L'IA vient de trouver des faiblesses cryptographiques que les experts avaient manquées : ce que cela signifie pour votre entreprise

L'IA vient de trouver des faiblesses cryptographiques que les experts avaient manquées : voici ce que cela signifie pour votre entreprise

Le 28 juillet 2026, Anthropic a publié quelque chose qui aurait ressemblé à de la science-fiction il y a un an : un modèle d'IA, travaillant en grande partie seul, a découvert deux faiblesses entièrement nouvelles dans des algorithmes cryptographiques, dont une faille dans un schéma post-quantique que des experts humains avaient examiné pendant deux ans sans la repérer. Si vous dirigez une entreprise, la conclusion pratique est rassurante mais importante : rien de ce que vous utilisez aujourd'hui n'est cassé, et aucun logiciel dont vous dépendez n'a besoin d'être modifié. Ce qui a changé, c'est la direction prise : l'IA est désormais un outil sérieux aussi bien pour attaquer que pour défendre le chiffrement, ce qui justifie d'inscrire la « crypto-agilité » et la préparation post-quantique à votre feuille de route.

Ce qu'Anthropic a réellement annoncé

À l'aide d'un modèle appelé Claude Mythos Preview, les chercheurs d'Anthropic ont mené deux projets de cryptanalyse. Dans le premier, le modèle a trouvé une faille structurelle dans HAWK, un candidat aux futures normes de signature numérique post-quantique du NIST. Dans le second, il a inventé une nouvelle technique d'attaque, qu'il a baptisée « Möbius Bridge », qui accélère une attaque existante contre une version volontairement affaiblie du chiffrement AES. Chaque résultat a demandé au modèle quelques jours de travail et a coûté environ 100 000 $ d'utilisation de l'API. Point essentiel : Anthropic a suivi une divulgation responsable. L'entreprise a consulté des universitaires, communiqué l'attaque sur HAWK aux auteurs de ce schéma en juin, et s'est coordonnée avec le NIST ainsi qu'avec des partenaires gouvernementaux et industriels avant de rendre l'information publique.

La faille post-quantique de HAWK, en termes simples

HAWK est un algorithme proposé pour les signatures numériques, conçu pour rester sûr même face aux futurs ordinateurs quantiques. Sa sécurité repose sur un problème mathématique difficile (le problème d'isomorphisme de réseaux, ou Lattice Isomorphism Problem). Le modèle a découvert une symétrie cachée dans ce réseau, un « automorphisme non trivial », dont les chercheurs soupçonnaient l'existence sans jamais l'avoir trouvée. Cette symétrie permet une attaque plus rapide et réduit à peu près de moitié la force effective de la clé. Pour le petit paramètre de recherche HAWK-256, le coût estimé de l'attaque est passé de 2^64 à 2^38. Les jeux de paramètres plus grands, utilisés en conditions réelles (HAWK-512 et HAWK-1024), restent impossibles à casser en pratique. Et comme HAWK est encore un candidat en cours d'examen par le NIST, déployé nulle part, cette découverte est exactement le type de test de résistance que le processus de normalisation est censé permettre.

L'attaque Möbius Bridge contre AES, et pourquoi « 7 tours » compte

AES est la norme de chiffrement qui protège la plupart des données circulant dans les navigateurs, les applications bancaires et les disques chiffrés. L'AES-128 complet exécute dix « tours » internes. La technique Möbius Bridge du modèle attaque une variante de recherche réduite à sept tours et rend une attaque existante entre 200 et 800 fois plus rapide. Cela semble spectaculaire, mais lisez les petits caractères : elle ne casse pas le véritable AES. Le chiffrement complet à dix tours que vous utilisez chaque jour reste intact, et même l'attaque à sept tours demeure, selon les termes d'Anthropic, « totalement irréalisable en pratique ». Attaquer des variantes à nombre de tours réduit est une méthode courante par laquelle les cryptographes mesurent la marge de sécurité d'un chiffrement, et ici cette marge a tenu.

