Les responsables du Pentagone voient l’IA cyber comme une course défensive, pas seulement comme une menace

La vision du Pentagone sur l’IA cyber évolue

Deux hauts responsables américains de la technologie de défense ont déclaré cette semaine que la nouvelle génération d’intelligence artificielle capable d’opérations cyber ne devait pas être comprise uniquement comme une menace. S’exprimant lors du SCSP AI+Expo à Washington, la secrétaire adjointe à la Politique cybernétique Katherine Sutton et le directeur technologique du Pentagone Emil Michael ont soutenu que des outils inspirés du système Mythos d’Anthropic, encore non publié, pourraient aussi devenir de puissants instruments de défense.

Ces remarques reflètent une posture plus pragmatique au sein du ministère de la Défense, alors que grandit l’inquiétude autour de systèmes d’IA capables d’identifier et d’exploiter des failles logicielles à une vitesse inédite. Plutôt que de présenter cette rapidité uniquement comme une nouvelle source de danger, les responsables du Pentagone soutiennent que cette même capacité pourrait servir à durcir plus vite des systèmes vulnérables que ne le permettent aujourd’hui les équipes humaines.

Sutton a indiqué que le modèle actuel de correction, qui se déploie souvent sur plusieurs jours ou semaines, n’est plus suffisant dans un environnement où l’IA peut aller beaucoup plus vite. Selon elle, l’opportunité clé n’est pas abstraite. Il s’agit de code sécurisé. Si des modèles avancés peuvent détecter rapidement des logiciels défectueux et les réparer, l’armée et ses sous-traitants pourraient commencer à réduire les risques à un rythme que les processus hérités n’ont jamais égalé.

De la “vitesse humaine” à la vitesse machine

Les propos des responsables se sont concentrés sur un point simple mais décisif : les vulnérabilités existent déjà dans une base logicielle tentaculaire, et l’IA change le tempo auquel elles peuvent être trouvées, corrigées et exploitées. Michael a déclaré que ces failles ne sont pas nouvelles. Ce qui change désormais, c’est le calendrier. Des systèmes comme Mythos pourraient permettre aux défenseurs de découvrir les bogues plus vite, mais ils pourraient aussi permettre aux attaquants de transformer ces mêmes bogues en armes plus vite.

Cette réalité à double usage explique pourquoi le moment est si important pour la sécurité nationale. Michael a décrit une période durant laquelle le pays, et pas seulement le gouvernement fédéral, doit renforcer son infrastructure numérique. Le ministère de la Défense dépend d’un patchwork de systèmes logiciels vieillissants et de bases de code ayant accumulé une dette technique pendant de nombreuses années. Dans cet environnement, un modèle capable de corriger de manière autonome du code vulnérable pourrait faire davantage qu’améliorer marginalement les opérations. Il pourrait accélérer un travail que les responsables estiment devoir être fait depuis longtemps.

L’argument n’est pas que le risque cyber disparaît lorsque l’IA entre en jeu. C’est que le seuil de temps acceptable pour la réponse change. Si l’exploitation à vitesse machine devient normale, alors la remédiation à vitesse machine devient nécessaire. C’est un changement majeur pour des institutions construites autour de cycles d’acquisition plus lents, de processus de certification longs et d’une propriété logicielle fragmentée.

Pourquoi Mythos compte même s’il n’est pas unique

Une grande partie des débats publics autour de la table ronde du Pentagone s’est concentrée sur Mythos lui-même, un modèle d’Anthropic qui a attiré l’attention pour ses capacités de piratage rapportées. Mais Michael a cherché à atténuer l’idée qu’une seule entreprise ou qu’un seul modèle définira le domaine. Il a décrit Mythos comme un exemple précoce d’une catégorie plus large de modèles capables de cyberopérations que les grands laboratoires d’IA sont susceptibles de lancer au cours de l’année à venir environ.

Cela compte parce que le Pentagone cherche à penser au-delà d’un différend avec un seul fournisseur. Anthropic poursuit actuellement le gouvernement en justice après que l’administration Trump et le secrétaire à la Défense Pete Hegseth ont interdit l’usage fédéral des produits Anthropic. Michael lui-même a publiquement critiqué le PDG d’Anthropic. Même ainsi, ses propos lors de l’événement suggéraient que l’enjeu stratégique dépasse largement toute relation avec une seule entreprise.

En ce sens, le Pentagone semble signaler deux choses à la fois. Premièrement, il ne pense pas qu’Anthropic détienne un monopole permanent sur ce type de capacité. Deuxièmement, il s’attend à une convergence plus large dans l’IA cyber à mesure que plusieurs entreprises développent des modèles aux fonctions tout aussi avancées. Si cette attente se vérifie, le défi politique ne sera pas de savoir si un système particulier existe, mais comment le gouvernement et l’industrie s’adaptent à un monde où ils sont nombreux.

Un test plus vaste pour les institutions de défense

L’optimisme du Pentagone n’élimine pas les risques associés à ces outils. Il les rend plus nets. Un système capable de détecter et de corriger des vulnérabilités en quelques secondes réduit aussi le temps disponible pour la gouvernance, la validation et la réponse. Les institutions de défense devront décider du niveau d’autonomie qu’il est possible d’accorder en toute sécurité à ces systèmes, de l’endroit où l’examen humain reste indispensable, et de la façon de les déployer sur des réseaux hérités qui n’ont pas été conçus pour ce rythme de changement.

Il existe aussi une question pratique de préparation. Même si les modèles cyber deviennent largement disponibles, le ministère de la Défense doit encore les intégrer à de véritables flux de travail. Cela signifie insérer une IA avancée dans un environnement logiciel défini par d’anciennes plateformes, des pratiques de codage incohérentes et des couches de contrôle bureaucratique. La promesse est importante, mais le défi de mise en œuvre l’est tout autant.

Malgré tout, le message central de Sutton et Michael était clair. L’émergence de l’IA cyber ne crée pas seulement une nouvelle surface de menace offensive. Elle oblige à repenser ce qu’est une défense compétente. Dans cette logique, le succès dépend moins du fait d’empêcher l’apparition de modèles puissants que de l’utilisation de capacités comparables pour réduire l’exposition plus vite que les adversaires ne peuvent l’exploiter.

Pour le Pentagone, cela transforme l’IA d’un projet lointain de modernisation en une exigence opérationnelle immédiate. La course ne consiste pas seulement à créer de meilleurs outils cyber. Elle consiste à faire en sorte que le patching, la remédiation et le durcissement logiciel puissent suivre un paysage de menaces qui dépasse rapidement la vitesse humaine.

Cet article s’appuie sur un reportage de Breaking Defense. Lire l’article original.