Claude Mythos : les banques convoquées en urgence par la BCE pour évoquer les risques

Ce qu’il faut retenir :

• La BCE a convoqué mardi une réunion exceptionnelle avec les banques de la zone euro pour les presser d’accélérer la correction des vulnérabilités informatiques exposées par les modèles d’IA comme Mythos d’Anthropic.
• Le vice-président de la supervision bancaire Frank Elderson prévient que les correctifs logiciels peuvent être rétro-ingéniés en “30 minutes”, imposant un rythme de déploiement radicalement plus rapide.
• Les banques européennes sont particulièrement exposées car elles n’ont pas accès à Mythos, réservé à une quarantaine d’organisations majoritairement américaines.

La Banque centrale européenne passe en mode urgence sur la cybersécurité. L’institution a convoqué mardi les grandes banques de la zone euro pour une réunion ad hoc, un format rare réservé aux sujets critiques, afin de discuter des risques informatiques révélés par les derniers modèles d’intelligence artificielle.

“D’andante à presto”

Frank Elderson, vice-président du conseil de supervision de la BCE qui supervise environ 111 des plus grandes banques de la zone euro, a résumé l’urgence en termes musicaux :

En termes musicaux, je dirais qu’andante aurait pu suffire, mais nous devons passer à presto.

Le message central : les banques doivent drastiquement accélérer le déploiement des correctifs logiciels (patches) corrigeant les vulnérabilités identifiées par les nouveaux modèles d’IA. Elderson a pointé un problème technique précis et alarmant : lorsqu’un éditeur de logiciel publie un correctif, il est désormais possible de rétro-ingénier la faille que le patch est censé corriger “non pas en semaines, mais peut-être en 30 minutes”.

Cela signifie qu’une fois le correctif publié, une banque doit avoir des processus en place pour l’appliquer beaucoup plus vite que ce qui est actuellement considéré comme la pratique du marché.

L’Europe exclue de Mythos, mais pas du risque

Les banques européennes se trouvent dans une position particulièrement vulnérable. Anthropic n’a donné accès à Mythos qu’à une quarantaine d’organisations dans le cadre de Project Glasswing, principalement américaines, dont Amazon, Microsoft et JPMorgan Chase. Les banques européennes n’y ont pas accès.

Anthropic avait révélé que Mythos avait identifié “des milliers de vulnérabilités à haute sévérité, dont certaines dans chaque système d’exploitation et navigateur web majeur”. Les organisations ayant accès au modèle peuvent scanner et corriger leurs systèmes. Celles qui n’y ont pas accès naviguent à l’aveugle.

Elderson a qualifié cette exclusion d’“regrettable” mais a refusé d’en faire un alibi :

Le fait que vous n’ayez pas accès à ce modèle n’est pas une excuse pour l’inaction. Des acteurs malveillants pourraient avoir accès à cette technologie bientôt.

Les banques américaines invitées à partager

La BCE espère que les filiales européennes des grandes banques de Wall Street, qui ont accès à Mythos via leurs maisons-mères, partageront leurs retours d’expérience avec leurs homologues de la zone euro lors de la réunion de mardi.

“Nous voulons écouter les évaluations des banques, créer l’opportunité pour elles de partager leurs expériences, et souligner l’importance du sujet”, a déclaré Elderson.

Anthropic a accepté de fournir des briefings de haut niveau à certaines organisations non américaines, dont le Financial Stability Board (à la demande du gouverneur de la Banque d’Angleterre Andrew Bailey) et la Commission européenne. Mais ces briefings ne remplacent pas l’accès direct au modèle pour scanner ses propres systèmes.

Ce qu’il faut surveiller

“C’est quelque chose qui change la donne. Nous voulons que les banques prennent cela au sérieux. Le temps presse”, a conclu Elderson. La réunion de mardi pourrait déboucher sur de nouvelles exigences de supervision en matière de délais de déploiement des correctifs. Le rapport du FSB sur les pratiques saines d’adoption de l’IA dans le secteur financier, attendu le mois prochain, formalisera potentiellement ces attentes.

La question de l’élargissement de l’accès à Mythos aux banques européennes reste un enjeu diplomatique entre Washington et Bruxelles. En attendant, chaque jour sans accès est un jour où les systèmes bancaires européens restent exposés à des vulnérabilités que les attaquants pourraient exploiter.