2026, la CSA a écrit aux conseils d’administration et aux dirigeants des opérateurs d’infrastructures nationales critiques, afin qu’ils procèdent à un nouvel examen de leurs risques cyber en tenant explicitement compte des menaces liées à l’IA . Cette revue devait notamment couvrir les systèmes critiques, les actifs exposés à Internet, les accès privilégiés, les services cloud et les dépendances à des prestataires tiers .

Le gouvernement a également indiqué qu’il n’avait pas accès à Mythos et qu’il ne savait pas qu’une banque locale en ait obtenu l’accès. Il a précisé travailler avec des partenaires disposant de cet accès afin d’évaluer les implications du modèle . En parallèle, Singapour a déclaré accélérer son propre recours à l’IA pour la cybersécurité défensive, notamment pour automatiser les tests de vulnérabilité et de correctifs .

Le message à retenir pour les organisations

L’avis de la CSA ne démontre pas que Mythos Preview a été utilisé dans une cyberattaque active. Il appelle à se préparer à un raccourcissement de la fenêtre de défense, même si les vulnérabilités et les techniques d’attaque restent, pour l’essentiel, familières.

Pour la plupart des organisations, la première réponse n’est donc pas de miser sur une technologie expérimentale, mais de revenir aux fondamentaux avec davantage de rapidité : recenser les actifs exposés, corriger les failles les plus dangereuses, supprimer les accès superflus, sécuriser les environnements cloud et garantir une détection ainsi qu’une réponse continues. L’IA de pointe rend ces mesures plus urgentes, pas moins essentielles.