L'Union européenne a vu son agence de cybersécurité, l'ENISA, obtenir l'accès à Mythos 5 d'Anthropic, un puissant modèle d'intelligence artificielle conçu pour identifier et exploiter les vulnérabilités informatiques, après plus de trois mois de négociations. La confirmation, transmise le 10 septembre 2026 par la Commission européenne, marque la première fois qu'une institution de l'UE est en mesure de tester un modèle d'IA cyber à haut risque depuis que les États-Unis ont imposé des contrôles à l'exportation sur cette technologie.
Thomas Regnier, porte-parole de la Commission européenne pour la souveraineté technologique, a déclaré : "Following our constructive engagement with Anthropic, we can confirm that the EU's cybersecurity agency ENISA has been granted access to Mythos 5 and is testing it now." La formulation diplomatique, "constructive engagement", masque ce qui a été manifestement un processus laborieux.
Un écart de trois mois qui a compté
Anthropic a lancé une préversion de Mythos 5 en avril 2026, la rendant accessible à une cinquantaine d'organisations via son programme Glasswing. En juin, le programme s'était étendu à environ 200 partenaires. L'ENISA, l'autorité européenne de cybersécurité basée à Athènes, n'en faisait pas partie pendant des mois.
Trois mois, c'est long en cybersécurité. Durant cette fenêtre, environ 200 organisations, principalement américaines, évaluaient un modèle capable de sonder des réseaux et de démontrer comment des failles logicielles pouvaient être exploitées. Les institutions publiques européennes, chargées de protéger ces mêmes infrastructures, patientaient devant la porte.
Ni Anthropic ni la Commission n'ont divulgué les conditions spécifiques attachées à l'accès de l'ENISA, ni si le retard provenait des exigences américaines en matière de contrôle à l'exportation, des procédures de sélection d'Anthropic, ou d'une combinaison des deux.
Ce que fait Mythos 5 et pourquoi il fait débat
Mythos 5 appartient à une catégorie de modèles d'IA que les chercheurs en sécurité attendaient depuis des années : un modèle capable de trouver et d'exploiter de manière autonome des vulnérabilités dans les systèmes logiciels. Ce n'est pas un assistant polyvalent. C'est un outil conçu pour des opérations cyber offensives et défensives, capable de scanner des systèmes, d'identifier des faiblesses et de montrer comment elles pourraient être compromises.
La nature à double usage de tels modèles est le cœur du problème. La même capacité qui aide une agence de cybersécurité à renforcer ses défenses pourrait, entre d'autres mains, servir à des intrusions offensives. C'est précisément pourquoi les États-Unis cherchent à en contrôler l'exportation, et pourquoi la loi européenne sur l'intelligence artificielle les classe comme systèmes à haut risque soumis à des exigences de transparence, de sécurité et de surveillance.
Contrôles américains à l'exportation et frustration européenne
Le département américain du Commerce a progressivement durci les restrictions à l'exportation des modèles d'IA dotés de capacités cyber significatives. Ces contrôles, qui s'appuient sur d'antérieures restrictions à l'exportation des semi-conducteurs, visent à empêcher des adversaires de se doter de puissants outils d'IA. Ils affectent aussi les alliés.
Les responsables européens ont à plusieurs reprises exprimé leur inquiétude quant au fait que les contrôles américains à l'exportation pourraient désavantager les institutions et entreprises européennes, en retardant leur accès à une technologie disponible commercialement aux États-Unis. L'affaire Mythos 5 illustre ce point : des centaines d'organisations avaient accès au modèle avant que l'agence européenne de cybersécurité ne puisse commencer à l'évaluer.
Cette asymétrie sied mal à l'ambition affichée par l'UE en matière de souveraineté technologique, le principe selon lequel l'Europe doit pouvoir évaluer, réguler et développer les technologies qui affectent ses citoyens sans dépendre de décisions prises à Washington ou dans la Silicon Valley.
La loi sur l'IA comme levier
La loi européenne sur l'IA, entrée en vigueur en août 2024, donne à Bruxelles des outils réglementaires qui n'existaient pas lors du développement des générations précédentes d'IA. Les systèmes d'IA à haut risque, notamment ceux utilisés dans les infrastructures critiques et la cybersécurité, doivent satisfaire à des exigences spécifiques avant de pouvoir être déployés sur le marché de l'UE.
La volonté d'Anthropic d'accorder l'accès à l'ENISA peut refléter le calcul selon lequel la coopération avec les régulateurs européens est préférable à la confrontation. Les entreprises qui ne s'engageraient pas dans le respect des exigences de la loi sur l'IA risquent d'être exclues du plus grand marché unique au monde. La loi donne à l'UE un levier que les contrôles à l'exportation, conçus pour restreindre les flux technologiques vers l'extérieur, ne donnent pas aux États-Unis de la même manière.
L'expansion sélective du projet Glasswing
Le projet Glasswing d'Anthropic est le mécanisme d'accès contrôlé à Mythos 5. Le programme a débuté avec environ 50 organisations en avril 2026 et s'est élargi d'environ 150 supplémentaires en juin, portant le total à quelque 200 partenaires. Anthropic n'a pas publié les critères de sélection des partenaires ni la liste complète des participants.
L'absence de transparence sur qui évalue un modèle doté de capacités cyber offensives significatives constitue en soi un sujet de préoccupation réglementaire. Si les principaux évaluateurs d'un système à haut risque sont choisis par son créateur, l'indépendance de toute évaluation de sécurité est discutable. L'inclusion de l'ENISA, si tardive soit-elle, introduit au moins une autorité publique indépendante dans le processus.
En quoi consistera le test de l'ENISA
L'évaluation de l'ENISA devrait porter sur la conformité des capacités de Mythos 5 à la documentation d'Anthropic, sur la robustesse des garde-fous de sécurité du modèle pour prévenir tout usage abusif, et sur sa capacité à s'intégrer aux opérations de cybersécurité de l'UE dans le respect des exigences de la loi sur l'IA en matière de surveillance et de responsabilité humaines.
Les résultats pourraient influencer la manière dont la Commission classera des modèles comme Mythos 5 sous la loi sur l'IA, et les conditions qu'elle imposera à leur déploiement dans l'UE. Les conclusions de l'ENISA devraient être partagées avec les États membres via les structures de coordination en cybersécurité existantes de l'UE.
Personnalités mentionnées
Organisations
European Union Agency for Cybersecurity (ENISA) · Anthropic · European Commission
