Latest / Le centre de gravité / Glasswing, ou pourquoi un labo californien est en train de devenir l'OTAN de la cyber

Transcript

Glasswing, ou pourquoi un labo californien est en train de devenir l'OTAN de la cyber · Le centre de gravité

0:00
Épisode Glass Wing ou pourquoi un labo californien est en train
0:04
de devenir l'OTAN de la cyber chapitre un, le Bug qui aurait
0:09
cloné les banques, une faille dans une bibliothèque que
0:13
personne ne connaît et qui tient en silence la moitié de
0:16
l'infrastructure de confiance du web.
0:18
Wolf SSL, quasi personne en dehors des ingénieurs embarqués
0:21
ne connaît ce nom. C'est une bibliothèque
0:23
cryptographique écrite il y a 20 ans, environ 80000 lignes de
0:27
code, et elle tourne dans des milliards d'appareils, du
0:29
Routeur Wi Fi de la maison au calculateur d'une voiture
0:32
connectée, en passant par les terminaux de paiement et les
0:35
équipements médicaux des hôpitaux.
0:37
La faille trouvée s'appelle CVE 202650194.
0:39
Selon anthropic, repris par autre hardware le 23 mai 2026,
0:42
elle aurait permis à un attaquant de forger des
0:46
certificats de sécurité. Donc de monter un faux site
0:53
bancaire indistingable du vrai ou un faux serveur mail
0:56
invisible pour le client patché à temps.
0:59
Mais avant le patch grande ouverte, le Bug n'a pas été
1:03
trouvé par une équipe humaine. Il a été trouvé par un modèle
1:06
d'i a qu'anthropique n'a volontairement pas mis sur le
1:08
marché public. Claude Mitos preview sur le mois
1:12
écoulé, ce modèle a remonté plus de 10000 vulnérabilités classées
1:15
I ou critical dans des logiciels d'usage massif. 90,6% de vrais
1:20
positifs validés indépendamment chiffres rapportés par autre
1:22
hardware fin mai 2026. On pourrait s'arrêter là,
1:26
applaudir la prouesse technique et tenir 20 Min sur la sécurité
1:29
de l'Open source. Ce ne serait pas le bon épisode
1:32
parce que ce que ce bug révèle n'est pas un trou dans Wolf SSL.
1:35
Le vrai trou est ailleurs. Le modèle qui a trouvé la faille
1:39
n'est accessible qu'à un cercle d'environ 50 partenaires triés,
1:41
Microsoft et Google dedans. Cloud flair et Verizon aussi.
1:49
Pour la CNIL française, le BSI allemand ou l'Agence européenne
1:52
de cybersécurité, aucune information publique anthropic
1:55
appelle ça Project Glass Wing vers dépoli en anglais comme une
2:00
vitre opaque qui ne laisse passer que ce qu'on a décidé
2:03
qu'elle laisserait passer. C'est nouveau, on n'avait jamais
2:06
vu ça jusqu'ici, on connaissait 2 régimes pour les capacités
2:09
stratégiques, soit on les met en open source et tout le monde
2:12
s'en débrouille. C'est le régime du noyau Linux
2:14
ou du chiffrement TLS. Soit on les enferme dans un labo
2:19
classifié. C'est le régime des armes
2:20
nucléaires américaines ou de la recherche sur les pathogènes en
2:24
gain de fonction. Glasswing n'est ni l'un ni
2:26
l'autre, c'est un 3e État où une boîte privée californienne
2:30
décide sans mandat public et sans audit externe vérifiable,
2:34
qui mérite l'accès à une capacité qui pèse sur la
2:36
sécurité de milliards d'appareils.
2:39
La question que pose glasswing n'est donc pas est ce
2:41
qu'anthropique a bien fait de garder le modèle fermé ?
2:44
La question est plus dérangeante.
2:46
Qui a écrit les règles du jeu, auxquelles anthropiques, joue
2:48
maintenant et qu'est ce que ça donne quand un acteur privé
2:51
devient l'un des principaux régulateurs de fait de la
2:54
cyberdéfense mondiale 6 mois avant son introduction en
2:57
bourse ? Chapitre 2, la vitre dépolie ou
3:02
comment en est un régime, le pourquoi du chiffre 50. 50
3:07
partenaires alors c'est un chiffre étrange, un chiffre trop
3:12
petit pour faire un standard de marché.
