Pourquoi le gouvernement utilise son plus grand risque de sécurité pour corriger ses plus grandes failles de sécurité

Alors que le récit public présente souvent l'intelligence artificielle comme un simple outil pour rédiger des courriels ou générer des images, la réalité est beaucoup plus industrielle. La Cybersecurity and Infrastructure Security Agency, connue sous le nom de CISA, utilise actuellement un puissant modèle d'IA d'Anthropic pour analyser les logiciels gouvernementaux à la recherche de bogues. Cette initiative marque une rupture nette avec l'histoire récente des tensions entre la startup de San Francisco et les régulateurs fédéraux. Il y a seulement quelques mois, le Pentagone qualifiait Anthropic de risque pour la chaîne d'approvisionnement, une mesure qui assimilait essentiellement l'entreprise à des entités étrangères soupçonnées d'espionnage. Aujourd'hui, cette même entreprise est la colonne vertébrale invisible de l'effort visant à protéger le code fédéral contre les espions étrangers.

En regardant la situation dans son ensemble, cette adoption montre que le gouvernement privilégie la capacité aux désaccords politiques. La CISA utilise un modèle d'IA spécifique appelé Mythos pour auditer les dépôts de code de divers départements. Ces dépôts sont des entrepôts numériques où le gouvernement stocke les logiciels qui gèrent tout, du traitement des impôts à la logistique. Mythos agit comme un stagiaire infatigable qui lit des millions de lignes de code en quelques secondes, à la recherche des minuscules erreurs qu'un programmeur humain pourrait manquer après une longue journée de travail. Ces erreurs sont les fenêtres ouvertes que les cybercriminels et les agences de renseignement étrangères utilisent pour accéder aux données américaines sensibles.

Un stagiaire infatigable pour le dépôt de code fédéral

Sous le capot, le processus d'audit de code est historiquement lent et coûteux. Un chercheur en sécurité humain ne peut examiner que quelques centaines de lignes de code par heure avec une grande précision. Le gouvernement américain gère des milliards de lignes de code, dont une grande partie a été écrite il y a des décennies dans des langages que les programmeurs modernes utilisent rarement. Cela crée un retard massif de vulnérabilités potentielles. Mythos change la donne de ce processus car il s'agit d'un outil de rupture conçu spécifiquement pour l'analyse de la cybersécurité. Il ne se contente pas de chercher des fautes de frappe ; il comprend comment les différents éléments logiciels interagissent pour créer des risques systémiques.

Selon des personnes proches du dossier, l'équipe d'évaluation de la surface d'attaque de la CISA est le groupe qui mène cette offensive. Cette équipe effectue des évaluations de sécurité numérique et des exercices de piratage pour trouver les faiblesses avant les véritables attaquants. En utilisant Mythos, l'équipe a déjà découvert un grand nombre de vulnérabilités. Bien que la nature spécifique de ces bogues ne soit pas publique, la vitesse de découverte suggère que l'IA performe à un niveau que les équipes humaines ne peuvent égaler. Cette efficacité est nécessaire car le volume de code que le gouvernement doit défendre augmente chaque jour.

La relation tumultueuse entre Anthropic et la Maison Blanche

Anthropic a une histoire compliquée avec les autorités qu'elle assiste désormais. L'entreprise est actuellement en train de préparer une introduction en bourse confidentielle, mais son chemin vers le marché boursier a été volatil. En février, la relation entre Anthropic et la Maison Blanche a atteint un point bas. L'entreprise a refusé de supprimer les garde-fous internes qui empêchaient son IA d'être utilisée pour des armes autonomes ou la surveillance domestique. Ce refus a conduit le Pentagone à frapper l'entreprise d'une désignation formelle de risque pour la chaîne d'approvisionnement. Il s'agit d'une étiquette sévère qui s'applique généralement aux entreprises que le gouvernement estime faciliter l'espionnage étranger.

Cette mise sur liste noire extraordinaire n'a pas duré longtemps. Un juge a bloqué l'ordonnance en mars, et la tension s'est apaisée après la sortie privée de Mythos. Curieusement, alors même que la politique officielle était à la méfiance, la National Security Agency utilisait déjà le modèle. Des rapports de fin juin indiquent que les analystes de la NSA ont testé Mythos dans des contextes classifiés et ont trouvé ses capacités sans précédent. L'agence est le principal bras d'écoute du gouvernement, et son approbation de Mythos suggère que l'outil est hautement efficace pour trouver et exploiter les faiblesses numériques.

