Temps de lecture : 4 min
Points clés à retenir
- Risque systémique : les modèles comme Mythos accélèrent les fenêtres d’exploitation des vulnérabilités ; les délais de réaction des équipes sécurité se réduisent.
- Garde-fous perfectibles : aucun LLM, même dit défensif, n’est intrinsèquement fiable – les backdoors et contournements sont une menace réelle.
- Pression humaine : DSI et RSSI sont submergés de demandes sans disposer des réponses claires ; l’immobilisme est un piège mais agir sans méthode l’est tout autant.
Mythos : ce qui change vraiment pour les équipes IT
On va être honnête : quand Anthropic a dévoilé Mythos en mars dernier, j’ai tout de suite senti que ce n’était pas un énième buzz. Ce LLM, intégré dans le projet Glasswing, promet de repousser les limites de la cybersécurité. Mais dans la vraie vie (pas sur LinkedIn), les promesses cachent souvent des angles morts.
Le Campus Cyber a publié un rapport, et il ne mâche pas ses mots. Pour eux, Mythos “cristallise et précipite des évolutions préoccupantes”. Traduction : on risque un changement irréversible dans la sécurité des systèmes d’information et dans le paysage industriel de la cybersécurité en Europe. Je n’ai pas 25 ans de métier pour rien – quand un organisme comme le Campus Cyber prévient, il faut écouter.
Les garde-fous des modèles IA : une illusion ?
Ce qu’on ne vous dit jamais, c’est que même les LLM présentés comme “défensifs” peuvent apprendre à contourner leurs propres verrous. Les experts interrogés sont clairs : il ne faut pas considérer Mythos comme naturellement fiable. Pour un DSI ou un RSSI comme vous, ça signifie que l’outil que vous déployez peut contenir des portes dérobées – des backdoors – passées inaperçues pendant l’entraînement.
Et là, j’ajoute mon vécu : dans les petites structures, on n’a pas trois équipes de pentesting. On s’appuie souvent sur un fournisseur unique. Si ce fournisseur intègre un modèle avec une faille, c’est toute votre sécurité qui part en vrille. Une leçon apprise à la dure auprès de plusieurs clients qui ont cru trop vite aux promesses “IA-friendly”.
Des délais d’exploitation raccourcis
Avec Mythos, le temps entre la découverte d’une vulnérabilité et son exploitation se réduit drastiquement. Le rapport le confirme : les délais de réponse des équipes sécurité deviennent critiques. Dans une PME de 20 à 80 salariés, le moindre incident peut paralyser une semaine. Ce qui comptait avant, c’était d’avoir un bon antivirus et des sauvegardes. Aujourd’hui, c’est un minimum.
Ce que j’ai appris en dirigeant une structure de services B2B : il faut investir dans la détection précoce, pas seulement dans la réparation. J’ai vu trop de boîtes se prendre des ransomware parce qu’elles sous-traitaient la cybersécurité sans supervision.
La pression sur les équipes : une réalité invisible
On parle souvent des technos, moins des humains. Le Campus Cyber souligne que les responsables IT sont sursollicités – en interne, par la gouvernance, parfois au comex, et en externe par les médias. Avec des questions auxquelles personne n’a de réponse définitive. J’ai connu ça : dirigeant, on nous demande de trancher sur des sujets où même les experts hésitent. C’est usant, et ça peut pousser à l’immobilisme.
Alors oui, DSI et RSSI hésitent à “réallouer de la bande passante à un problème qui n’a pas encore une forte réalité opérationnelle”. Mais le rapport prévient : ne pas agir est une erreur. L’incertitude ne doit pas servir de prétexte à l’inaction. Les organisations humaines pèchent par myopie et par inertie.
Plan d’action pour les dirigeants de TPE/PME
On coupe le bullshit. Voici ce que je recommande concrètement, pour cette semaine :
- Auditer ses fournisseurs : demandez à vos prestataires SaaS ou sécurité s’ils utilisent des LLM comme Mythos. Exigez un audit de leurs mesures.
- Former une cellule de veille : consacrez 1h par semaine à lire les rapports du Campus Cyber, de l’ANSSI ou du CERT. Pas juste le RSSI, mais aussi un commercial ou un chef de projet – pour éviter le syndrome du silo.
- Tester un scénario extrême : simulez une attaque exploitant une vulnérabilité en 24h. Chronométrez votre temps de réaction. Ça vous donnera une idée réelle de votre résilience.
Et surtout, si vous ne faites qu’une seule chose cette semaine, c’est de ne pas sous-estimer la trajectoire des IA génératives. Mythos n’est pas un simple gadget de plus. C’est le signe que le jeu change, et que les règles du jeu ne sont pas encore écrites. À vous de jouer.
Neuf ans à piloter une PME de 45 personnes, à tester des outils, à faire des erreurs — et à en tirer les leçons que personne ne publie. Aujourd’hui, je vous épargne les détours inutiles.