3:14
Et pourtant trop grand pour faire un cercle classifié. 50,
3:19
c'est le chiffre d'un club sélectif et gérable, mais
3:23
surtout contrôlable. Reprenons l'histoire telle
3:26
qu'entropique la raconte le poste Glass Wing tombe début mai
3:30
2026. Le titre officiel parle
3:33
d'initiative collaborative, de cybersécurité.
3:37
La logique défendue est qu'il faut absolument que la défense
3:40
ait accès à Mythos preview avant que des attaquants n'aient accès
3:43
à un modèle équivalent. C'est la lecture officielle.
3:47
Daniela Amodei, présidente, d'entropique le formule tel
3:51
quel, cité dans aia magazine du 20 mai 2026.
3:55
Ses capacités cyber au niveau frontière vont proliférer dans
3:58
les mois qui viennent, dit elle, et tous ceux qui y auront accès
4:02
ne se concentreront pas sur la défense.
4:04
Pris au sérieux, ce raisonnement implique 2 choses qui ne
4:07
s'emboîtent pas bien. D'abord, il suppose qu'il existe
4:11
une fenêtre temporelle pendant laquelle seuls les défenseurs VT
4:14
auront accès à un modèle de classe mythos.
4:16
Cette fenêtre est étroite et probablement courte.
4:20
XAI travaille sur des capacités proches, deepsic aussi, et les
4:24
capacités cyber suivent une trajectoire qui ressemble à
4:27
celle des modèles de raisonnement de 2024. 6 mois
4:32
entre l'avance d'un labo et le rattrapage par tous les autres.
4:35
Glass Wing est donc un SAS, pas un système.
4:39
Ensuite, il y a la question du filtre qui rentre anthropique
4:43
décide sur quels critères ? Le Poste officiel parle
4:48
d'organisation de confiance, doté de capacités techniques et
4:51
engagé à la divulgation responsable.
4:54
C'est mot. Surtout, c'est unilatéral.
4:58
Microsoft, Google et Verizon ont signé.
5:01
Cloudflare aussi. Mais l'État français qui pilote
5:04
la sécurité des opérateurs d'importance vitale via l'anssi
5:08
n'apparaît dans aucune liste publique de partenaires, pas
5:11
plus que l'Agence européenne de cybersécurité ou que le bureau
5:15
fédéral d'enquêtes américain. La question qui décide qui
5:18
mérite la défense ? N'a reçu aucune réponse
5:21
publique. Et puis il y a le coup,
5:24
glasswing n'est pas gratuit, les partenaires accèdent à Mythos
5:28
Preview dans le cadre d'accords commerciaux.
5:30
Qui suppose 1NDA et un volume d'usage négocié, avec très
5:34
probablement un engagement de revenu à la clé.
5:38
Verizon a signé un partenariat officiel le 15 mai 2026 où
5:42
l'opérateur utilise mythos pour scanner les vulnérabilités de
5:45
son propre réseau cloud. Flair a déclaré selon benzinga
5:50
du 22 mai avoir remonté 2000 bugs internes, dont 400
5:54
critiques. Grâce à mythos.
5:55
Ce sont des prestations tarifées.
5:59
La défense est un service et anthropique en est le
6:01
fournisseur exclusif. Tant que Mythos reste fermé.
6:05
Et cette architecture commerciale exclut presque
6:07
mécaniquement les acteurs publics européens.
6:10
L'anssi française ne peut pas signer du jour au lendemain un
6:14
contrat de sécurité critique avec un fournisseur étranger
6:17
unique, sans appel d'offres, sans cadre légal européen, sans
6:21
validation politique. Le club est donc anglo américain
6:25
par construction, pas par hasard.
6:28
Donc, résumons le mécanisme, il tient debout sur un dispositif
6:32
simple, un cercle de 50 partenaires triés à la main qui
6:36
accèdent à un service commercial tarifé pendant une fenêtre
6:39
temporelle qui ne durera pas. À la barre de l'ensemble, un
6:43
acteur privé qui se positionne en arbitre des capacités
6:46
cybercritiques. Il faut sortir de l'angle
6:49
cybersécurité pour entrer dans l'angle gouvernance.
6:53
Parce que ce qui est en train de se mettre en place ressemble
6:56
très exactement à un précédent qu'on a déjà oublié.
7:01
Chapitre 3, l'autre fois que ça s'est passé.
