Cinq mois après son lancement, le programme de chasse aux failles d'Anthropic affiche des chiffres impressionnants sur le papier. Mais des analystes dressent un tableau bien plus nuancé.
HAWK n’est plus candidat à la standardisation NIST.
L’équipe à l’origine de cet algorithme de signature vient de le retirer de la compétition. En toile de fond, la découverte d’une faiblesse mathématique qui diminue de près de moitié la « taille effective » des clés. Elle exploite une symétrie – dite automorphisme – dans le réseau de treillis, permettant une énumération plus rapide.
Il aura fallu à Claude Mythos environ 60 heures – et 100 000 $ de coûts d’API – pour développer une attaque de bout en bout. Un chercheur expérimenté en théorie informatique – mais pas spécialiste de la cryptographie – a orchestré la « gestion de projet ». Par exemple, expliquer au modèle comment garder trace de ses idées ou quelles bibliothèques utiliser.
Anthropic livre une implémentation de référence, avec une commande unique et des checkpoints. Elle permet de récupérer une clé HAWK-256 en un peu moins de 4 heures sur un serveurs à 96 cœurs Sapphire Rapids.
Une méthode « naïve » consisterait à utiliser des clés deux fois plus longues pour compenser cette vulnérabilité. Elle rendrait toutefois l’algo bien moins compétitif. En l’état, la génération et la vérification de signatures HAWK-512 sont censées prendre moins de 0,1 ms sur un PC de bureau standard. L’implémentation optimisée mémoire consomme 14 kiB de RAM.
Quelques solutions françaises pour amorcer la transition post-quantique
En froid, GPG et OpenPGP avancent séparément sur la cryptographie post-quantique
Comment Anthropic est passé de Claude Mythos à Claude Fable
Illustration principale © Siarhei – Adobe Stock
The post Claude Mythos met à mal un algorithme post-quantique appeared first on Silicon.fr.
Prenez Claude Mythos. Enlevez les capacités cyber. Vous obtenez Claude Fable.
Anthropic a procédé ainsi pour pouvoir diffuser plus largement cette famille de modèles. L’architecture est commune. La tarification aussi. Et les performances annoncées sont similaires.
Le lancement de Claude Mythos remonte à début avril. Il était alors ouvert, en version préliminaire (Preview), à une poignée d’organisations américaines. En l’occurrence, AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks. Elles ont pu l’expérimenter pour la détection de vulnérabilités logicielles.
Aux dernières nouvelles, quelque 200 organisations sont dans la boucle, sur 15 pays. Si Anthropic n’a pas intégré Claude Mythos dans son offre commerciale, il a poussé, en bêta dans Claude Enterprise, la fonctionnalité Claude Security, qui permet d’utiliser ses autres modèles pour analyser les bases de code. Il donne aussi accès, sur demande, aux outils utilisés avec la preview : skills, harnais agentique (du mapping de codebase à l’écriture de rapports) et constructeur de modèles de menace (identification des cibles d’attaque potentielles et priorisation des travaux en conséquence).
Les utilisateurs de Claude Mythos Preview peuvent désormais le remplacer par Claude Mythos 5. Une nouvelle version « parfois plus performante »… et surtout 2,5 fois moins chère (10 $ par million de tokens en entrée et 50 $ en sortie, contre 25 $ et 125 $).
Claude Fable 5, son alter ego « sans cyber », est disponible sur l’API Anthropic et sur les forfaits Enterprise en facturation à l’usage.
Pour les forfaits Enterprise qui sont encore sur le modèle par siège, l’accès est inclus jusqu’au 22 juin. Au-delà, en fonction de la capacité dont disposera Anthropic, il pourra falloir acheter des crédits. Même chose sur les abonnements Pro, Max et Team.