L'arrêt mondial de Fable et son impact

La situation est devenue plus complexe lorsqu'Anthropic a publié une version publique de Mythos appelée Fable. Cette version incluait des garde-fous de cybersécurité spécifiques destinés à un usage général. Cependant, la Maison Blanche est intervenue à nouveau en exigeant qu'Anthropic interdise l'accès au modèle à tous les utilisateurs étrangers. Cette demande a entraîné un arrêt mondial total de Fable qui a duré jusqu'à la semaine dernière. La logique du gouvernement est qu'un outil capable de corriger des bogues est également capable d'aider un attaquant à les trouver. En restreignant l'accès aux Américains, l'administration espère conserver ce pétrole brut numérique à l'intérieur de ses propres frontières.

Du point de vue du consommateur, ce bras de fer met en lumière un paradoxe central de la technologie moderne. Nous voulons que l'IA soit sûre et restreinte, mais nous avons également besoin qu'elle soit suffisamment puissante pour défendre nos systèmes les plus sensibles. Le gouvernement essaie essentiellement de jouer sur les deux tableaux en utilisant la version privée et non restreinte du modèle pour sa propre défense, tout en limitant l'accès du public à la même technologie. Cela crée un système à deux vitesses où les outils de sécurité les plus robustes sont réservés à l'usage fédéral, laissant le secteur privé s'appuyer sur des versions plus limitées.

Ce que cela signifie pour la sécurité de vos données personnelles

Pour l'utilisateur moyen, le fait que la CISA utilise Mythos est un point positif net pour la confidentialité. La plupart des gens n'interagissent pas directement avec le code gouvernemental, mais leurs données le font. Votre numéro de sécurité sociale, vos antécédents fiscaux et vos dossiers de santé sont tous stockés dans les dépôts que Mythos analyse actuellement. Lorsque l'IA trouve un bogue dans un système de l'IRS ou du Department of Veterans Affairs, ce système est corrigé avant qu'un acteur malveillant ne puisse l'exploiter. Il s'agit d'une application pratique de l'IA qui a un impact tangible sur la sécurité de vos informations personnelles.

Pratiquement parlant, ce changement indique que l'ère des audits de sécurité manuels touche à sa fin. Dans les années à venir, davantage d'entreprises du secteur privé adopteront probablement des outils comme Mythos ou Fable pour protéger leurs propres réseaux. Cela conduira à une économie numérique plus résiliente où les logiciels sont intrinsèquement plus sûrs dès le moment où ils sont écrits. Cependant, cela signifie également que la barrière à l'entrée pour les pirates va s'élever. À mesure que la défense s'automatise, les attaquants se tourneront également vers l'IA pour trouver des moyens encore plus subtils de contourner les mesures de sécurité. Le résultat est une course aux armements cyclique où la vitesse de l'IA détermine le vainqueur.

Changer de perspective sur la technologie gouvernementale

En fin de compte, l'utilisation de Mythos par la CISA est un signe que le gouvernement est prêt à passer outre les frictions avec les entreprises pour sécuriser son infrastructure. Le fait qu'une entreprise puisse passer d'une liste noire à un partenaire de sécurité principal en quelques mois montre à quel point le gouvernement dépend de l'innovation du secteur privé. Pour les utilisateurs, c'est un rappel que les mécanismes invisibles d'Internet sont de plus en plus gérés par des algorithmes plutôt que par des humains. Nous nous dirigeons vers un modèle de sécurité décentralisé où le travail le plus important se déroule en arrière-plan, loin de l'interface utilisateur de nos appareils.

Lorsque vous utilisez des services gouvernementaux ou des applications bancaires numériques, observez à quel point vous rencontrez rarement des pannes de système majeures par rapport à il y a cinq ans. Cette stabilité est souvent le résultat d'outils automatisés comme celui que la CISA utilise désormais. Alors que la bataille politique sur la sécurité de l'IA se poursuit à Washington, la réalité technique est que ces outils sont déjà à l'œuvre. L'essentiel est que votre vie numérique devient plus sûre parce que le gouvernement a décidé qu'une IA autrefois interdite était trop précieuse pour être ignorée. Cette approche pragmatique de la technologie est un changement fondamental dans la manière dont le pays défend ses frontières numériques.

Sources:

• Cybersecurity and Infrastructure Security Agency internal assessments
• Anthropic corporate filings and public statements
• National Security Agency technical review reports
• Department of Defense supply-chain risk designation records
• Federal court rulings regarding Anthropic vs. Department of Defense