Anthropic lance Claude Mythos pour la cyberdéfense, mais a d'abord laissé fuiter ses propres brouillons

Anthropic a lancé Claude Mythos, un modèle d'IA spécialisé dans la détection automatique de vulnérabilités logicielles. Fin mai 2025, le système avait identifié plus de 10 000 vulnérabilités critiques dans des logiciels réels. L'histoire de ce lancement recèle une ironie notable : quelques semaines avant l'annonce officielle, l'entreprise a elle-même provoqué une fuite massive de fichiers internes via son propre site.

Avant le lancement, une fuite de ses propres données

Fin mars, on a appris que le site d'Anthropic était mal configuré. Environ 3 000 fichiers non publiés, dont des brouillons d'articles, des documents PDF et des images, étaient accessibles publiquement et indexés par les moteurs de recherche. Ce ne sont pas des attaquants qui l'ont découvert, mais des chercheurs de LayerX et de l'université de Cambridge : aucun piratage, simplement des spécialistes qui examinaient des ressources publiques et sont tombés par hasard sur des documents qui n'étaient pas les leurs. Fortune a rapporté la découverte.

Parmi les brouillons figuraient des textes dans lesquels Anthropic décrivait elle-même son futur modèle comme porteur de « risques cyber sans précédent », c'est-à-dire potentiellement capable de causer de graves dégâts entre de mauvaises mains. Une entreprise qui se présente comme le développeur d'IA le plus responsable a subi une fuite classique à cause d'un site mal configuré. Beaucoup y ont vu un symbole : l'histoire de capacités cyber sans précédent a commencé par une faille très banale dans sa propre infrastructure.

Lancement officiel : partenaires et premiers chiffres

Le 7 avril, Anthropic a officiellement présenté Claude Mythos Preview dans le cadre du projet Glasswing. Le financement annoncé est de 100 millions de dollars. Parmi les partenaires du consortium :

• AWS, Apple, Cisco
• Google, Microsoft, NVIDIA
• Palo Alto Networks et d'autres grands acteurs du secteur
• 40 organisations pionnières en tant que premiers clients

Le modèle est conçu pour la sécurité offensive professionnelle : il analyse le code et trouve des vulnérabilités qu'un analyste humain pourrait manquer. Un exemple parlant : une faille d'OpenBSD restée inaperçue pendant environ 27 ans. Au 26 mai, Claude Mythos avait identifié plus de 10 000 vulnérabilités critiques dans des logiciels critiques. L'ampleur a impressionné les acteurs du marché.

« C'est l'alliance cyber la plus importante depuis la création de la CISA », a déclaré le PDG de

Palo Alto Networks.

L'accès a dépassé le périmètre prévu

Parallèlement au lancement, on a appris que l'API réelle de Claude Mythos était devenue accessible à des tiers via des partenaires et la chaîne d'approvisionnement, avant que l'architecture de protection autour du produit ne soit entièrement en place. La documentation technique sur l'usage des capacités de Mythos dans des scénarios publics a elle aussi été disponible plus tôt que prévu.

En pratique, un outil de recherche de vulnérabilités a commencé à se diffuser alors que des composants clés de sa propre distribution sécurisée n'étaient pas encore prêts. Aucune intrusion confirmée ni aucun exploit publiquement connu n'a été constaté, mais la situation soulève des questions légitimes sur les processus internes d'Anthropic.

Ce que cela signifie

Claude Mythos est un pas réel vers l'automatisation de la cybersécurité à un niveau jusqu'ici inaccessible. Des dizaines de milliers de vulnérabilités trouvées, un vaste consortium et un financement conséquent indiquent un produit d'entreprise fonctionnel. Mais l'histoire de ce lancement pose une question légitime : dans quelle mesure les propres standards de sécurité d'Anthropic correspondent-ils à ce que l'entreprise promet d'assurer à ses clients ?