7:05
Phil Zimmerman, son livre, épais comme un dictionnaire, est le
7:09
tribunal qui a perdu en silence. 1991, Phil Zimmerman est un
7:13
ingénieur américain, militant pacifiste qui s'est passionné
7:16
pour la cryptographie depuis les années 70.
7:19
Il vit à Boulder, dans le Colorado, la trentaine bien
7:21
entamée, 2 enfants et la conviction tenace que si le
7:24
gouvernement bloque l'accès au chiffrement fort pour les
7:26
citoyens ordinaires, la démocratie y perdra ceux qui ne
7:29
se rattrapent pas. Il écrit un logiciel qu'il
7:31
appelle Pretty Good Privacy PGP et il le distribue gratuitement
7:35
à. Un par disquette et par modem.
7:37
À l'époque, le chiffrement fort relève des réglementations
7:40
américaines sur l'exportation d'armements, les eatars.
7:42
Le code de chiffrement y est considéré comme un armement au
7:45
même titre qu'un fusil ou un missile, et son exportation est
7:48
strictement contrôlée. Le gouvernement américain ouvre
7:51
une enquête criminelle contre Zimmerman en 1993.
7:53
Il risque en théorie plusieurs années de prison pendant 3 ans.
7:56
L'affaire traîne. Zimmerman fait alors un coup de
7:59
génie. En juin 1995, il publie le code
8:01
source de PGP dans 1£ édité par. MIT Press papier brochet, plus
8:08
de 900 pages, un listing typographique propre mis en page
8:11
comme un Manuel technique prêt à être scanné, un objet à
8:14
mi-chemin entre l'ouvrage savant et l'arme déposée à la vue de
8:17
tous. 1£ est protégé par le premier amendement de la
8:19
Constitution américaine, donc, juridiquement, on peut
8:22
l'exporter en toute liberté. Aux Pays-Bas et en Norvège, un
8:25
réseau de bénévoles cypherpunk s'organise autour d'un
8:28
mathématicien norvégien, Stall Schumacher, qui coordonne le
8:31
projet PGP international. Page par page, il scanne
8:34
l'ouvrage. Reo Series, le code Recompile
8:37
Pgp et le diffuse dans le monde entier.
8:39
Le contrôle d'exportation est mort dans le silence.
8:42
L'enquête contre Zimmermann est abandonnée en 1996, sans
8:44
victoire pour personne. 3 ans plus tard, en 1999, la Cour
8:47
d'appel du 9e circuit américain tranche dans l'affaire Bernstein
8:49
contre les États-Unis. Le code source informatique est
8:52
une forme d'expression protégée par le premier amendement.
8:54
Les régulateurs viennent officiellement de perdre la
8:57
Crypto Wars, le wassenard arrangement signé en 1996 pour
9:00
maintenir un cadre. Internationale est immédiatement
9:07
débordée par les versions open source du chiffrement fort.
9:10
Aujourd'hui, le protocole TLS protège chaque connexion HTTPS
9:12
de la planète. Les régimes autoritaires
9:13
s'arrachent les cheveux, WhatsApp tourne partout
9:15
signalent aussi, et Apple comme Google embarquent du chiffrement
9:19
de bout en bout par défaut sur leurs appareils.
9:21
La Crypto Wars a été perdue par les régulateurs, pas par
9:24
incompétence, par physique. Une technologie une fois
9:27
inventée ne se laisse pas remettre dans la boîte.
9:29
Maintenant, transposons glasswing fait exactement ce que
9:31
les eatards ont essayé de faire. En 1991, maintenir une capacité
9:36
critique dans un cercle restreint, le temps qu'on
9:38
s'organise anthropique n'a pas le poids des États-Unis mais
9:41
elle joue le même coup avec moins de moyens sur un sujet où
9:44
la pression de réplication est encore plus forte.
9:46
Parce que la cyberdéfense n'est pas une niche de chercheurs,
9:49
c'est l'un des marchés les plus lourds du logiciel mondial.
9:51
Tout le monde veut sa part et chaque acteur étatique sérieux a
9:55
déjà ses propres équipes qui tournent sur lama où quen.
9:57
Sans parler des modèles ouverts de Mistral, la réplication d'une
10:00
capacité mitose prendra 12 à 24 mois maximum.
