Mythos à l’ère de l’IA : la prochaine phase du risque cyber

Bien que Mythos 5 et Fable 5 soient étroitement liés, leur mode de mise à disposition diffère.

Selon Anthropic, Fable 5 repose sur le même modèle sous-jacent que Mythos 5, mais intègre davantage de garde-fous afin de permettre un usage plus large. Dans des domaines sensibles, notamment la cybersécurité, Fable peut limiter certaines requêtes ou les rediriger vers une version moins performante du modèle. Mythos, à l’inverse, est destiné à des utilisateurs cybersécurité préalablement validés qui ont besoin de capacités techniques plus poussées, avec certaines restrictions assouplies dans un cadre défensif. En résumé, Fable constitue la version la plus encadrée destinée à un usage étendu, tandis que Mythos est une version à accès contrôlé conçue pour des travaux avancés en cybersécurité.

Cette distinction a pris une importance accrue en juin 2026 lorsqu’Anthropic a annoncé que le gouvernement américain avait émis une directive de contrôle des exportations imposant la suspension de l’accès à Fable 5 et Mythos 5 pour les ressortissants étrangers. Anthropic a alors désactivé l’accès aux deux modèles pour l’ensemble de ses clients le temps de se conformer à cette directive. Selon l’entreprise, les préoccupations des autorités portaient sur une méthode potentielle permettant de contourner certaines protections de Fable 5, même si Anthropic contestait la gravité du problème.

Cette évolution montre que les capacités cyber avancées fondées sur l’IA sont désormais considérées comme un enjeu stratégique de sécurité. Pour les UHNWI et les family offices, elles s’inscrivent dans un environnement de menace plus large où patrimoine privé, réputation, sécurité personnelle et informations sensibles doivent être protégés.

Avec Mythos, la préoccupation dépasse le seul risque d’utilisation malveillante externe et englobe également l’usage abusif par des utilisateurs autorisés. Puisque l’accès est réservé à des personnes préalablement validées, le modèle de risque repose largement sur l’hypothèse que ces utilisateurs demeurent dignes de confiance, supervisés et alignés sur des objectifs défensifs. Cette hypothèse crée un scénario spécifique de menace interne : un utilisateur légitime doté de capacités cyber avancées devient malveillant, agit sous la contrainte, nourrit un ressentiment ou voit simplement son compte compromis.

Un utilisateur autorisé de Mythos peut déjà disposer du contexte technique, des autorisations et de la couverture opérationnelle nécessaires pour mener des activités sensibles. En cas d’abus, les mêmes capacités destinées à la découverte de vulnérabilités et aux tests défensifs pourraient servir à identifier des faiblesses exploitables, automatiser certaines phases de reconnaissance, valider des chemins d’attaque ou accélérer l’analyse de systèmes et de données compromis.

Pour les UHNWI et les family offices, ce risque est indirect mais bien réel. Un utilisateur autorisé malveillant ou compromis n’a pas nécessairement besoin de cibler directement le principal concerné. L’écosystème entourant le patrimoine privé constitue souvent une cible plus accessible : plateformes de gestion patrimoniale, cabinets juridiques ou fiduciaires, systèmes de gestion immobilière, portails documentaires sécurisés, fournisseurs de communication, réseaux de conciergerie ou autres prestataires au service de clients fortunés. Une faiblesse dans l’un de ces environnements peut exposer des informations sensibles ou ouvrir un accès direct aux opérations du family office.

La véritable question est donc de savoir si l’accès à ces outils fait l’objet d’une gouvernance, d’une supervision et d’une révocation efficaces. Vérifier un utilisateur au moment de l’octroi des accès est nécessaire, mais insuffisant. Les comportements, les schémas d’utilisation et les résultats produits doivent également faire l’objet d’un contrôle continu et adapté. Cette vigilance est essentielle, car le risque interne n’est pas toujours intentionnel dès l’origine. Un utilisateur de confiance peut être confronté à des difficultés financières, développer un ressentiment, être recruté par un tiers, faire l’objet d’un chantage ou voir ses identifiants dérobés. Dans ce cas, un acteur externe peut bénéficier d’un accès qui semble parfaitement légitime.

