Anthropic dévoile Mythos : un nouveau modèle d'IA qui change d'échelle dans la recherche et l'exploitation de failles

Anthropic semble avoir dévoilé l'un des premiers outils d'IA qui change non seulement la vitesse, mais la mécanique même de la cybersécurité. Les premiers testeurs jugent Mythos nettement plus puissant que les précédents modèles de l'entreprise, et son accès reste volontairement limité pour l'instant, afin de laisser une longueur d'avance aux défenseurs avant que des capacités similaires n'arrivent entre les mains des attaquants.

Mythos est le nouveau modèle d'Anthropic pour la programmation et les tâches agentiques, mais c'est en cybersécurité que son bond est le plus visible. L'entreprise ne l'a pas diffusé largement et a lancé un programme fermé, Project Glasswing. Y participent Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, Nvidia et Palo Alto Networks. La logique est simple : confier d'abord le modèle à ceux qui maintiennent des infrastructures critiques et de vastes bases de code, afin qu'ils aient le temps de repérer et de combler les points faibles.

Nuance importante : Mythos ne ressemble pas à un modèle « de hacker » étroitement spécialisé. Anthropic le décrit comme son système généraliste le plus puissant pour le code et les tâches agentiques, et présente ses capacités en cybersécurité comme un effet secondaire de ces progrès. Plus un modèle comprend de grands projets, réécrit du code et exécute seul de longues chaînes d'actions, mieux il trouve et exploite les faiblesses. C'est pourquoi l'entreprise ne parle pas d'une simple mise à jour, mais du franchissement d'un seuil au-delà duquel les mesures de sécurité antérieures ne suffisent plus.

Selon les premiers partenaires, Mythos surpasse les générations précédentes non seulement pour dénicher des bugs, mais aussi pour ce qui exige d'ordinaire un ingénieur expérimenté en sécurité offensive : reproduire le problème, comprendre le chemin d'attaque et enchaîner plusieurs vulnérabilités en une chaîne opérationnelle. Anthropic écrit sans détour que son précédent modèle, Opus 4.6, ne savait presque pas transformer seul les erreurs trouvées en exploit fonctionnel. Dans un benchmark interne fondé sur Firefox, l'ancien modèle n'a obtenu que quelques réussites, alors que Mythos a mené des attaques à leur terme bien plus souvent.

La vérification indépendante de l'AI Security Institute britannique apporte des chiffres à ces évaluations. Sur des tâches de niveau expert, le modèle a atteint 73 % de réussite et, dans une simulation d'attaque d'entreprise en 32 étapes, il est le premier système à avoir franchi le scénario de la reconnaissance à la prise de contrôle totale du réseau. Il a mené toute la chaîne à bien dans 3 tentatives sur 10 et a passé en moyenne 22 étapes sur 32. Ce n'est pas important parce que l'IA aurait soudain « inventé » un nouveau type de piratage, mais parce qu'elle a commencé à automatiser des étapes longues et coûteuses pour un humain.

Pour l'instant, Anthropic met en avant l'usage défensif. L'entreprise affirme que Mythos a déjà aidé à identifier des milliers de vulnérabilités zero-day dans des logiciels critiques, et a consacré 100 millions de dollars de crédits de calcul au programme d'accès anticipé. Mais l'envers du décor est évident : ce qui aide aujourd'hui à corriger et à auditer peut accélérer demain le travail des attaquants. Les partenaires du projet préviennent sans détour que le délai entre la découverte d'une faille et son exploitation concrète passe de plusieurs mois à quelques minutes, surtout si le modèle sait agir de façon agentique et ne perd pas le contexte sur de grandes bases de code.

Pour le marché, le signal va dans deux directions. D'abord, la cyberdéfense ne peut plus se contenter d'audits espacés et de correctifs planifiés : si des modèles du niveau de Mythos deviennent réalité, la défense doit elle aussi devenir quasi continue. Ensuite, le risque principal se déplace des « supermodèles » eux-mêmes vers la qualité de l'infrastructure qui les entoure.

Les grandes entreprises dotées d'équipes de sécurité solides les intégreront sans doute plus vite à leur défense. Les plus fragiles semblent être les petites et moyennes organisations, avec leurs systèmes anciens, leurs cycles de mise à jour longs et leur pénurie de spécialistes. Pour elles, l'arrivée de Mythos peut être non pas une actualité abstraite du monde de l'IA, mais un avertissement direct.