Pourquoi rien de ce que vous utilisez aujourd'hui n'est cassé

Voici la phrase à retenir, directement d'Anthropic : « aucun de ces résultats n'a d'impact pratique sur les systèmes informatiques actuels ; aucun logiciel en production n'aura à être modifié en conséquence ». HAWK n'est pas en production. Le résultat sur AES vise une variante affaiblie, pas le chiffrement qui sécurise votre trafic. Il n'y a donc aucun correctif à appliquer en urgence ni aucun système à remplacer. Ce que vous voyez est un aperçu de la manière dont la recherche en sécurité fonctionnera désormais.

Ce que cela signifie vraiment pour votre entreprise

Le titre à retenir n'est pas « le chiffrement est cassé ». C'est « le rythme des découvertes vient de changer ». Anthropic prévoit elle-même que l'IA produira bientôt des résultats cryptographiques plus vite que les chercheurs humains ne pourront les valider. Pour une entreprise, cela a trois conséquences pratiques. Premièrement, le délai entre la découverte d'une faiblesse et son exploitation va continuer de se réduire, si bien que votre capacité à appliquer des correctifs et à renouveler vos clés rapidement compte plus que jamais. Deuxièmement, les mêmes outils qui trouvent des failles peuvent renforcer vos systèmes : attendez-vous à ce que les audits de sécurité assistés par l'IA deviennent la norme. Troisièmement, la migration vers la cryptographie post-quantique, prévue de longue date, n'est plus un lointain exercice académique ; le terrain bouge, et les organisations qui savent où elles utilisent le chiffrement s'adapteront bien plus vite que les autres.

Une liste de contrôle pratique pour se préparer

• Faites l'inventaire de votre cryptographie. Sachez où vous dépendez du chiffrement et des signatures : TLS sur vos sites web et vos API, données au repos, VPN, signature de documents et flux de paiement.
• Concevez pour la crypto-agilité. Construisez des systèmes dans lesquels un algorithme peut être remplacé sans réarchitecturer tout le produit. C'est l'habitude la plus précieuse à adopter dès maintenant.
• Planifiez la trajectoire post-quantique. Suivez les normes post-quantiques du NIST et lancez des pilotes pour les données à forte valeur et à longue durée de vie, c'est-à-dire tout ce qu'un attaquant pourrait « stocker maintenant pour déchiffrer plus tard ».
• Gardez une discipline de mise à jour. Des découvertes plus rapides exigent une réaction plus rapide : faites du renouvellement des clés et de la mise à jour des dépendances une routine, pas une urgence.
• Reliez-la à la conformité. Un chiffrement robuste et à jour est un contrôle central au titre de la loi sur la protection des données personnelles (PDPL) de l'Arabie saoudite et des attentes en matière de protection des données : traitez-le comme un programme permanent, pas comme une configuration ponctuelle.

L'approche d'Origami

Chez Origami, nous développons des logiciels en faisant de la sécurité une contrainte de conception, et non une réflexion après coup. Cela signifie des architectures crypto-agiles, une gestion raisonnable des clés, une surveillance des dépendances, et des systèmes suffisamment documentés pour qu'un futur changement d'algorithme soit une modification de configuration plutôt qu'une réécriture. À mesure que l'IA transforme l'attaque comme la défense en sécurité, notre rôle est de maintenir vos systèmes du côté de la défense : à jour, auditables et prêts à s'adapter. Si vous voulez une image claire des endroits où votre entreprise utilise la cryptographie et de votre degré de préparation à ce qui arrive, c'est exactement le type d'examen que nous aidons les organisations saoudiennes à mener.

Sources

• Anthropic — « Discovering cryptographic weaknesses with Claude » : anthropic.com
• NIST — projet de cryptographie post-quantique : csrc.nist.gov