Les UHNWI sont exposés à des risques cyber d’une nature que la plupart des particuliers ne rencontrent jamais. Leur vie personnelle, financière et professionnelle est souvent gérée par un vaste réseau de conseillers, collaborateurs, fournisseurs et structures juridiques. Un family office peut ainsi interagir avec des avocats, experts-comptables, trustees, équipes d’investissement, gestionnaires immobiliers, personnel de maison, conseillers en art, organisateurs de voyages, prestataires de sécurité, fondations philanthropiques ou intérêts commerciaux.

Cette organisation crée de l’efficacité, mais elle élargit également la surface d’attaque. Les informations sensibles peuvent être réparties entre de multiples boîtes de messagerie, portails, appareils et systèmes tiers, tandis que certaines responsabilités sont déléguées à des assistants, conseillers ou collaborateurs administratifs. Les attaquants n’ont pas nécessairement besoin de compromettre directement la personne visée ; un intermédiaire proche peut suffire.

L’IA rend cette approche plus efficace. Elle peut aider un attaquant à collecter des informations, identifier des points faibles, analyser des données dérobées, personnaliser des communications et produire des tentatives d’usurpation plus crédibles. Dans le contexte d’un family office, cela peut prendre la forme d’une demande faisant référence à une transaction réelle, utilisant les bons noms, adoptant le ton habituel ou semblant provenir d’un conseiller ou d’un membre de la famille connu.

Une autre implication de Mythos et d’outils comparables réside dans leur capacité potentielle à identifier et tester des vulnérabilités réseau. Dans un cadre défensif, cette fonctionnalité aide les équipes de sécurité à détecter les faiblesses avant qu’elles ne soient exploitées, à prioriser les mesures correctives et à vérifier l’efficacité des contrôles en place. Toutefois, ces mêmes capacités pourraient être détournées en cas d’abus ou de compromission des accès. Un utilisateur bénéficiant de fonctionnalités de niveau Mythos pourrait théoriquement accélérer les activités de reconnaissance, identifier des systèmes exposés, tester des vulnérabilités connues et valider des scénarios d’attaque potentiels sur un réseau cible.

Le programme Project Glasswing d’Anthropic, qui s’appuyait sur Mythos Preview avec un groupe restreint de partenaires, aurait permis d’identifier plus de 10 000 vulnérabilités de niveau élevé ou critique. Anthropic a indiqué que le principal défi n’était plus de découvrir les faiblesses, mais de les vérifier, les divulguer et les corriger. Pour les environnements de gestion de patrimoine privé, cela signifie que le délai entre l’existence d’une vulnérabilité et sa détection pourrait continuer à se réduire.

Les family offices devraient donc partir du principe que les systèmes obsolètes, les appareils non gérés, les mécanismes d’authentification faibles et les plateformes tierces exposées seront identifiés plus rapidement qu’auparavant. Un domaine oublié, un ancien lien de partage de fichiers ou un compte fournisseur insuffisamment sécurisé peut suffire à créer un point d’entrée vers l’ensemble de l’écosystème familial.

Pour les particuliers ultra-fortunés (UHNWI), la menace la plus immédiate est probablement celle de l’ingénierie sociale et de l’usurpation d’identité.

Les family offices reposent sur la confiance et la réactivité. Les instructions qui y circulent sont souvent sensibles, confidentielles et urgentes. Ce mode de fonctionnement peut facilement être exploité par des outils d’IA capables de générer des courriels, messages vocaux, documents et, de plus en plus, des contenus audio ou vidéo synthétiques particulièrement convaincants.

Les signes d’authenticité traditionnellement utilisés deviennent également moins fiables. Un style rédactionnel reconnaissable, une voix familière, un fil de courriels crédible ou un sentiment d’urgence plausible ne doivent plus être considérés comme des preuves suffisantes d’identité. Cette vigilance est particulièrement essentielle lorsqu’une instruction concerne des paiements, une modification de coordonnées bancaires, l’accès à des documents sensibles, des changements de prestataires ou de conseillers, l’accès à des propriétés, des informations de voyage, la sécurité personnelle, des questions juridiques, fiscales ou successorales, ou encore des informations sensibles sur le plan réputationnel.

