Anthropic dévoile Mythos : une IA chasseuse de failles qui change déjà la cybersécurité et la guerre

Pour Anthropic, Mythos n'est pas une énième version de chatbot. C'est le signe que l'IA a franchi un seuil au-delà duquel elle peut changer sensiblement la cybersécurité comme la planification militaire. Le modèle ne se contente pas de repérer des erreurs dans le code : il les transforme en exploits fonctionnels presque sans intervention humaine. C'est pourquoi l'entreprise n'a pas ouvert l'accès au grand public. Gregory Allen, conseiller senior du Wadhwani AI Center du CSIS, le dit sans détour : ces systèmes renforcent la défense et rendent en même temps le monde plus dangereux pendant la transition, tant que les logiciels vulnérables n'ont pas été réécrits ni corrigés.

Anthropic a annoncé Claude Mythos Preview le 7 avril 2026. L'entreprise décrit le modèle comme un système de pointe à usage général, doté de solides compétences agentiques en programmation et en raisonnement, mais ce qui distingue Mythos, c'est son niveau de capacités cyber. Selon Anthropic elle-même, le modèle a déjà trouvé des milliers de vulnérabilités de haute gravité, y compris dans chaque grand système d'exploitation et chaque grand navigateur web. Dans ses documents officiels, l'entreprise écrit que Mythos peut découvrir et exploiter de façon autonome des vulnérabilités zero-day.

Lors des tests internes et externes, cela ressemble à un saut qualitatif : sur le benchmark CyberGym, le modèle a obtenu 83,1 %, contre 66,6 % pour le modèle précédent le plus proche d'Anthropic. Parmi les exemples déjà divulgués figurent un bug vieux de 27 ans dans OpenBSD, une vulnérabilité de 16 ans dans FFmpeg et une chaîne de bugs dans le noyau Linux.

En raison de son double usage, Mythos n'a pas été lancé publiquement. Anthropic a plutôt créé Project Glasswing, un programme restreint dans lequel le modèle est confié aux entreprises et organisations responsables de logiciels et d'infrastructures critiques. Parmi les partenaires de départ, l'entreprise cite AWS, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, NVIDIA, Palo Alto Networks et la Linux Foundation.

L'accès a aussi été donné à plus de 40 autres organisations qui maintiennent ou développent des logiciels critiques. Anthropic consacre à ce programme jusqu'à 100 millions de dollars de crédits d'utilisation de Mythos, plus 4 millions de dollars de dons directs à l'écosystème open source. La logique est simple : si de tels modèles deviennent bientôt plus largement accessibles, les défenseurs doivent disposer au moins d'une petite fenêtre pour colmater les brèches les plus dangereuses.

Pour Allen, cette fenêtre est justement l'enjeu central. Selon lui, la cybersécurité souffre depuis des années d'une pénurie de spécialistes, et les bons attaquants comme les bons chercheurs en vulnérabilités sont trop chers et trop rares. Si l'IA se met à accomplir seule une part importante de ce travail, c'est toute l'économie du secteur qui change. Dans le scénario idéal, presque tout nouveau produit logiciel passerait par une sorte de « test Mythos » avant sa sortie : le modèle tenterait de le casser avant les malfaiteurs. Mais entre l'état actuel d'internet et ce scénario s'étend une immense couche de code ancien, notamment des projets open source portés par de petites équipes et des bénévoles.

Allen juge que les 12 prochains mois seront une période de restructuration massive et douloureuse, en particulier pour les banques, l'énergie et les autres propriétaires d'infrastructures critiques. Il affirme aussi que le gouvernement fédéral américain est très loin de pouvoir créer un modèle de pointe comparable et dépend donc d'entreprises privées ; dans le cas d'Anthropic, il estime que l'avance sur les concurrents peut aller de six à 18 mois.

Le volet militaire de l'échange est tout aussi cru. Allen explique que les modèles d'Anthropic sont utiles non seulement en cyberdéfense, mais aussi pour le renseignement et les tâches de combat, et affirme que les États-Unis utilisent déjà de telles capacités d'IA dans la guerre contre l'Iran. Comme cadre de référence, il rappelle le Project Maven : au départ, une tentative d'automatiser l'analyse primaire des flux vidéo de drones et de satellites pour soulager les analystes.

Aujourd'hui, selon lui, l'association de la vision par ordinateur et des grands modèles de langage permet non seulement de marquer un objet à l'écran, mais aussi de comparer les changements dans le temps, de repérer des anomalies, de rédiger une première version de note de renseignement et d'accélérer tout le cycle de décision.

Allen avance un chiffre parlant : alors que le repère du système américain se chiffrait auparavant en dizaines de frappes par jour, durant les premières 24 heures de la campagne en Iran, dit-il, il s'agissait d'environ 1000 cibles touchées. Derrière chacun de ces chiffres, il n'y a pas seulement les frappes, mais des milliers de décisions de traitement du renseignement, d'identification et de priorisation de cibles mobiles et camouflées.

La principale conclusion : Mythos compte moins comme modèle fermé et rare que comme signe d'une nouvelle phase. L'IA commence à remplacer un travail d'expert rare dans les domaines les plus sensibles, de l'audit de code à l'analyse du renseignement. Pour le marché, cela signifie une demande accrue de correction accélérée des vulnérabilités, de nouvelles normes de développement sécurisé par défaut et un lien plus étroit entre laboratoires d'IA, clouds, banques et État. Pour les États, une dépendance désagréable envers des développeurs privés qui avancent plus vite que la bureaucratie. Et pour tous les autres, une courte fenêtre pendant laquelle ces mêmes outils peuvent encore servir avant tout à défendre plutôt qu'à attaquer.