Une faille restée inaperçue pendant 27 ans dans OpenBSD, mise au jour en une semaine par un modèle d'intelligence artificielle : c'est le point de départ d'un commentaire publié le 30 avril 2026 par digitalswitzerland. Son auteur, Christophe Nicolas, Group CIO du groupe Kudelski et membre du comité exécutif de digitalswitzerland, en tire une lecture précise pour la Suisse : selon lui, les infrastructures critiques du pays n'ont pas été conçues pour un tel adversaire. Il s'agit d'un texte d'opinion : les éléments ci-dessous sont ceux qu'il rapporte et défend.
Ce que l'auteur rapporte
D'après le commentaire, un modèle d'IA nommé Claude Mythos, développé par l'entreprise Anthropic, a trouvé dans le système d'exploitation OpenBSD une vulnérabilité que des décennies de vérification humaine n'avaient pas repérée. Toujours selon l'auteur, le modèle a aussi identifié des failles dans tous les principaux systèmes d'exploitation et navigateurs web, et a construit pour chacune une attaque ciblée qui fonctionne. L'ingénieur qui l'utilisait n'avait, écrit-il, aucune formation en sécurité ; une seule consigne aurait suffi : trouver une vulnérabilité.
Christophe Nicolas indique qu'Anthropic a choisi de ne pas rendre le modèle public et d'en réserver l'accès à un consortium américain baptisé « Project Glasswing », qui réunit Microsoft, Google, AWS, NVIDIA, JPMorgan et CrowdStrike. Il souligne que la Suisse n'y a pas été invitée.
Le raisonnement : une hypothèse qui tombe
Pendant trente ans, explique-t-il, la cybersécurité a reposé sur une idée simple : les vulnérabilités graves sont rares parce qu'elles sont difficiles à trouver. Les cycles de correctifs ont toujours été lents, mais cela restait tolérable tant que les attaquants l'étaient aussi.
Si une IA prend en charge la partie difficile, c'est-à-dire chercher les failles à la vitesse d'une machine, en parallèle, sur l'ensemble des codes sensibles ou stratégiques, cet équilibre se rompt. C'est le cœur de son analyse : le rythme des mises à jour ne correspondrait plus à celui des attaques possibles.
Les trois piliers suisses vus par l'auteur
Christophe Nicolas relit ensuite trois atouts traditionnels du pays :
- La confiance : elle repose, selon lui, sur des systèmes qui comptent parmi les cibles les plus attrayantes d'Europe.
- La neutralité : elle place la Suisse, écrit-il, dans la position d'un pays qui applique les décisions d'initiatives comme Project Glasswing sans prendre part aux discussions. En d'autres termes, la Suisse verrait la menace sans qu'on lui remette le mode d'emploi de la défense.
- L'ingénierie minutieuse : les infrastructures sont jugées robustes parce qu'elles l'ont été pendant des décennies ; l'expérience seule ne suffira probablement plus, estime-t-il.
Il cite nommément La Poste, les CFF, l'administration fédérale, les systèmes de santé cantonaux, le réseau électrique et les plateformes privées de gestion de fortune. À ses yeux, aucun de ces systèmes n'a été conçu pour affronter un adversaire capable de trouver en une semaine une faille vieille d'une décennie. Chez les universitaires et responsables politiques, l'intuition dominante serait d'accélérer, une piste pertinente mais encore sans traduction concrète, selon lui.
Sa piste : la sécurité au niveau du matériel
Pour l'auteur, les mises à jour logicielles ne suffiront plus. Il propose d'intégrer la sécurité directement dans le matériel :
- des systèmes capables de prouver leur identité et leur intégrité grâce à des éléments inscrits au cœur des puces ;
- des actions sensibles systématiquement signées, pour qu'aucune opération importante ne passe inaperçue ;
- des méthodes de chiffrement conçues pour résister aux ordinateurs de demain, y compris quantiques ;
- des espaces sécurisés dans les processeurs, capables de se verrouiller proprement en cas de problème plutôt que de laisser fuiter les données.
Il précise que ces technologies existent déjà et que la Suisse dispose des compétences pour les développer. Leur mise en place relève toutefois, selon lui, d'un choix stratégique plutôt que d'un simple achat : traiter la cybersécurité comme un pilier de souveraineté, au même titre que la neutralité, une capacité que la Suisse doit maîtriser elle-même.
Trois messages ciblés
Aux dirigeants, il suggère une question simple : leurs systèmes critiques peuvent-ils prouver qu'ils sont dignes de confiance et tracer chaque action sensible ? Si la réponse reste « nous suivons le calendrier des correctifs », leur stratégie serait déjà en retard.
Aux parlementaires, il rappelle qu'en novembre 2023 la Suisse a opté pour une approche sectorielle de l'IA, cohérente à l'époque mais à ses yeux insuffisante aujourd'hui. Il plaide pour une réponse coordonnée au cours de la législature actuelle, faute de quoi la Suisse risquerait de suivre des décisions prises à Bruxelles plutôt que de contribuer à les façonner. À tous, enfin, il affirme qu'en 2026 la souveraineté dépend aussi de la capacité à comprendre, vérifier et maîtriser les fondations de sécurité des systèmes.
Ce qu'il faut retenir
Le texte mêle des faits rapportés sur Claude Mythos, que le commentaire ne détaille pas sur le plan technique (la faille d'OpenBSD n'y est pas décrite, par exemple), et une analyse personnelle de la position suisse. Il précise que les opinions exprimées restent celles de l'auteur et ne reflètent pas nécessairement celles de digitalswitzerland ; Christophe Nicolas indique aussi avoir écrit avec l'appui de Claude Opus 4.7 pour des suggestions et la relecture. Son constat central, l'écart entre la vitesse de détection des failles et celle des correctifs, interroge les exploitants d'infrastructures ; ses remèdes relèvent d'un choix politique encore à débattre.
