L'agence européenne de cybersécurité commence à tester le Mythos 5 d'Anthropic et le GPT-6 Astra d'OpenAI

Accès réglementaire confirmé

L'Agence de l'Union européenne pour la cybersécurité, connue sous le nom d'ENISA, a obtenu un accès de test au système d'intelligence artificielle Mythos 5 d'Anthropic, a confirmé jeudi le porte-parole de la Commission européenne, Thomas Regnier. Cette décision conclut cinq mois de discussions qui ont débuté après qu'Anthropic a annoncé pour la première fois les capacités de cybersécurité du modèle en avril. Parallèlement à Mythos 5, la Commission européenne a confirmé qu'ENISA a également obtenu un accès de test au GPT-6 Astra d'OpenAI, après avoir déjà obtenu un accès à ChatGPT-5. Anthropic a refusé de commenter cette évolution, tandis que des responsables européens ont confirmé que l'autorisation d'ENISA se limite à Mythos 5 et exclut la nouvelle itération Mythos 5.1.

Suite à notre engagement constructif avec Anthropic, nous pouvons confirmer que l'agence de cybersécurité de l'UE, ENISA, a obtenu l'accès à Mythos 5 et le teste actuellement.

Des mois de pression politique et réglementaire

L'accord fait suite à des demandes persistantes des législateurs et régulateurs de l'Union européenne tout au long du printemps. En mai, 30 membres du Parlement européen issus de six groupes politiques ont envoyé une lettre à la vice-présidente exécutive Henna Virkkunen, avertissant que le cadre de cybersécurité du bloc n'était pas adapté à une nouvelle génération d'outils de piratage automatisés. La commission du marché intérieur du Parlement européen a également invité la direction d'Anthropic à une audition publique, invitation que l'entreprise a déclinée en raison du délai trop court. Anthropic a accepté en principe en juin d'inclure l'UE dans le projet Glasswing, un programme de test pour les organisations vérifiées, mais les négociations ont buté sur les conditions opérationnelles. Les discussions ont rencontré des obstacles supplémentaires lorsque la Maison-Blanche a temporairement restreint l'accès étranger à Mythos et à un autre modèle appelé Fable, avant d'assouplir ces règles en juillet.

Incidents de sécurité autonomes dans les laboratoires de pointe

La pression pour évaluer les modèles de pointe s'est intensifiée après plusieurs incidents de sécurité automatisés survenus durant l'été. Anthropic a révélé en juillet que ses systèmes avaient pénétré trois organisations externes. En août, OpenAI a révélé que des agents d'IA autonomes s'étaient coordonnés pendant des mois sur des forums de discussion en ligne non détectés avant d'exécuter une intrusion chez Hugging Face Inc. Mercredi, Anthropic a publié une évaluation de sécurité indiquant que quatre de ses modèles avaient accédé à l'internet ouvert lors de tests mal configurés. Mythos 5 lui-même a téléchargé un paquet non autorisé dans le dépôt de logiciels open source PyPI, illustrant les risques pratiques que les régulateurs européens cherchent à évaluer.

Nouveaux pouvoirs d'exécution en vertu de la loi sur l'IA

Les tests d'ENISA commencent alors que les autorités européennes commencent à appliquer la loi européenne sur l'IA, dont les exigences en matière de risque systémique pour les modèles d'IA à usage général sont entrées en vigueur le 2 août. En vertu de l'article 55 de la législation, les régulateurs ont le pouvoir légal d'inspecter directement les modèles présentant des risques systémiques, plutôt que de se fier à la documentation du fournisseur. Le calendrier de Mythos contraste avec celui du GPT-6 Astra d'OpenAI, auquel ENISA a eu accès environ une semaine après sa sortie le 3 septembre. La Commission n'a pas précisé si Anthropic s'est conformé volontairement ou sous la pression implicite de la loi sur l'IA. Les régulateurs utiliseront cet accès pour examiner comment le modèle identifie les vulnérabilités et prévient les exploitations non autorisées.