Claude Mythos marque l'ère de la cryptanalyse pilotée par l'IA

Dans les couloirs feutrés de la recherche en cryptographie, un changement s'opère, qui pourrait bientôt se répercuter dans chaque centre de données et chaque base sécurisée de la planète. Les récents titres de la presse ont été inondés d'affirmations sensationnalistes selon lesquelles le dernier modèle d'IA d'Anthropic, Claude Mythos Preview, aurait « cassé » l'Advanced Encryption Standard (AES) qui sécurise l'Internet mondial. Bien que la réalité soit plus nuancée qu'un effondrement total de la sécurité numérique, l'étape technique franchie par Mythos n'en est pas moins significative. C'est la première fois qu'un grand modèle de langage démontre de manière autonome sa capacité à découvrir de nouvelles attaques mathématiques contre des versions affaiblies des protocoles de chiffrement les plus fiables au monde.

En tant qu'ingénieur en mécanique et journaliste ayant passé des années à suivre l'intersection entre le matériel complexe et les logiciels qui le sécurisent, je trouve que le sensationnalisme entourant ces rapports détourne l'attention de la véritable menace industrielle. Nous n'assistons pas à la fin immédiate de l'AES-256. Nous assistons plutôt à la naissance de la cryptanalyse automatisée, un ensemble d'outils qui pourrait réduire radicalement la durée de vie de nos infrastructures de sécurité actuelles.

La mécanique du benchmark Mythos

Dans les recherches d'Anthropic, Claude Mythos Preview a été chargé d'identifier des vulnérabilités dans ces configurations à rounds réduits. Contrairement aux itérations précédentes de l'IA, qui se contentaient largement de faire écho à des preuves mathématiques connues présentes dans leurs données d'entraînement, Mythos a démontré une capacité de raisonnement par chaîne de pensée (« chain-of-thought ») ayant conduit à la découverte de chemins de cryptanalyse différentielle améliorés. En substance, l'IA a examiné les « S-boxes » mathématiques du chiffrement et a trouvé des moyens plus efficaces de prédire comment les changements d'entrée affecteraient la sortie. Il ne s'agit pas simplement d'une attaque par force brute de type « deviner et vérifier » ; il s'agit d'une synthèse mathématique de haut niveau qui nécessitait auparavant un doctorat et des mois de travail manuel.

Pourquoi le discours sur « l'Internet cassé » est prématuré

Il est crucial de préciser que l'itération actuelle de Claude Mythos ne peut pas déchiffrer vos transactions bancaires ni intercepter vos conversations privées aujourd'hui. Le chiffrement protégeant le Web moderne utilise les 10, 12 ou 14 rounds complets de l'AES, combinés à des protocoles d'échange de clés complexes comme RSA ou la cryptographie sur les courbes elliptiques (ECC). L'écart entre le cassage d'un modèle jouet à 6 rounds et celui d'un modèle de production à 14 rounds est exponentiel. En termes de travail computationnel pur, nous parlons de la différence entre gravir une colline et atteindre la Lune.

La transition de la recherche humaine vers la recherche automatisée

La véritable histoire ici est celle de l'automatisation du chercheur. Traditionnellement, la cryptanalyse est un domaine sujet aux goulots d'étranglement. Il n'existe que quelques milliers d'experts dans le monde capables de sonder les mathématiques profondes de l'AES ou du SHA-3. En utilisant un modèle comme Claude Mythos, un acteur étatique ou une organisation bien financée pourrait théoriquement paralléliser la recherche de failles cryptographiques. Imaginez dix mille instances d'un modèle, chacune sondant une permutation différente d'un chiffrement, travaillant 24h/24 et 7j/7 sans fatigue.

Cette capacité modifie la viabilité économique de l'attaque contre le chiffrement. Actuellement, il est « peu coûteux » de chiffrer et « extrêmement coûteux » de casser. L'IA menace d'inverser ce rapport. Si le coût de découverte d'une vulnérabilité « zero-day » dans un standard cryptographique chute de plusieurs ordres de grandeur, le modèle de confiance fondamental de l'Internet commence à s'effilocher. C'est pourquoi plus d'un millier d'employés de géants de la technologie comme Google, Meta et Anthropic elle-même ont récemment envoyé un « SOS » au gouvernement américain, avertissant que le développement de l'IA automatisée pose un risque réel et présent pour l'infrastructure de sécurité nationale.

Implications industrielles : récolter maintenant, déchiffrer plus tard

Pour ceux d'entre nous dans le secteur industriel, la préoccupation immédiate est une stratégie connue sous le nom de « Harvest Now, Decrypt Later » (HNDL), ou « récolter maintenant, déchiffrer plus tard ». Des adversaires interceptent et stockent déjà des quantités massives de données chiffrées provenant de réseaux gouvernementaux et d'entreprises. Ils ne peuvent pas les lire aujourd'hui, mais ils parient que dans cinq à dix ans, soit un ordinateur quantique, soit un modèle d'IA suffisamment avancé, tel qu'un futur descendant de Claude Mythos, sera capable de casser le chiffrement hérité.

Cela fait de la recherche d'Anthropic un appel pressant à l'adoption de la cryptographie post-quantique (PQC) et de normes plus robustes, résistantes à l'IA. Nous ne pouvons plus supposer qu'un algorithme mathématique « difficile à casser » le restera pendant des décennies. La rigidité mécanique de nos protocoles de sécurité doit être remplacée par une approche agile et à haute entropie qui anticipe le sondage piloté par l'IA. Les entreprises doivent commencer à auditer leurs protocoles de stockage de données à long terme pour s'assurer que les informations sensibles en 2035 seront protégées par autre chose que l'AES standard d'aujourd'hui.

L'IA peut-elle aussi construire de meilleures serrures ?

Nous entrons dans une phase où les algorithmes de chiffrement pourraient devoir être conçus spécifiquement pour être « difficiles pour l'IA ». Cela pourrait impliquer l'introduction de non-linéarités ou de structures mathématiques particulièrement complexes à modéliser ou à prédire pour les réseaux de neurones. Tout comme nous utilisons des fonctions « memory-hard » pour empêcher le craquage de mots de passe par force brute, nous pourrions avoir besoin de fonctions « logic-hard » qui résistent au type spécifique d'analyse par chaîne de pensée démontré par Mythos.

La réalité technique

Alors que nous nous tournons vers l'avenir de Claude et de ses concurrents, nous devons conserver une vision pragmatique. Les titres suggérant que l'Internet a été « cassé » sont une simplification excessive d'une réussite mathématique complexe. Claude Mythos n'a pas rendu votre VPN inutile, pas plus qu'il n'a exposé vos numéros de carte bancaire. Ce qu'il a fait, c'est prouver que la tour d'ivoire de la cryptographie n'est plus hors de portée de l'intelligence artificielle.

Le pont entre le matériel complexe et le marché mondial est bâti sur la confiance. Cette confiance est codifiée dans les mathématiques de l'AES. Si ces mathématiques sont désormais soumises à l'examen rapide et itératif de l'IA, notre réponse technique doit être tout aussi rapide. Nous quittons un monde de sécurité statique pour entrer dans un monde de défenses dynamiques et évolutives. Pour les ingénieurs et les architectes de l'ère numérique, le message d'Anthropic est clair : l'ère de la sécurité « installée et oubliée » est terminée. La course aux armements a officiellement commencé.