10:05
Les itards perdaient face à 1£ de 900 pages et un bénévole
10:08
norvégien. Glaswing devra tenir face à plus
10:11
d'une dizaine de laboratoires concurrents et à plusieurs États
10:13
qui investissent des milliards de dollars chaque trimestre dans
10:16
l'i a donc glaswing fera quoi ? Probablement ce que les itars
10:19
ont fait, tenir un peu, ralentir l'inévitable et finir absorbé
10:23
par la diffusion généralisée, non sans avoir construit
10:25
entre-temps un écosystème de partenaires privilégiés.
10:27
Avec une différence importante, les Itars avaient un mandat
10:31
démocratique validé par le Congrès américain.
10:33
Glaswing n'en a. Et c'est précisément cette
10:37
absence de mandat qui rend le récit officiel inconfortable.
10:40
Chapitre 4, le récit safety et l'i PO d'octobre, pourquoi 2
10:44
choses peuvent être vraies en même temps ?
10:46
Pour la suite, il faut tenir une nuance que peu d'analyses
10:48
tiennent. Le récit safety d'Anthropique
10:50
n'est pas mensonger. Les fondateurs Dario et Daniela
10:53
Amodé ont quitté open AI en 2021, précisément sur des
10:55
désaccords de safety. Le travail de constitutionnal
10:57
AI, les évaluations Red teaming menées en interne, la
11:00
transparence assumée sur les risques, tout cela est sérieux
11:03
et documenté. Anthropique et probablement à
11:07
l'heure où on parle le labo qui prend ses sujets le plus au
11:09
sérieux et en même temps blasswing est un coup commercial
11:12
brillant. Venture BIT, cité par Picus
11:14
Security dans son poste du 16 mai 2026, rapporte qu'Anthropic
11:16
prépare une introduction en Bourse pour octobre 2026.
11:19
À ce niveau d'enjeu, la question pour les investisseurs n'est
11:22
plus est ce que l'i a marche ? La question est, qu'est ce qui
11:25
rend anthropique structurellement supérieur à
11:26
open AI, à Google, à XAI ? La réponse marketing tient en
11:29
une ligne, un modèle si puissant qu'on le restreint
11:32
volontairement. Dans un cadre de gouvernance
11:36
privé co construit avec les plus grands acteurs cyber du monde.
11:40
Larry dignan, analyste chez constellation Research, l'a dit
11:43
publiquement, et c'est cité dans le post picus du 16 mai, Glass
11:46
Wing est bon pour l'industrie et un super coup marketing pour
11:49
Claude. Les 2 ne s'excluent pas, la
11:51
phrase est précieuse parce qu'elle évite la double erreur
11:53
classique, avaler le récit safety sans nuance ou basculer
11:56
dans la dénonciation conspirationniste.
11:58
Le précédent a gardé en tête est connu.
12:00
En février 2019, open AI publie GPT2 et déclare selon ses
12:04
propres mots. Qu'il est trop dangereux pour
12:06
être release publiquement. Le code complet sort 6 mois plus
12:09
tard sans drame et tout le monde s'aperçoit que là dangerosité
12:12
annoncée était surestimée. Ce qui restait, c'était une
12:15
histoire. Le narratif du modèle si
12:17
puissant qu'il fait peur a fait beaucoup, beaucoup pour la
12:19
perception d'open AI sur les marchés Glass Wing et
12:22
l'évolution sophistiquée de ce coup.
12:23
Cette fois, il n'y a pas de release retardée suivi d'un
12:26
démenti embarrassant. Il YA1 programme structuré des
12:28
partenaires de premier rang et un dossier solide patch Wolf SSL
12:31
bien réel. Chiffres vérifiés à 10000
12:33
vulnérables. C'est de la rareté manufacturée
12:37
posée sur du béton et c'est exactement pour ça que les
12:40
investisseurs vont l acheter le récit.
12:42
Nous sommes les seuls à pouvoir faire ce que nous restreignons
12:44
est l'un des plus puissants de l'histoire du capitalisme
12:46
technologique. Apple l'a joué avec le
12:48
verrouillage de L App Store, Nvidia en a fait cuda vendue
12:51
maintenant comme une douve infranchissable anthropique
12:54
monte le même coup avec mythos ? Ce n'est pas mal en soi, c'est
12:57
même habile, mais l'investisseur ou le RSSI qui prend glasswing
13:00
pour une seule lecture safety fait la même erreur que celui
13:02
qui prend la fermeture iOS pour une.
