Ce qui s'est passé le 11 mai 2026
Lundi 11 mai 2026, la Commission européenne a confirmé une annonce qui passe relativement sous les radars de la presse française, mais qui a fait l'effet d'un séisme dans les couloirs de Bruxelles. OpenAI a officiellement proposé à l'Union européenne l'accès à GPT-5.5-Cyber, une version spécialisée de son nouveau modèle, conçue pour la cybersécurité.
Thomas Regnier, porte-parole de la Commission européenne, a salué la transparence d'OpenAI. Les institutions européennes (dont l'EU AI Office), les autorités de cybersécurité, les gouvernements et certaines entreprises stratégiques européennes vont donc pouvoir tester le modèle dans un cadre encadré.
Mais ce qui rend l'annonce vraiment marquante, c'est ce qu'elle révèle en miroir : Anthropic, le concurrent direct, refuse de donner le même accès à son propre modèle de cybersécurité, Claude Mythos. Et l'Europe commence à comprendre qu'elle a un problème.
Qu'est-ce que GPT-5.5-Cyber et Claude Mythos ?
Pour comprendre l'enjeu, il faut savoir ce que sont ces deux modèles. Comme nous l'avons évoqué dans notre article sur Claude Mythos, ce sont des IA spécialisées en cybersécurité, capables de tâches très avancées :
- Détection automatique de vulnérabilités dans des millions de lignes de code
- Analyse de logiciels malveillants et rétro-ingénierie de malwares
- Pentesting automatisé (simulation d'attaques pour tester les défenses)
- Validation de patchs de sécurité en quelques minutes au lieu de plusieurs semaines
Les tests indépendants du UK AI Security Institute ont mesuré la puissance brute de ces modèles. Sur un test simulant une cyberattaque corporate en 32 étapes (que aucune IA n'avait jamais réussi à compléter avant 2026), Claude Mythos a réussi 3 fois sur 10. GPT-5.5 a réussi 2 fois sur 10. Pour donner une échelle : un hacker humain expérimenté met plusieurs jours pour réaliser cette même attaque. Les modèles la font en quelques minutes.
Ce qu'un défenseur peut faire avec ces outils, un attaquant peut le faire aussi. Trouver une faille dans un système bancaire prenait des semaines à une équipe de hackers. Cela prend désormais quelques heures avec Mythos ou GPT-5.5-Cyber. Si ces outils tombent dans les mauvaises mains, ils transforment radicalement la nature des cyberattaques. C'est exactement pour cette raison que leur diffusion est contrôlée si étroitement.
Les deux philosophies qui s'affrontent
OpenAI et Anthropic ont choisi deux stratégies opposées pour gérer le risque de prolifération.
OpenAI a opté pour l'ouverture contrôlée. Son programme s'appelle Trusted Access for Cyber (TAC) et compte déjà des milliers de défenseurs vérifiés et des centaines d'équipes protégeant des infrastructures critiques. La logique : plus on diffuse l'outil aux gentils, plus on augmente les chances que les méchants soient détectés et neutralisés. OpenAI inclut notamment Deutsche Telekom et BBVA dans son programme européen.
Anthropic a choisi la restriction stricte. Son programme s'appelle Project Glasswing et compte seulement 12 partenaires de lancement plus 40 organisations supplémentaires. Les partenaires de lancement sont AWS, Apple, Cisco, CrowdStrike, Google, Microsoft, Nvidia, et quelques autres. Tous sont américains, et tous ont signé un engagement strict d'usage défensif uniquement. La logique : un outil aussi puissant doit rester dans un cercle ultra-restreint, sinon le risque de fuite est trop grand.
Ironiquement, malgré ces précautions, des sources évoquent qu'un groupe non autorisé aurait déjà réussi à obtenir un accès à Mythos. Ce qui montre les limites pratiques de la stratégie de verrouillage.
| Critère | OpenAI GPT-5.5-Cyber | Anthropic Mythos |
|---|---|---|
| Programme d'accès | Trusted Access for Cyber (TAC) | Project Glasswing |
| Nombre d'organisations bénéficiaires | Milliers (programme ouvert) | ~52 (restreint) |
| Test 32 étapes (UK AI Security Institute) | 2/10 réussites | 3/10 réussites |
| Accès Union Européenne | Oui (mai 2026) | Refusé |
| Vérification renforcée requise | Advanced Account Security (juin 2026) | Validation manuelle Anthropic |
L'alerte de la Bundesbank qui change tout
Le passage le plus inquiétant de l'affaire vient de la Bundesbank allemande, la banque centrale d'Allemagne. Dans une intervention publique récente, elle a explicitement exhorté l'Union européenne à réclamer l'accès à Mythos auprès d'Anthropic, avec un argument glaçant : "Les banques européennes ne peuvent pas se défendre contre les menaces activées par l'IA sans cet accès."
