Un interrupteur général, pas ciblé
Le 12 juin 2026, le Bureau de l'industrie et de la sécurité du département du Commerce américain a ordonné à Anthropic de suspendre ses modèles Fable 5 et Mythos 5 pour les ressortissants étrangers dans le monde entier, après que les régulateurs ont repéré un jailbreak précis permettant aux modèles de lire une base de code et de repérer des vulnérabilités exploitables plus vite que prévu. La directive a été présentée comme une mesure de sécurité nationale, et non comme une restriction générale des exportations d'IA.
Anthropic a indiqué n'avoir aucun moyen fiable de distinguer, au niveau applicatif, un utilisateur national éligible d'un utilisateur étranger non éligible, et a donc coupé les deux modèles pour tous les clients de la planète, y compris ses propres employés non américains, pour rester en conformité. Seule la National Security Agency a obtenu une exemption, au motif qu'aucun autre modèle n'égalait la capacité de Mythos à découvrir des vulnérabilités.
Tokyo vient de dire tout haut ce qui restait tu
Le 10 août, dans un entretien rapporté par Kyodo News, Yoichi Iida, directeur national de la cybersécurité du Japon et conseiller adjoint à la sécurité nationale, a confirmé publiquement pour la première fois que la suspension de juin a "perturbé des opérations d'analyse de vulnérabilités de sécurité pour des systèmes gouvernementaux clés" au sein même du Japon - le premier aveu public d'un gouvernement allié selon lequel l'application des règles d'exportation de Washington a causé un dommage opérationnel réel, et non un simple désagrément commercial, en terrain ami.
Iida n'a pas présenté l'incident comme une raison de reculer. Il a qualifié d'"inévitable" l'adoption par le Japon de technologies d'IA avancées dans la cyberdéfense, avertissant qu'"il ne serait pas surprenant que le délai entre la découverte d'une vulnérabilité et son exploitation se réduise à une fraction, un centième ou un millième de ce qu'il était auparavant" sans elles.
Le moment choisi aggrave la situation, il ne l'améliore pas
La perturbation est survenue moins de sept semaines avant l'entrée en vigueur, le 1er octobre 2026, de la loi sur la cyberdéfense active, approuvée par le gouvernement de la Première ministre Sanae Takaichi en mars. Cette loi autorise l'Etat japonais à agir de manière préventive face aux risques de cyberattaque - exactement le type d'analyse de vulnérabilités proactive et accélérée par l'IA pour laquelle Fable 5 et Mythos 5 étaient utilisés avant que Washington ne les désactive.
Anthropic a rétabli l'accès mondial à Fable 5 le 1er juillet, après la levée des restrictions américaines fin juin, mais Mythos, le plus performant des deux pour la découverte de vulnérabilités, n'est revenu que pour un groupe vérifié d'organisations américaines. Cela signifie que l'outil dont Tokyo dépendait, selon le propre récit d'Iida, pour l'analyse gouvernementale pourrait ne pas être encore pleinement disponible, à trois mois de l'entrée en vigueur de la loi sur la cyberdéfense active.
La leçon dépasse largement Anthropic et le Japon
Le mécanisme qui a nui au Japon n'était pas une politique ciblée mais une simple limite technique : un fournisseur américain peut être légalement tenu de distinguer les utilisateurs nationaux des utilisateurs étrangers, constater qu'il en est incapable au niveau applicatif, et choisir par défaut d'éteindre un outil pour tous les clients du monde plutôt que de risquer d'enfreindre un ordre d'exportation. Ce comportement par défaut s'applique à tout fournisseur d'IA de pointe basé aux États-Unis, pour toute directive future, quel que soit celui qui est réellement visé.
Pour toute organisation de l'UE ou du Royaume-Uni ayant construit un processus critique pour la sécurité - analyse de vulnérabilités, triage des incidents, audit de code - autour d'un seul modèle étranger de pointe, le cas du Japon est la preuve la plus nette à ce jour que le gouvernement du pays du fournisseur peut couper ce processus du jour au lendemain, sans préavis et sans exception pour les alliés, pour une raison totalement étrangère au client. La réponse pratique n'est pas d'éviter les fournisseurs d'IA américains, mais de s'assurer qu'aucun fournisseur unique ne devienne un point de défaillance unique pour tout ce qui doit continuer à fonctionner le jour où un ordre d'exportation tombe.
À lire ensuite: Anthropic veut tout modèle testé, ouvert ou fermé | Votre contrat cloud décide du sort de Kimi K3
