Anthropic dévoile Claude Mythos : une IA chasseuse de zero-days rebat les cartes du pouvoir sur Internet

Anthropic a présenté Claude Mythos comme un modèle capable de trouver de manière autonome des vulnérabilités inconnues et de les transformer aussitôt en scénarios d'attaque opérationnels. C'est pourquoi l'entreprise n'a pas rendu le système public : selon sa propre description, une telle IA peut faire plus que signaler un point faible. Elle peut l'attaquer méthodiquement, obtenir des privilèges élevés et enchaîner une série de bugs pour prendre le contrôle de logiciels critiques. Il s'agit des failles dites zero-day : des défauts que les développeurs ne connaissent pas encore et pour lesquels aucun correctif n'existe. Si un outil trouve ces brèches plus vite qu'un humain, le coût d'une erreur grimpe en flèche.

Dans le modèle de défense habituel, les entreprises disposent d'un délai entre la découverte d'un problème et son exploitation de masse. Avec une IA de ce type, cette fenêtre peut presque disparaître : la découverte, l'écriture du code, la recherche d'un moyen de contourner les défenses et l'élévation de privilèges se déroulent dans une seule boucle, sans long travail manuel. Anthropic affirme que Mythos peut, en théorie, relier plusieurs vulnérabilités pour atteindre le niveau des grands systèmes d'exploitation et des navigateurs populaires.

L'affaire ne relève donc pas d'un problème local à un seul éditeur, mais de la résilience de toute l'infrastructure numérique. Si cette approche fonctionne réellement, l'équilibre entre attaquants et défenseurs change : pirater n'exige plus une équipe de spécialistes rares et peut s'appuyer sur une machine qui démultiplie l'expérience, la vitesse et la persévérance.

Dans ce contexte, l'entreprise a lancé Project Glasswing, un programme d'accès limité pour des organisations censées utiliser les capacités du modèle à des fins défensives. 40 partenaires ont déjà été nommés, et tous sont américains. Le détail est important : des outils capables à la fois de renforcer la sécurité et de créer un risque systémique se concentrent au cœur de l'écosystème numérique américain. Officiellement, il s'agit de défense préventive, où les failles doivent être colmatées avant que des malfaiteurs ne les exploitent. En pratique, cela signifie que quelques structures privées obtiennent un accès exclusif à une technologie dont l'influence dépasse largement leurs propres réseaux.

Le seul partenaire extérieur aux États-Unis est le Royaume-Uni, où l'AI Security Institute a obtenu l'accès au système pour tester des modèles de pointe. Après avoir pris connaissance de ses capacités, les ministres britanniques ont averti les entreprises : l'IA va, dans un avenir proche, rendre les cyberattaques nettement plus simples, plus rapides et moins chères, et la plupart des sociétés ne sont pas prêtes. Selon les informations disponibles, la prochaine étape pourrait être des essais dans des banques européennes. Le choix est logique : le secteur financier comprend mieux que d'autres le prix des vulnérabilités, mais il est aussi particulièrement sensible aux conséquences d'erreurs d'évaluation du risque.

La question centrale n'est pas seulement technique, elle est aussi politique. Quand un système sait trouver des points faibles universels dans des logiciels très répandus, il devient un instrument de pouvoir sur l'infrastructure. Ce qui compte alors n'est pas seulement son efficacité, mais aussi qui décide de l'accès, quels bugs corriger en premier, où passe la frontière entre recherche et cyberopération offensive, et comment vérifier les déclarations de l'entreprise elle-même sur la maîtrise des risques. L'Internet ouvert s'est historiquement construit sur la distribution et des règles communes, et non sur le fait que quelques acteurs voient toutes les fissures avant les autres.

Ce que cela signifie

L'arrivée de Claude Mythos montre que la prochaine phase de l'IA en cybersécurité sera définie non seulement par la qualité des modèles, mais aussi par le régime d'accès à ceux-ci. Une technologie qui démultiplie aussi bien la défense que l'attaque exige non seulement des correctifs, mais aussi de nouvelles règles de responsabilité. Sinon, le contrôle de la sécurité numérique commencera à passer des institutions publiques et de l'écosystème au sens large à un cercle restreint d'entreprises privées.