Ce que la presse traditionnelle ignore à propos de Mythos

Au fil des ans, nous avons vu quelques affaires de cybersécurité faire irruption dans la presse grand public : Kevin Mitnick en tant que « super hacker » dans les années 90, ILOVEYOU dans les années 2000, Stuxnet dans les années 2010 et Log4J au début des années 2020.

Ce qui se passe avec Mythos représente un tournant similaire. Ce que la presse a, à juste titre, relevé ici et ici et ici et ici Le problème, c'est que Mythos a déjà découvert des milliers de failles zero-day, dont 99 % ne sont pas corrigées. Certaines datent de plusieurs décennies et ces vulnérabilités sont présentes dans tous les principaux systèmes d'exploitation et navigateurs. Si vous n'avez pas encore lu ces articles, vous devriez le faire : la menace que représentent Mythos et les autres modèles LLM n'est pas exagérée.

Dans cet article, nous allons aborder un sujet que la presse traditionnelle ne couvre PAS : la capacité quasi mythique de Mythos à effectuer une ingénierie inverse des applications disponibles publiquement sur l’App Store et le Play Store.

L'histoire moins médiatisée : ce que Mythos signifie pour la résilience des applications

Selon l'AISI, un organisme britannique financé par le gouvernement, Mythos peut prendre un binaire dépouillé de son code source fermé, reconstruire un code source plausible, puis trouver des chemins vers les serveurs back-end. pair plus facilement et de manière plus proactive que les modèles précédents.

Il s'agit d'une catégorie différente de la découverte de vulnérabilités zero-day. Elle consiste à analyser votre application à l'envers et à la transformer en une carte (et un chemin) vers vos systèmes back-end.

Nous l'avions vu venir, et nous l'avions dit dans des articles de blog « pré-Mythos ». ici et iciMythos n'a pas créé cette faille de sécurité, mais l'a industrialisée. Si Mythos peut reconstituer le code source à partir d'un binaire dépouillé, ce code non obfusqué devient accessible à tout modèle suffisamment puissant. Laisser le code d'une application non obfusqué revient à laisser les vulnérabilités de Log4J non corrigées après la divulgation de la faille zero-day. Des modèles/agents mobiles téléchargent déjà des millions de binaires depuis l'App Store et le Play Store, les analysent, repèrent les failles à exploiter et les exploitent sans difficulté pour atteindre votre serveur.

« Table stakes » ne désigne plus *seulement* SAST, mais bien ce que OWASP appelle cela la « résilience » pour la rétro-ingénierie.

La capacité de Mythos à analyser le code source des applications rend la protection contre la falsification indispensable, au même titre que l'analyse statique du code (SAST) l'est devenue vers 2012. Il est impensable de ne pas se protéger contre l'analyse dynamique, d'autant plus que celle-ci peut être effectuée automatiquement, d'un simple clic, à tout moment et n'importe où. Cela rend également la protection contre l'analyse statique elle-même impérative. Ne pas obfusquer son code revient, de fait, à le rendre accessible, du moins du point de vue d'un master en droit (LLM).

Combattre le feu par le feu : utiliser l’IA pour configurer les protections

La même IA qui accélère les attaques peut aussi accélérer les défenses. Nous n'avons plus le luxe de passer des semaines ou des mois à travailler avec nos clients pour élaborer des plans de protection. Aujourd'hui, Digital.ai utilise des LLM pour analyser le code que nous protégeons et pour recommander, puis rédiger eux-mêmes les plans de protection.

Le génie est sorti de sa bouteille

Il est impossible de faire revenir Mythos dans sa bouteille, ni de remettre le dentifrice dans son tube. Anthropic estime que des modèles aux capacités comparables seront plus largement disponibles d'ici 12 à 18 mois.

La bonne nouvelle (enfin, peut-être pas si bonne, mais moins mauvaise) est que les mêmes forces qui accélèrent l'expansion des attaques sont désormais à la disposition des défenseurs. L'obfuscation, dont la configuration prenait auparavant des semaines, peut maintenant être conçue, recommandée et écrite par la même catégorie de modèles que ceux utilisés par les cybercriminels pour démanteler les applications. La question n'est plus de savoir s'il faut intégrer l'IA à sa stratégie de protection, mais plutôt si l'on parvient à la mettre en œuvre avant l'adversaire.

Mythos n'a pas changé les règles du jeu. Il a supprimé la période de grâce qui permettait à la plupart des équipes de progresser à leur propre rythme. Les équipes qui agissent dès maintenant — en obfusquant les binaires, en renforçant la protection contre l'ingénierie inverse automatisée et en utilisant l'IA pour configurer les protections au rythme de la menace — seront celles qui disposeront encore d'un périmètre de sécurité défendable lorsque des modèles équivalents seront largement disponibles.

Les autres subiront le même sort que lorsqu'ils ont tardé à corriger le problème. Vulnérabilités de Log4J, APT parrainés par des États-nations ignorés, ont tardé à adopter les AV après la diffusion d'ILOVEYOU et et ont ignoré le pouvoir de l'ingénierie sociale après l'arrestation de Kevin Mitnick.