L'IA pulvérise les records en cybersécurité autonome : les nouveaux modèles dépassent toutes les attentes

Des performances qui dépassent les prévisions

Deux des modèles d'intelligence artificielle les plus avancés, Claude Mythos Preview d'Anthropic et GPT-5.5 d'OpenAI, viennent de pulvériser les records en matière de cybersécurité autonome. Selon des résultats publiés mercredi par l'AI Security Institute (AISI) britannique et Palo Alto Networks, ces systèmes surpassent désormais toutes les projections établies jusqu'à présent.

L'AISI, qui évalue les modèles d'IA de pointe pour le compte du gouvernement britannique, indique que ces deux outils ont dépassé la tendance de doublement des performances observée depuis fin 2024. Une accélération qui soulève une question : s'agit-il d'un bond isolé ou du début d'une nouvelle phase encore plus rapide ?

Un rythme de progression sans précédent

L'AISI avait estimé en début d'année que le temps nécessaire pour qu'un modèle d'IA atteigne 80 % de fiabilité dans des tâches de cybersécurité autonome — un indicateur clé de son autonomie — doublait tous les cinq mois environ. Cette estimation représentait déjà une accélération par rapport aux huit mois nécessaires en novembre 2025. Avec les nouveaux résultats, Claude Mythos Preview et GPT-5.5 ont dépassé toutes les courbes de tendance mesurées par l'institut.

« Les capacités autonomes en cybersécurité et en développement logiciel des modèles de pointe progressent à un rythme effréné : la durée des tâches qu'ils peuvent accomplir de manière autonome double désormais en quelques mois, et non plus en années », a déclaré l'AISI dans un communiqué.

Des tests concluants sur des scénarios complexes

Les preuves les plus tangibles de cette avancée proviennent des cyber ranges de l'AISI, des simulations structurées de cyberattaques en plusieurs étapes contre des réseaux d'entreprise non protégés. Dans ce cadre, Claude Mythos Preview est devenu le premier modèle à réussir les deux scénarios proposés par l'institut :

• Il a résolu « The Last Ones », une attaque simulée en 32 étapes sur un réseau corporate, en 6 tentatives sur 10.
• Il a également complété « Cooling Tower », un scénario jusqu'alors non résolu par aucun modèle, en 3 tentatives sur 10.

De son côté, GPT-5.5 a réussi « The Last Ones » en 3 tentatives sur 10. Palo Alto Networks, qui a mené ses propres tests, a confirmé ces résultats.

Des vulnérabilités détectées à un rythme inédit

Palo Alto Networks, partenaire de lancement d'Anthropic pour le projet Glasswing, a testé Claude Mythos dès avril. L'entreprise a également évalué Claude Opus 4.7 et GPT-5.5-Cyber dans le cadre du programme Trusted Access for Cyber d'OpenAI.

« Les derniers modèles sont exceptionnellement performants pour identifier des vulnérabilités et les transformer en chemins d'exploitation critiques en temps quasi réel », a souligné Palo Alto Networks. L'entreprise a publié des avis de sécurité couvrant 26 CVE représentant 75 vulnérabilités — un volume bien supérieur aux cinq CVE habituellement recensés chaque mois — identifiées grâce à l'analyse par IA de plus de 130 produits. Toutes les vulnérabilités critiques dans ses produits SaaS ont été corrigées, avec des correctifs disponibles pour les produits exploités par les clients.

Des limites à prendre en compte

L'AISI a tenu à préciser que ses estimations reposent sur un nombre restreint de modèles et que les tâches les plus complexes disposent de peu de données comparatives humaines. Malgré cela, l'institut affirme que la tendance globale reste valable : l'exclusion d'un seul modèle de l'analyse modifie à peine les résultats, ne faisant varier le temps de doublement estimé que de moins d'un mois.

Des recherches complémentaires menées par METR, une organisation à but non lucratif spécialisée dans l'évaluation des capacités logicielles de l'IA, confirment également cette accélération.

Quelles implications pour la cybersécurité ?

Ces avancées soulèvent des questions majeures sur la sécurité des infrastructures critiques. Si les modèles d'IA deviennent capables de résoudre des tâches complexes en un temps record, les cybercriminels pourraient également en tirer profit pour automatiser leurs attaques. Les experts appellent à une adaptation rapide des stratégies de défense et à une collaboration renforcée entre les acteurs publics et privés.

« L'automatisation des cyberattaques par l'IA représente une menace croissante. Les organisations doivent anticiper ces évolutions et renforcer leurs protocoles de sécurité. » — Expert en cybersécurité, non nommé