Anthropic a annoncé mardi que l'un de ses modèles internes, baptisé Claude Mythos Preview, a mis au jour de nouvelles faiblesses dans deux algorithmes de chiffrement. L'une d'elles visait un code que des spécialistes examinaient depuis deux ans sans rien y voir. Aucune donnée que vous utilisez aujourd'hui n'est en danger, mais la démonstration bouscule la manière dont on va vérifier la sécurité de nos communications futures.

Ce que l'IA a réellement trouvé

La première découverte concerne HAWK, une signature numérique conçue pour résister aux futurs ordinateurs quantiques et candidate à la normalisation aux États-Unis. Claude a réduit le coût estimé pour casser sa plus petite clé de 2^64 à 2^38 opérations. En clair, la clé s'est retrouvée deux fois moins solide que ses concepteurs le pensaient.

La seconde vise l'AES, la norme de chiffrement la plus répandue dans le monde. L'IA a amélioré une attaque connue de 200 à 800 fois, mais uniquement sur une version de laboratoire volontairement affaiblie, à sept tours au lieu de dix. L'AES complet qui protège aujourd'hui vos messageries et vos paiements n'est pas concerné.

Soixante heures, là où les humains ont passé deux ans

Le plus frappant tient au temps. Pour la faille de HAWK, le modèle a travaillé environ 60 heures, pour un coût d'à peu près 100 000 dollars de calcul. Pour l'AES, il a mené près de trois jours d'analyse en autonomie, en produisant des milliards de mots. Or ce résultat avait survécu à environ deux ans d'examen par des cryptographes chevronnés.

Anthropic raconte aussi les hésitations de son modèle, qui a d'abord jugé l'exercice presque impossible avant de trouver la faille. Une manière de rappeler que ces outils ne réussissent pas à tous les coups, mais qu'ils explorent des pistes bien plus vite qu'un humain.

Pourquoi c'est important, sans céder à la panique

Anthropic insiste sur un point : aucun logiciel en service ne doit être modifié à cause de ces travaux. HAWK n'est pas encore déployé, et l'attaque sur l'AES ne touche qu'une version d'étude. Le vrai enjeu est ailleurs.

  • La recherche de failles devient une question de puissance de calcul, que l'on peut louer à la demande.
  • Les organismes qui choisissent les futurs standards, comme le NIST américain, vont devoir tester leurs candidats avec ces IA avant de les adopter.
  • Le même outil peut renforcer nos protections ou, entre de mauvaises mains, accélérer la recherche de brèches.

Pour l'internaute, rien à changer aujourd'hui. Mais la sécurité de demain, celle qui doit résister aux ordinateurs quantiques, se conçoit désormais en tenant compte d'assistants capables de repérer ce que l'œil humain laisse passer. C'est une nouvelle pièce, encourageante et inquiétante à la fois, dans la course entre ceux qui protègent les données et ceux qui cherchent à les percer.