Pour comprendre le poids de cette alerte, il faut savoir qu'aux États-Unis, des réunions ont déjà eu lieu entre les CEO des grandes banques américaines, Jerome Powell (président de la Réserve Fédérale), Scott Bessent (secrétaire au Trésor), et JD Vance (vice-président). Toutes ces réunions ont porté sur les implications de Mythos pour le système financier américain. Les banques américaines ont accès à Mythos. Les banques européennes, non.
Concrètement, cela signifie qu'une banque américaine peut désormais, grâce à Mythos, identifier et corriger ses propres failles avant qu'un attaquant ne les exploite. Une banque française ou allemande qui ne dispose pas du même outil est donc structurellement plus vulnérable. Si un attaquant équipé d'un modèle équivalent (par exemple obtenu par fuite ou par développement chinois) lance une campagne coordonnée contre les banques européennes, ces dernières seront désavantagées.
Cette situation révèle une réalité dérangeante : la cybersécurité bancaire européenne dépend désormais d'un laboratoire privé américain, qui décide unilatéralement à qui il donne accès à son outil. Si Anthropic continue de refuser l'accès à Mythos, l'Europe doit développer son propre équivalent (probablement chez Mistral ou un consortium européen), ou accepter une asymétrie permanente face aux États-Unis. Aucune des deux options n'est confortable.
Pourquoi Anthropic résiste-t-il ?
La position d'Anthropic mérite d'être comprise, pas seulement critiquée. L'entreprise estime que Mythos est tellement puissant qu'il pourrait, s'il tombait entre de mauvaises mains, déclencher une vague de cyberattaques sans précédent. Pour Dario Amodei (PDG d'Anthropic), la diffusion contrôlée n'est pas un caprice commercial, c'est une obligation de sécurité civilisationnelle.
Cette position est cohérente avec l'ADN d'Anthropic. Comme nous l'avons exploré dans notre article sur le problème du contrôle de l'IA, Anthropic est l'entreprise qui investit le plus dans la sécurité et l'alignement. Refuser de diffuser largement Mythos est cohérent avec cette philosophie.
Sam Altman (PDG d'OpenAI), de son côté, a publiquement critiqué cette approche, qualifiant la stratégie d'Anthropic de "marketing de la peur". Mais ironiquement, OpenAI a fini par appliquer la même logique de restriction pour GPT-5.5-Cyber, sous forme atténuée.
Ce que ça change pour l'Europe et la France
L'accès à GPT-5.5-Cyber pour les institutions européennes est une bonne nouvelle, mais c'est une bonne nouvelle insuffisante. Trois conséquences concrètes en découlent.
Premièrement, l'Europe gagne du temps pour comprendre l'ampleur du risque. Les autorités européennes vont pouvoir tester GPT-5.5-Cyber et calibrer leurs défenses en conséquence. C'est mieux que rien.
Deuxièmement, l'Europe doit accélérer son propre développement. Comme nous l'avons documenté dans notre article sur le retard français, l'Europe a tous les talents pour développer son propre modèle cyber. Mistral AI a déjà annoncé un modèle spécialisé pour 2027. Mais ce timing est probablement trop tardif compte tenu de la vitesse à laquelle les capacités cyber des IA évoluent.
Troisièmement, cette affaire prouve que la souveraineté numérique européenne ne peut plus être un slogan. Quand un laboratoire américain peut décider unilatéralement de l'accès ou non à un outil critique pour la défense des banques européennes, ce n'est plus de la dépendance commerciale, c'est de la dépendance stratégique. L'Europe doit en tirer les leçons.
L'asymétrie qui se dessine pour 2026-2027
Si on extrapole les tendances actuelles, voici ce qui se profile pour les 18 prochains mois. Les États-Unis vont continuer à diffuser ces outils en interne avec des programmes de vérification renforcée. Les grandes banques, opérateurs télécoms et infrastructures critiques américaines seront protégés. L'Europe disposera d'un accès partiel via OpenAI, mais probablement avec un décalage de capacité de plusieurs mois sur les nouveaux modèles.
Pendant ce temps, comme nous l'avons montré dans notre article sur la guerre IA USA-Chine, la Chine développe ses propres équivalents (notamment chez Qwen et DeepSeek), mais avec une diffusion gouvernementale très large. Le risque est qu'à terme, un acteur étatique chinois ou russe dispose d'un outil cyber équivalent à Mythos, et que les banques européennes se retrouvent prises en tenaille : moins bien défendues que les Américaines, face à des attaquants aussi bien équipés.
L'annonce du 11 mai 2026 marque donc un tournant. Pour la première fois, l'Europe découvre publiquement qu'elle dépend d'un labo privé américain pour sa propre cybersécurité. Le bras de fer entre les régulateurs européens, Anthropic et OpenAI ne fait que commencer. Et il déterminera probablement plus l'avenir de la souveraineté numérique européenne que tous les plans politiques empilés depuis cinq ans.