Un gouvernement peut éteindre une IA. Et demain, il pourrait éteindre votre cybersécurité.

Vendredi 12 juin 2026, 17h21 heure de New York. Anthropic reçoit une lettre du département du Commerce américain. Quelques heures plus tard, Fable 5 et Mythos 5 ses deux modèles d’IA les plus avancés en matière de cybersécurité sont désactivés. Partout. Pour tout le monde.

Ce qui s’est passé
L’administration américaine a invoqué ses pouvoirs de contrôle des exportations et la sécurité nationale pour exiger la suspension de l’accès à ces deux modèles pour tout ressortissant étranger, qu’il se trouve aux États-Unis ou non y compris les propres employés non-américains d’Anthropic. Techniquement incapable de filtrer ses utilisateurs par nationalité sur une infrastructure cloud mutualisée, l’entreprise a dû couper l’accès pour l’ensemble de sa clientèle mondiale, Américains compris. Amazon Web Services, qui héberge ces modèles, a confirmé avoir révoqué l’accès sur toutes ses régions.

Le motif invoqué : une méthode de contournement des garde-fous (“jailbreak”) de Fable 5, signalée au gouvernement par une entreprise tierce. Anthropic conteste vigoureusement la mesure. Selon l’entreprise, la vulnérabilité démontrée ne permettrait d’accéder qu’à des failles mineures et déjà connues, reproductibles avec d’autres modèles publics, dont GPT-5.5 d’OpenAI. Dans son communiqué, Anthropic prévient que si ce standard était appliqué à l’ensemble de l’industrie, il paralyserait tout nouveau déploiement de modèle frontier, quel que soit le fournisseur.

Mythos avait pourtant été conçu avec prudence : dévoilé en avril 2026, il était d’abord resté réservé à une cinquantaine d’organisations partenaires dans le cadre du programme Glasswing, jugé trop sensible pour une diffusion ouverte. Fable 5, lancé le 9 juin, en était une version grand public volontairement bridée, qui redirigeait automatiquement les requêtes sensibles cybersécurité, biologie, chimie vers un modèle moins avancé. Trois jours après son lancement, il était débranché.

Peu importe, au fond, qui a raison sur le fond du désaccord technique. Ce qui frappe, c’est la mécanique : une seule lettre, reçue un vendredi soir, a suffi à couper l’accès à un outil critique pour des centaines d’organisations à travers le monde, sans préavis ni recours immédiat.

Un précédent, pas un accident isolé
Jusqu’à présent, les contrôles à l’export américains ciblaient principalement le matériel puces, serveurs de calcul à destination de pays comme la Chine. C’est la première fois qu’une telle mesure frappe directement l’accès à un grand modèle de langage déjà déployé commercialement, et par ricochet l’ensemble de ses clients internationaux.

Au Royaume-Uni, plusieurs responsables politiques, dont d’anciens ministres, ont souligné que des chercheurs, entreprises et hôpitaux britanniques utilisaient le modèle désormais coupé. Aux Pays-Bas comme en France, des responsables politiques ont relié l’épisode à la question de la souveraineté numérique. L’analyse la plus juste n’est sans doute pas “faut-il quitter les fournisseurs américains ?” ce serait caricatural mais plutôt : quels usages critiques peuvent supporter une interruption, une restriction ou une modification unilatérale d’accès, décidée par une administration étrangère ?

Et si la prochaine lettre concernait votre EDR ?
Voilà la question qui devrait nous occuper. Aujourd’hui, c’est un modèle de langage utilisé pour la recherche de vulnérabilités. Mais la France et l’Europe dépendent aujourd’hui massivement de solutions américaines pour l’essentiel de leur sécurité informatique : EDR, SOC, filtrage réseau, cloud. Ces solutions sont efficaces, matures, souvent excellentes. Mais elles reposent toutes sur la même mécanique de dépendance un acteur, une juridiction, une décision administrative suffisent à en couper l’accès.

Ce n’est pas une question de sabotage caché ni de “kill switch” dissimulé dans un produit. Le mécanisme est plus banal, et c’est bien ce qui le rend instructif : il suffit que la juridiction sous laquelle un outil est conçu et opéré ait le pouvoir d’en interdire l’usage à une catégorie d’utilisateurs. Pas besoin de malveillance, juste d’un cadre réglementaire qui s’applique unilatéralement, à l’échelle mondiale, du jour au lendemain.

Construire l’indépendance par choix, pas par contrainte
Il existe pourtant des alternatives françaises et européennes solides, en cybersécurité comme sur d’autres briques critiques. Les choisir n’est ni du repli ni du protectionnisme naïf : c’est une question de résilience opérationnelle. Toutes les organisations n’ont pas vocation à tout reconstruire en interne, et l’essentiel des usages quotidiens rédaction assistée, support client, classification de documents se traite très bien avec des outils moins avancés ou plus diversifiés. Mais pour les fonctions réellement critiques, la question mérite d’être posée à froid, plutôt que découverte un vendredi soir sous la pression d’un courrier qu’on n’a pas vu venir.

Mieux vaut bâtir cette indépendance tranquillement, par anticipation, que de la découvrir un jour sous la contrainte.