13:05
Seule lecture sécurité il y a toujours une 2nde lecture qui
13:08
paye. Chapitre 5, la grille à 12 mois,
13:12
ce qu'on devra voir pour savoir si glasswing devient une norme
13:15
où s'éteint en doctrine de transition.
13:17
Pour un dirigeant lucide, Glasswing n'est utile que si on
13:20
en tire une grille de surveillance. 6 moments de
13:22
vérité, tous vérifiables d'ici la fin du printemps 2027.
13:25
Commençons par le cercle, un État européen, disons le BSI
13:30
allemand ou l'Anssi française. Finira par demander publiquement
13:34
à rejoindre glasswing. La réponse oui ou non
13:37
d'entropique fera basculer la lecture entre clubs privés et
13:40
mécanismes quasi international. La vitesse de réplication
13:44
concurrentiel est le 2e indicateur à suivre.
13:47
Si open AI ou Google Deep mind annonce sa propre coalition
13:50
cyber dans les 6 mois, glasswing devient un standard de fête du
13:54
marché. au-delà de 18 mois, entropic aura tenu une avance
13:57
qui pèsera lourd à l'i PO. Le contournement open source
14:01
arrivera comme toujours la trajectoire dipsique et quen
14:05
suggère qu'un modèle en open wait atteindra une capacité de
14:08
découverte proche de Mitos en 12 à 18 mois.
14:10
Quand cela arrive, l'ancrage de rareté du récit glasswing
14:14
s'évanouit côté étatique, le signal à gaieté et la signature.
14:18
Une administration occidentale finira par signer avec glasswing
14:22
comme prestataire de premier rang pour la sécurité de ses
14:25
opérateurs d'importance vitale. Si le Pentagone ou la Maison
14:29
Blanche fait référence à Mythos comme source officielle
14:31
d'évaluation des vulnérabilités, on aura franchi une étape, un
14:35
labo privé devient régulateur de la sécurité d'État.
14:39
Et puis il y aura l'incident parce qu'il y a toujours un
14:42
incident. Tôt ou tard, une vulnérabilité
14:44
critique sera trouvée par un attaquant avant que mythos ne la
14:47
trouve, ou pire, exfiltrée d'un partenaire vt avant la
14:51
divulgation responsable. La gestion de cette crise sera
14:55
plus révélatrice que tous les communiqués officiels réunis.
14:59
Reste le signal le plus important.
15:01
Autour d'octobre 2026, entropique entre en bourse.
15:05
Lisez attentivement le document S un déposé auprès de la SEC, le
15:09
régulateur américain des marchés financiers.
15:12
La place que glasswing y occupera dira tout.
15:15
S'il est traité comme un programme Safety en marge, la
15:18
sincérité l'emporte à l'inverse. Un avantage concurrentiel
15:22
structurel central mis au cœur du récit business signera la
15:25
victoire du commercial. La vérité sera probablement
15:29
entre les 2, mais c'est le prospectus, pas le récit du labo
15:32
qui sera l'arbitre. Donc on referme.
15:36
Glasswing est un objet hybride sur lequel se télescope 3 choses
15:39
qu'on a l'habitude de séparer, une initiative de cybersécurité
15:43
réelle avec des Vulnérabilités patchées et des dégâts évités.
15:47
Un précédent de gouvernance technologique privée qu'aucun
15:50
État n'a mandaté. Et puis en arrière-plan, un coup
15:53
commercial brillant à 6 mois d'une IPO majeure.
15:57
Tout est vrai en même temps, et c'est ensemble qu'il faut le
15:59
lire, aucun analyste qui n'aurait pas internalisé les 3
16:03
ne pourra dire quoi que ce soit d'utile sur ce qui se joue dans
16:06
les 12 prochains mois. La leçon des cryptowares est
16:09
claire, la capacité va finir par se diffuser.
16:12
La question vraiment importante n'est donc pas comment
16:15
anthropique protège mythos ? C'est à quoi ressemble le monde
16:18
où mitos est partout et qui aura à ce moment-là gardé une
16:22
longueur d'avance grâce à glasswing, c'est le vrai pari.
16:27
Vous écoutiez glasswing ou pourquoi un labo californien est
16:30
en train de devenir l'OTAN de la cyber.
16:33
Merci d'avoir écouté jusqu'au bout.
16:34
Si cet épisode vous a parlé, partagez le.