L'IA Mythos d'Anthropic : un outil puissant ou une menace pour la cybersécurité ?

Le 7 avril 2026, la communauté de la cybersécurité a été mise en alerte par une annonce d’Anthropic. Son dernier modèle d’intelligence artificielle généraliste, Claude Mythos Preview, a démontré des capacités remarquables – et inattendues. Ce système a réussi à identifier et exploiter des vulnérabilités logicielles, un type de faille parmi les plus critiques, à une échelle et une rapidité sans précédent.

Cette révélation a suscité des inquiétudes au sein du public, des gouvernements et du secteur technologique. Certains n’ont pas hésité à qualifier ce modèle d’« menace mondiale pour la cybersécurité ». Face à ces risques, Anthropic a pris une décision radicale : elle a choisi de ne pas commercialiser immédiatement Mythos. L’entreprise a invoqué sa responsabilité morale pour signaler ces vulnérabilités et a opté pour une approche prudente. Plutôt que de le rendre accessible à tous, elle a accordé un accès exclusif à des géants technologiques dans le cadre d’un projet baptisé « Project Glasswing ».

En tant que chercheur en cybersécurité, je considère que les performances de Mythos sont impressionnantes, mais elles ne constituent pas une rupture fondamentale. Ce modèle ne représente pas une menace radicalement nouvelle. Il agit plutôt comme un miroir, reflétant les comportements humains et la fragilité des systèmes modernes.

Les capacités réelles de Mythos

Lors d’une évaluation contrôlée, des ingénieurs peu expérimentés en sécurité ont utilisé Mythos pour analyser des milliers de bases de code logiciel à la recherche de vulnérabilités. Le modèle a démontré une capacité frappante à orchestrer des attaques autonomes en plusieurs étapes, un processus qui prend généralement des semaines, voire des mois, aux experts humains.

Les résultats sont éloquents : Mythos a non seulement identifié 271 vulnérabilités dans Mozilla Firefox, mais il a également développé des exploits pour 181 d’entre elles. Selon les rapports de l’équipe rouge d’Anthropic et de l’AI Security Institute du Royaume-Uni, Mythos a découvert des milliers de vulnérabilités zero-day – des failles non encore corrigées – dans des systèmes d’exploitation majeurs, des navigateurs web et d’autres applications. Ces failles peuvent être exploitées immédiatement, sans patch disponible.

Des responsables de la NSA, qui ont testé Mythos, ont salué sa rapidité et son efficacité dans la détection de vulnérabilités logicielles, selon un rapport de presse.

Des exploits historiques et des performances surprenantes

L’annonce d’Anthropic a attiré l’attention des médias, notamment grâce à des exploits historiques découverts par Mythos. Parmi les plus marquants :

• Une faille de sécurité dormante depuis 27 ans dans OpenBSD, un système d’exploitation axé sur la sécurité.
• Un bug vieux de 16 ans dans FFmpeg, un outil de traitement vidéo et audio.

Certaines de ces failles permettent à des utilisateurs non authentifiés de prendre le contrôle des machines hébergeant ces applications. Plus surprenant encore, des ingénieurs relativement inexpérimentés ont réussi, grâce à Mythos, à mener des attaques de bout en bout en une seule nuit – un processus qui prendrait des semaines à des experts humains.

La capacité de Mythos à enchaîner plusieurs étapes complexes a particulièrement impressionné Anthropic et les organisations qui l’ont testé. Lors d’une évaluation menée par l’AI Security Institute, Mythos a réussi à prendre le contrôle d’un réseau d’entreprise simulé dans 3 cas sur 10. Une première pour un modèle d’IA.

Une avancée réelle, mais un tableau incomplet

À première vue, les performances de Mythos semblent révolutionnaires et pourraient annoncer une nouvelle ère dans le domaine de la cybersécurité. Pourtant, cette avancée soulève des questions importantes.

D’une part, Mythos ne fait que révéler des failles déjà présentes dans les systèmes. Il ne crée pas de nouvelles vulnérabilités, mais les expose de manière accélérée. D’autre part, son utilisation nécessite une infrastructure et une expertise technique, limitant son accessibilité aux acteurs malveillants.

Enfin, les résultats obtenus dans des environnements contrôlés ne reflètent pas nécessairement les défis rencontrés dans des systèmes réels, où les protections sont souvent plus robustes. Mythos représente donc une avancée significative, mais son impact réel dépendra de la manière dont il sera utilisé – et encadré.