Le CERT-In utilise Mythos, le modèle non publié d'Anthropic, pour trouver des failles logicielles

L'agence indienne de cybersécurité, l'Indian Computer Emergency Response Team, a obtenu l'accès à Mythos, le modèle d'intelligence artificielle non publié d'Anthropic, ont indiqué des sources gouvernementales à CNBC-TV18. Le CERT-In s'en sert pour identifier les failles des systèmes vulnérables et recommander les correctifs correspondants, selon les mêmes sources.

Cet accès donne au CERT-In un outil que CNBC-TV18 présente comme particulièrement performant pour dénicher des vulnérabilités informatiques. Il implique aussi que des informations sensibles sur des systèmes potentiellement critiques soient transmises à une plateforme cloud, une inquiétude que le rapport met en avant.

L'accès cloud soulève des questions sur les données

La disponibilité du modèle via le cloud inquiète au sein du gouvernement, selon le rapport. Les responsables hésitent à envoyer des informations sensibles vers des plateformes cloud, compte tenu des risques liés au partage de données sur des systèmes potentiellement critiques.

Pour une équipe nationale de réponse aux incidents informatiques, la question des données est opérationnelle. Les systèmes que le CERT-In examine peuvent être critiques, et les informations qu'il transmet à une plateforme cloud peuvent révéler des faiblesses. YourStory rapporte que les équipes de sécurité manipulent couramment du code source confidentiel, des journaux réseau et des rapports d'incident. Envoyer ces éléments vers des plateformes externes peut poser des problèmes de confidentialité, d'accès et de conformité réglementaire.

Le CERT-In ne s'appuie pas uniquement sur Mythos. L'agence utilise aussi plusieurs autres modèles d'IA pour détecter les vulnérabilités des systèmes, et ces modèles couvrent environ 80 à 85 % des capacités de Mythos, ont précisé les sources gouvernementales au média. Multiplier les modèles pourrait aider l'agence à repérer les failles de sécurité tout en limitant les inquiétudes sur le traitement des informations sensibles. Le déploiement de Mythos dans le cloud reste un point central de la réflexion.

Un accès limité via Project Glasswing

Mythos n'est pas publié. Anthropic en a ouvert l'accès à un nombre restreint d'organisations et d'agences dans le cadre de Project Glasswing, selon CNBC-TV18. Cette initiative vise à trouver et corriger les failles des systèmes informatiques critiques. Elle doit aider les participants à identifier les défauts de sécurité avant que des acteurs malveillants ne les exploitent. Le modèle n'est pas accessible au public.

Le chiffre de 80 à 85 % signifie que les autres modèles couvrent la majeure partie des capacités de Mythos, mais pas la totalité. Cet écart compte si Mythos détecte des défauts que les autres modèles laissent passer. Mistral AI a publié les poids de son modèle de cybersécurité Large 4, afin que les organisations puissent le télécharger et l'exécuter sur leur propre infrastructure, rapporte YourStory. Cette approche donne davantage de contrôle sur le lieu d'exécution de l'IA et sur le traitement des données. Elle exige toutefois des compétences techniques et des procédures de sécurité pour être gérée efficacement.

Pour le CERT-In, la tâche immédiate est précise : se servir de Mythos pour trouver les failles et recommander des correctifs, tout en évaluant si l'accès cloud est acceptable pour les systèmes qu'il examine.