Les deux modèles ont une politique spécifique de conservation des données. Anthropic gardera les inputs et les outputs pendant 30 jours. Il invoque une seule finalité : la sûreté. Plus précisément, la possibilité d’analyser les usages malveillants qui ne se détectent qu’à grande échelle. Par exemple, les campagnes d’espionnage étatique ou les tentatives de jailbreaking fondées sur des centaines de variations d’un prompt.
Cela ne change rien pour les forfaits Claude individuels, déjà soumis à une période de conservation de 30 jours. Le basculement concerne les organisations qui ont activé la politique ZDR (zero data retention) sur les services d’Anthropic ou de tiers (Amazon Bedrock, Google Cloud Agent Platform, Microsoft Foundry).
Claude Fable 5 ne répond pas lui-même aux requêtes qui touchent à la cyber, mais il peut les transmettre à Claude Opus 4.8. Son système de garde-fous est ainsi fait. Il implique un contrôle en deux temps. Intervient d’abord une vérification des activations internes du modèle. En cas de détection de trafic suspect, un LLM classifieur prend le relais. Il utilise un mécanisme qu’Anthropic met en œuvre depuis l’an dernier : on l’a entraîné sur des données synthétiques générées à partir d’une « constitution ». En d’autres termes, des règles en langage naturel spécifiant ce qui est ou non autorisé. Un dataset ensuite progressivement enrichi avec des insights issus d’un red teaming automatisé.
Le même type de classifieur filtre s’applique dans les domaines de la chimie et de la biologie. Anthropic a joué la sécurité*, filtrant la plupart des requêtes. Jusqu’ici, dans ce domaine, les modèles Claude n’ont traditionnellement rejeté que celles tournant autour des armes.
Un programme est dans les cartons pour permettre à la recherche biomédicale d’utiliser Claude Fable 5 sans ces garde-fous. Le même type d’initiative existe déjà pour les professionnels de la cyber, sur l’ensemble des modèles d’Anthropic. Dans tous les cas, sont systématiquement bloqués les usages considérés comme presque toujours malveillants et qui n’ont pas d’application défensive légitime. Exemples : l’exfiltration massive de données et l’écriture d’un ransomware.
Sur l’ensemble des requêtes testées, « moins de 5 % » ont entraîné une bascule vers Claude Opus 4.8, nous assure-t-on.
Anthropic organise un bug bounty à deux volets. L’un, privé, portant sur le Claude Fable 5. L’autre, public, qui concerne Claude Opus 4.8, mais entouré de garde-fous comparables.
Au 5 juin, la compétition publique avait engendré environ 100 000 tentatives – représentant un équivalent estimé de 1000 heures d’effort. Elles ont produit deux jailbreaks, mais chacun spécifique à une tâche. Pas de jailbreak « universel » qui permettrait d’interagir avec le modèle comme si un garde-fou n’était pas présent.
* Une décision qui fait écho aux performances annoncées de Claude Fable 5 sur des tâches susceptibles d’occasionner des usages malveillants. Anthropic évoque une hypothèse que le modèle a faite au sujet d’une protéine conférant un haut niveau de résistance à la bactérie E. coli… et qu’une étude menée indépendamment en paralllèle a corroborée.
Illustration générée par IA
The post Comment Anthropic est passé de Claude Mythos à Claude Fable appeared first on Silicon.fr.
L’information, révélée par le Financial Times (FT) ce 18 mai, illustre l’ampleur des inquiétudes que suscite désormais Claude Mythos dans les plus hautes sphères de la régulation mondiale.
Anthropic, son éditeur, va prochainement briefer les ministères des Finances et les banques centrales membres du Financial Stability Board (FSB) sur les failles de cybersécurité détectées par son « modèle frontier » dans le système financier mondial.
À l’origine de cette démarche : Andrew Bailey, gouverneur de la Banque d’Angleterre et président du FSB, le gendarme mondial chargé de coordonner la réglementation financière des pays du G20. C’est lui qui aurait sollicité Anthropic pour que la société vienne présenter les capacités de son modèle Claude Mythos Preview devant ses membres.
