Anthropic et Claude Mythos aggravent la menace : l'IA met les cyberattaques à la portée des novices

En avril 2026, Anthropic a dévoilé Claude Mythos Preview et fortement durci le débat sur la façon dont l'IA transforme la cybersécurité. La principale crainte du secteur n'est plus que les modèles trouvent des bugs, mais que des personnes sans solide formation technique puissent les trouver et les exploiter.

Du concours à l'alarme

Dès août 2025, lors du DARPA AI Cyber Challenge à Las Vegas, des équipes ont testé des systèmes de recherche automatique de vulnérabilités sur 54 millions de lignes de code réel. Les outils ont trouvé non seulement des erreurs introduites artificiellement, mais aussi de vrais bugs que les organisateurs ne comptaient pas montrer. C'est un basculement important : avant même le battage autour de Mythos, on voyait que l'IA sait déjà chercher des vulnérabilités à une échelle qui demande bien plus de temps à un humain, voire à une équipe de chercheurs.

Aujourd'hui, le marché ne craint pas l'automatisation elle-même, mais sa démocratisation. Autrefois, les script kiddies récupéraient des scripts tout faits sur internet et lançaient les exploits d'autrui, souvent sans comprendre leur fonctionnement. Avec des modèles d'IA de ce niveau, le schéma change : au lieu de copier de vieux outils, on peut demander au système, en dialogue, d'étudier un nouveau code, de proposer une chaîne d'attaque et de peaufiner un exploit pour une cible précise. Pour les attaquants peu qualifiés, ce n'est plus une accélération, mais presque une nouvelle classe de capacités.

Les attaques coûtent moins cher

Ce qui inquiète le plus les experts n'est pas Claude Mythos lui-même, mais la chute brutale du coût d'une attaque au sens large : temps, efforts et qualification requise. Selon les chercheurs, trouver une vulnérabilité sérieuse dans une base de code inconnue pouvait prendre des semaines, voire des mois ; cela prend désormais des heures. Tim Becker, de Theori, l'un des finalistes de l'AIxCC, affirme sans détour qu'avec des consignes minimales, et parfois aucune, l'IA peut déjà trouver des zero-days dans des logiciels très répandus.

«

Le seuil d'entrée pour trouver un bug dans une base de code d'un million de lignes est désormais bien plus bas qu'avant. »

Du coup, il devient rentable d'attaquer même des systèmes qui semblaient trop confidentiels ou trop coûteux à étudier. Si l'effort est quasi gratuit, des acteurs malveillants peuvent chercher des faiblesses dans des configurations rares, des logiciels d'entreprise internes ou des services utilisés par une seule société. Les modèles peuvent tester rapidement des variantes, combiner des schémas d'erreurs connus et écrire des ébauches d'exploits fonctionnelles presque à la volée.

Anthropic tente de contenir le risque : l'accès à Mythos est limité, et Claude Opus 4.7 intègre une protection contre les requêtes cyber malveillantes. Mais rien ne garantit que les autres développeurs seront aussi prudents.

Le vrai problème : les correctifs

Pour les entreprises, le principal risque ressemble désormais moins à une « apocalypse des vulnérabilités » qu'à une « apocalypse des correctifs ». Si les modèles trouvent des milliers de problèmes plus vite que les équipes ne peuvent les vérifier et les corriger, le goulot d'étranglement n'est plus la recherche, mais la réaction.

Les experts conseillent de préparer dès maintenant un plan Mythos-ready : segmenter les réseaux, remettre de l'ordre dans la gestion des identités et des accès, adopter des approches memory-safe là où c'est possible et supprimer la dépendance à une authentification faible. Moins une entreprise dispose de couches de défense aujourd'hui, plus la prochaine vague de rapports de vulnérabilités fera mal.

• Segmentation des réseaux et des services
• Contrôle strict des identités et des accès
• Code et architecture plus sûrs
• Authentification résistante au phishing et mises à jour rapides

Un autre effet est désagréable : la fenêtre entre la publication d'une vulnérabilité et l'apparition d'un exploit se referme presque. Dès qu'un correctif sort, les attaquants peuvent le disséquer, comprendre ce qui a été corrigé et traquer les systèmes non mis à jour. La priorisation devient donc presque aussi ardue que la correction. Une vulnérabilité critique dans un service interne n'est pas toujours plus dangereuse qu'une faille moins grave sur le périmètre externe.

Ce flux doit être pris en charge par des humains : analystes de la menace, équipes de réponse aux incidents et ingénieurs qui connaissent assez bien la base de code pour corriger non seulement vite, mais aussi sans créer de nouveaux problèmes par la suite.

L'outil Xint de Theori est un exemple parlant. Selon l'entreprise, il a trouvé tous les bugs que Mythos a détectés dans les mêmes bases de code et ajouté 12 zero-days qui ne figuraient pas dans l'annonce initiale d'Anthropic. Mais corriger ce qui a été trouvé est bien plus difficile que de le trouver. Un bon correctif exige du contexte : il faut comprendre s'il ne cassera pas des fonctionnalités, s'il ne dégradera pas la maintenabilité du code et s'il ne créera pas de nouvelles failles. Pour l'open source, c'est particulièrement lourd, car de petites équipes et des mainteneurs isolés peuvent être submergés par un flux de tickets impossible à traiter à la vitesse à laquelle l'IA produit ses découvertes.

Ce que cela signifie

L'IA transforme la sécurité offensive plus vite que les entreprises ne refondent leurs processus de défense. En 2026, les gagnants ne seront pas ceux qui possèdent le plus de scanners, mais ceux qui savent prioriser rapidement les risques, publier des mises à jour et construire à l'avance des logiciels plus sûrs. Sinon, même des attaquants sans préparation sérieuse obtiendront des outils jadis réservés aux chercheurs chevronnés et aux groupes avancés.