Le risque ne se limite pas aux pertes financières directes. La compromission d’un canal de communication d’un family office peut exposer des correspondances privées, des itinéraires de déplacement, des adresses, des dossiers juridiques, des informations de santé, des différends familiaux ou des activités philanthropiques. Ces informations peuvent ensuite être exploitées à des fins de fraude, d’extorsion, de pression réputationnelle ou même de ciblage physique.

Le maillon faible ne se situe pas nécessairement au sein même du family office. Des fournisseurs ou conseillers de plus petite taille peuvent détenir des informations précieuses tout en disposant de dispositifs de cybersécurité moins matures. Les family offices devraient donc considérer la sécurité de leurs prestataires comme une composante à part entière de leur propre posture de sécurité. Les diligences raisonnables devraient notamment porter sur les mécanismes d’authentification, les contrôles d’accès, les politiques de conservation des données, les procédures de notification d’incident et l’identification des personnes autorisées à consulter les informations sensibles au sein de l’organisation prestataire. Lorsque des fournisseurs utilisent des outils d’IA avancés à des fins opérationnelles ou de cybersécurité, les family offices devraient également s’assurer de comprendre comment ces accès sont contrôlés, journalisés et audités.

Au cours des 12 à 24 prochains mois, plusieurs évolutions devraient affecter les UHNWI et les family offices:

• Des attaques davantage personnalisées. À mesure que l’IA permettra aux acteurs malveillants d’exploiter à grande échelle des données publiques ou dérobées, les campagnes deviendront plus ciblées, crédibles et convaincantes. La compromission de tiers devrait également rester une voie d’accès privilégiée vers les environnements de gestion de patrimoine privé, en particulier lorsque les fournisseurs ou conseillers disposent de contrôles moins robustes que ceux du family office.
• L’usage abusif par des utilisateurs autorisés comme enjeu de gouvernance. Les restrictions d’accès réduisent l’exposition du grand public, mais concentrent aussi des capacités puissantes entre les mains d’un nombre plus restreint d’utilisateurs. À mesure que ces capacités se diffusent, la supervision, la révocation des accès et la responsabilisation des utilisateurs deviennent essentielles.
• Une vérification par la voix ou la vidéo de moins en moins fiable. Les contenus audio et vidéo synthétiques réduiront la valeur des repères familiers. Les familles et les family offices devront mettre en place des procédures de vérification préalablement définies qui ne reposent pas uniquement sur la reconnaissance d’une voix, d’un visage ou d’un style d’écriture.
• La convergence des risques cyber et personnels. L’exposition cyber se recoupera de plus en plus avec les enjeux de sécurité personnelle et de gestion de la réputation. La compromission d’une boîte de messagerie, d’un appareil, d’un compte fournisseur ou d’un prestataire de confiance peut entraîner non seulement une fraude, mais aussi la divulgation d’informations privées, des tentatives de coercition, des risques de harcèlement ou des atteintes à la réputation.

Mythos est significatif avant tout pour ce qu’il révèle : la rapidité avec laquelle l’IA progresse dans le domaine de la cybersécurité. Le modèle lui-même ne représente pas une menace directe pour les UHNWI ; le risque réside plutôt dans la disponibilité croissante et l’adoption grandissante de méthodes assistées par l’IA.

Le principal enseignement est que la confiance doit désormais être encadrée par des mécanismes de contrôle plus rigoureux et plus formalisés. Dans un environnement de gestion de patrimoine privé, la discrétion et la rapidité sont des atouts précieux, mais elles ne doivent jamais primer sur la vérification, le contrôle des accès et la supervision lorsque sont en jeu le patrimoine financier, la sécurité personnelle, la réputation ou des informations sensibles.

Les familles ultra-fortunées font face à des risques cyber de plus en plus complexes. Le Private Strategic Group de Crisis24 propose une protection discrète, disponible 24h/24 et 7j/7, adaptée au mode de vie et au profil de risque de votre famille. En savoir plus.

Sources

https://www.linkedin.com/pulse/anthropics-claude-mythos-reportedly-circumvents-qpbfe/

https://www.techrepublic.com/article/news-anthropic-nsa-mythos-ai-cyber-operations/

https://www.bbc.co.uk/news/articles/crk1py1jgzko

https://www.anthropic.com/news/claude-fable-5-mythos-5

https://www.bbc.co.uk/news/articles/c932g3v3e13o