L'impact potentiel de l'IA sur le secteur bancaire :une plongée approfondie dans le nouveau modèle d'Anthropic

Le légendaire braqueur de banque américain Willie Sutton a passé 40 ans à braquer des banques parce que, comme il l'affirme dans son autobiographie, il adorait le faire. Et lorsqu'on lui a demandé pourquoi il avait choisi de braquer les banques, il aurait répondu "Parce que c'est là que se trouve l'argent".

En 2017, j’ai écrit un livre prédisant que ce ne seraient pas seulement des voleurs adorables comme Sutton qui braqueraient bientôt les banques, mais aussi l’intelligence artificielle (IA).

Ce jour, semble-t-il, pourrait être sur le point d’arriver. Les banques du monde entier craignent que les cybercriminels ne profitent bientôt des dernières avancées de l'IA pour tenter de les voler.

La porte dérobée numérique vers le coffre-fort

L’inquiétude du monde financier repose sur les impressionnantes capacités cyber d’un produit appelé « Mythos ». Il s'agit du modèle d'IA le plus récent et le plus performant d'Anthropic, la société à l'origine du populaire chatbot Claude.

En tant que membre du public, vous ne pouvez pas accéder ou utiliser ce modèle – pour l’instant. C'est parce qu'Anthropic (et bien d'autres) pense que Mythos est trop capable de se lancer dans un monde sans méfiance.

Les tests internes de Mythos ont découvert des milliers de failles de sécurité graves sur tous les principaux systèmes d'exploitation et navigateurs Web.

Certaines de ces vulnérabilités n’ont pas été détectées depuis des décennies. Il existe de nombreuses vulnérabilités que les spécialistes de la technologie appellent des vulnérabilités « zéro jour » :des attaques si dangereuses que les développeurs doivent les corriger en un délai de zéro jour.

Dario Amodei, directeur général d'Anthropic, affirme que son nouveau modèle est trop puissant pour être rendu public à ce stade. Markus Schreiber/AP

Pas pour un usage public

Pour contrer cette menace émergente, Anthropic a mis le modèle à la disposition d'une douzaine de partenaires d'une coalition défensive comprenant Microsoft, Amazon Web Services, Apple, Cisco et la Linux Foundation.

La société a également engagé 100 millions de dollars américains (environ 140 millions de dollars australiens) en crédits d'utilisation et 4 millions de dollars américains (environ 5,6 millions de dollars australiens) en subventions open source pour commencer à trouver et à corriger ces bogues.

En outre, plus de 40 organisations supplémentaires – dont un certain nombre de banques américaines – ont également obtenu accès. Mais ce qui est inquiétant, c'est qu'à notre connaissance, Anthropic n'a encore accordé l'accès à aucune banque en Australie, au Royaume-Uni ou en Europe.

Pour ajouter aux inquiétudes, Anthropic a confirmé mercredi qu'elle enquêtait sur des allégations contenues dans un rapport de Bloomberg selon lesquelles un petit groupe d'utilisateurs non autorisés aurait eu accès à Mythos. Toutefois, à ce stade, rien n’indique que cet accès présumé ait eu lieu à des fins malveillantes.

Lire la suite :Claude Mythos et Project Glasswing :pourquoi un superhacker IA met le monde de la technologie en alerte

Devriez-vous vous inquiéter ?

La semaine dernière, les régulateurs et les décideurs politiques du monde entier se sont réunis à l’occasion de la réunion de printemps du Fonds monétaire international à Washington. La guerre en Iran était un sujet majeur. Mais les participants ont également émis une série d'avertissements concernant cette menace émergente en matière de cybersécurité pour le secteur bancaire.

Non seulement les banques sont une cible attrayante, car c'est là que se trouve l'argent, mais le secteur fonctionne également sur de nombreux systèmes existants, des technologies vieilles de plusieurs décennies qui peuvent être particulièrement vulnérables à ce type d'attaques.

Personnellement, vous n’avez pas besoin d’être trop inquiet. De nombreux pays disposent de solides protections pour les clients des banques. En Australie, par exemple, les premiers 250 000 dollars australiens des dépôts d’un client sont assurés par le biais du programme de réclamations financières soutenu par le gouvernement.

Et la Commission australienne des valeurs mobilières et des investissements veille à ce que les banques enquêtent et remboursent les transactions frauduleuses lorsque le client n'est pas en faute.

Ce n’est donc probablement pas une bonne idée de retirer votre argent et de le mettre sous le matelas. Mais les banques devraient se précipiter (et se précipitent) pour remédier à ces vulnérabilités.

Je vous recommande de mettre régulièrement à jour votre ordinateur et votre smartphone pour disposer des derniers systèmes d'exploitation et applications bancaires. Il y aura probablement de nombreuses autres mises à jour dans un avenir proche, à mesure que de nouvelles vulnérabilités seront découvertes et corrigées.

Et, comme vous l'avez sûrement été, vous devez être toujours vigilant face aux attaques de phishing par e-mail et SMS tentant d'obtenir vos informations d'identification bancaires.

Le président de la Réserve fédérale américaine, Jerome Powell, était parmi les participants à la réunion de printemps du Fonds monétaire international à Washington. Shawn Thew/EPA

L'évolution du paysage des menaces

À plus long terme, Mythos expose le défi selon lequel la défense est beaucoup plus difficile que l’attaque. Les logiciels sont l’un des produits les plus complexes construits par l’humanité. Il est donc presque impossible de s’assurer qu’il soit exempt de bugs.

Cela nous met dans une course sans fin contre les « méchants » pour découvrir et corriger les défauts avant qu'ils ne soient exploités.

Par exemple, en grande pompe, l’Union européenne vient de lancer son application de vérification de l’âge, conçue pour être la pierre angulaire des lois émergentes sur l’accès aux médias sociaux, à la pornographie et à d’autres contenus soumis à une limite d’âge. Cependant, en quelques heures, les experts en sécurité ont découvert des cyber-vulnérabilités que les utilisateurs mineurs pourraient facilement exploiter.

Dans les contextes les plus critiques, nous pouvons essayer de prouver mathématiquement que notre logiciel est exempt de bogues. Par exemple, la Beneficial AI Foundation vient d'annoncer un ambitieux projet « moonshot » visant à prouver que l'application de messagerie populaire Signal est exempte de bogues et protège la vie privée comme on le prétend.

Mais de tels efforts constituent aujourd’hui l’exception plutôt que la norme. Peut-être que de nouveaux progrès en matière d'IA pourraient bientôt contribuer à inverser cette tendance.