Claude Mythos Preview continue de débusquer des vulnérabilités dans des lignes de code. L’IA d’Anthropic vient de dénicher deux failles mathématiques inédites dans des systèmes de chiffrement. C’est la toute première fois qu’une intelligence artificielle décèle des faiblesses théoriques dans la conception d’algorithmes cryptographiques. Claude est désormais « capable de trouver des failles mathématiques dans les algorithmes eux-mêmes », se félicite Anthropic.
New Anthropic research: Discovering cryptographic weaknesses with Claude.
Claude Mythos Preview has helped our researchers find weaknesses in cryptographic algorithms—the mathematical methods that are used to keep data private.
Read more: https://t.co/TYKLjb3Q7V
— Anthropic (@AnthropicAI) July 28, 2026
Pour rappel, Anthropic a mis Claude Mythos à disposition d’une série de partenaires triés sur le volet, notamment la National Security Agency (NSA). Dans le cadre du projet Glasswing, le modèle d’IA a été déployé sur une multitude d’infrastructures. Il a ainsi pu débusquer une faille de sécurité vieille de 29 ans dans Squid, l’un des serveurs proxy web les plus répandus au monde, ou encore une vulnérabilité vieille de 27 ans dans le système OpenBSD. Ce sont plus de 10 000 vulnérabilités qui ont pu être corrigées grâce à Mythos.
A lire aussi : 16 millions d’ordinateurs touchés – Claude lève le voile sur une faille Linux vieille de 9 ans
Une faille dans un candidat post-quantique
Tout d’abord, Mythos s’est penché sur le fonctionnement de HAWK, un schéma de signature numérique. Cet outil cryptographique permet de prouver qu’un message ou un document provient bien d’une personne précise et qu’il n’a pas été modifié. Apparu en 2022, HAWK est l’un des systèmes de chiffrement présentés comme un candidat post-quantique. En clair, le protocole doit pouvoir résister à des cyberattaques menées par des ordinateurs quantiques, dont l’avènement est prévu d’ici quelques années.
Il a été sélectionné dans le cadre d’un concours de l’agence américaine NIST (National Institute of Standards and Technology). Depuis quatre ans, l’agence organise ce concours afin de mettre la main sur les meilleurs standards de chiffrement résilients dans un monde dominé par des ordinateurs quantiques. Après deux ans d’examen, HAWK figure parmi les derniers candidats en lice de la compétition.
Pourtant, une vulnérabilité de taille se trouve dans le cœur de HAWK, et aucun chercheur n’en avait conscience avant que Claude ne s’en mêle. Épaulée par un chercheur d’Anthropic, l’IA a déniché une faiblesse mathématique dans le protocole de chiffrement. Il n’a fallu à Mythos que 60 heures de travail pour épingler cette défaillance. Cette faille peut être exploitée pour deviner plus facilement la clé secrète qui permet de déchiffrer tous les contenus protégés par HAWK.
En théorie, un ordinateur puissant peut s’appuyer sur cette brèche pour tenter de casser le standard. Concrètement, l’équipe d’Anthropic a pu récupérer la clé secrète sur un simple serveur en quelques heures seulement. Pour corriger ce problème d’envergure, il faudrait doubler la taille des clés de HAWK, ce qui ferait perdre au système l’essentiel de ses avantages pratiques. Notez que la découverte de Claude Mythos concerne la plus petite configuration du système, HAWK-256, et non les versions plus robustes. Néanmoins, la faille touche le principe mathématique même sur lequel repose la sécurité de HAWK, ce qui réduit sa pertinence par rapport à d’autres algorithmes.
À lire aussi : Merci l’IA, Linux a corrigé plus de 400 failles de sécurité en 24 heures !
Une faille dans un algorithme de référence
La seconde vulnérabilité dénichée par Claude Mythos se situe dans l’AES (Advanced Encryption Standard), le système de chiffrement le plus utilisé au monde pour protéger des données numériques, qu’il s’agisse de fichiers, de communications ou de mots de passe. Mis au point au début des années 2000, le protocole s’est imposé comme la référence mondiale pour sécuriser aussi bien les données classifiées des gouvernements que des échanges bancaires.
Dans un premier temps, Claude a botté en touche, estimant qu’il était bien trop difficile de dénicher une vulnérabilité dans le fonctionnement de l’AES. Après trois jours d’encouragement et de persévérance, Mythos a fini par mettre au point une nouvelle méthode d’attaque à l’encontre d’Advanced Encryption Standard. Intitulée Möbius Bridge, cette tactique permet de mener à bien une attaque contre le protocole bien plus vite que par le passé. Le protocole n’a pas été compromis, mais sa sécurité est désormais considérée comme amoindrie. Dans son rapport, Anthropic précise bien que la faille dénichée par Claude ne concerne que la version réduite de l’algorithme. Il n’y a donc aucun danger pour les systèmes bancaires, ni pour n’importe laquelle des infrastructures reposant sur l’AES.
« Aucun de ces résultats n’a d’impact pratique sur les systèmes informatiques actuels ; aucun logiciel en production ne devra être modifié », déclare Anthropic, même si ces faiblesses peuvent théoriquement « mettre en danger les données de milliards d’utilisateurs ».
100 000 dollars pour découvrir une faiblesse dans un algorithme
Enfin, Anthropic révèle que chacune des deux découvertes a coûté environ 100 000 dollars de frais de calcul. La start-up précise avoir scrupuleusement suivi une procédure de divulgation responsable des deux failles, conformément aux meilleures pratiques du monde de la cybersécurité. Avant de dévoiler publiquement ses découvertes, Anthropic s’est coordonné avec les concepteurs des algorithmes et avec des responsables gouvernementaux américains.
Le groupe américain souligne que l’IA est désormais en mesure de « détecter des failles dans des conceptions cryptographiques qui avaient échappé aux chercheurs pendant des années ». Pour améliorer la sécurité des algorithmes, Anthropic estime qu’il faut impérativement passer au crible les « systèmes modernes », qui n’ont « pas reçu l’examen qu’ils méritent ». La start-up s’attend à ce que « des faiblesses importantes » soient dénichées par les modèles d’IA dans un avenir proche.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