Conçu spécifiquement pour la cybersécurité, il est capable de détecter des vulnérabilités vieilles de plusieurs décennies dans les navigateurs web, les infrastructures et les logiciels.
Compte tenu de ce potentiel, la diffusion du modèle est pour l’instant strictement encadrée. Seule une quarantaine d’organisations y ont accès, essentiellement américaines : Amazon, Microsoft ou JPMorgan Chase figurent parmi les bénéficiaires, qui peuvent ainsi corriger les failles identifiées. Anthropic s’est engagé à ne pas élargir cette distribution, à la demande de la Maison Blanche.
Pour les acteurs non américains, la société a néanmoins accepté de fournir des briefings de haut niveau à certaines institutions, comme la Commission européenne.
Les régulateurs financiers mondiaux sont particulièrement exposés à ce risque. Les banques reposent en grande partie sur des systèmes informatiques anciens que des outils comme Mythos pourraient exploiter ou, au contraire, aider à sécuriser.
Le FSB travaille actuellement à un rapport sur les « bonnes pratiques » d’adoption de l’IA dans le secteur financier, dont la consultation publique est prévue pour le mois prochain.
Au-delà des banques centrales, c’est l’ensemble de l’architecture financière internationale qui est en jeu.
Début mai, le Fonds monétaire international avait mis en garde contre une menace systémique, estimant que les nouveaux modèles d’IA « élèvent le risque cyber au niveau d’un choc macro-financier potentiel ».
Dans un billet de blog, ses économistes avaient insisté : « Le risque cyber ne respecte pas les frontières. Les pays émergents et en développement, qui disposent souvent de ressources plus limitées, peuvent être exposés de manière disproportionnée. »
Le FSB et Anthropic ont refusé de commenter leurs échanges récents.
Image : © DR
The post Claude Mythos : Anthropic va briefer les banques centrales du G20 appeared first on Silicon.fr.
Il y aura bientôt, chez Oracle, une distribution mensuelle de correctifs de sécurité.
L’éditeur l’avait annoncé fin avril. Il vient de communiquer un calendrier. La première échéance est fixée au 28 mai. Ce sera ensuite le troisième mardi du mois. Donc le 16 juin, le 21 juillet, le 18 août, etc.
Ces correctifs seront plus ciblés que les mises à jour trimestrielles, qui en reprendront d’ailleurs le contenu. Ils ne se substitueront pas aux diffusions « hors bande » pour les failles qui nécessitent une remédiation immédiate. La dernière en date, détectée en mars, affectait Identity Manager et Web Services Manager. Elle posait un risque d’exécution de code à distance sans authentification (score de base : 9,8).
Dans son annonce de fin avril, Oracle avait rappelé avoir accès à Claude Mythos Preview et aux « modèles les plus compétents » d’OpenAI. Les IA de dernière génération « augmentent la vitesse et l’échelle » de découverte des vulnérabilités, avait-il affirmé. Assez pour s’engager, donc, à mensualiser les correctifs pour les environnements sur site.
Claude Mythos inquiète les banques européennes
GPT-5.4-Cyber, la réponse d’OpenAI à Claude Mythos
Microsoft intègre Claude Mythos à son programme de développement sécurisé
Comment le Campus Cyber juge l’impact de Claude Mythos
Illustration générée par IA
The post Oracle inaugure son « Patch Tuesday » : l’effet Claude Mythos ? appeared first on Silicon.fr.
La sécurité des comptes IA devient un enjeu de premier plan. OpenAI a annoncé le lancement d’un nouveau programme de protection baptisé Advanced Account Security (AAS), accompagné d’un partenariat avec le spécialiste de l’authentification matérielle Yubico. Deux clés de sécurité physiques co-brandées sont désormais disponibles pour sécuriser les comptes ChatGPT. Une initiative présentée comme optionnelle, ... Lire plus
L'article OpenAI renforce la sécurité de ChatGPT avec des clés physiques en partenariat avec Yubico est apparu en premier sur Fredzone.
Connexion