Claude Mythos Preview d’Anthropic ne s’est pas contenté de trouver des bugs. Il a montré à quelle vitesse l’IA peut transformer la découverte de vulnérabilités en problème de gestion des correctifs.
Dans une mise à jour publiée le 22 mai, Anthropic a déclaré que le modèle, proposé dans le cadre d’un aperçu de recherche à accès restreint, avait analysé plus de 1 000 projets open source et produit 23 019 candidats à des vulnérabilités. Son tableau de bord des divulgations recensait 1 726 vulnérabilités confirmées comme valides au 22 mai, mais seules 97 avaient été corrigées en amont.
Pour les équipes de sécurité des entreprises, le point de tension ne réside plus dans la seule découverte. Il consiste à savoir quelles vulnérabilités détectées par l’IA concernent leurs environnements, lesquelles sont exploitables et quels correctifs peuvent franchir les étapes de test et de déploiement avant que l’exposition ne s’aggrave.
Mythos transforme la découverte de bugs en problème d’échelle
Anthropic a lancé Project Glasswing le 7 avril 2026, donnant à certaines organisations des secteurs du cloud, de la sécurité, de la finance et des infrastructures un accès anticipé à Claude Mythos Preview pour des travaux de sécurité défensive.
Mythos Preview n’est pas disponible pour le grand public. Anthropic le présente comme un aperçu de recherche à accès restreint destiné à certains participants, avec des points forts dans le codage, les tâches agentiques et la cybersécurité. Cette approche à accès limité s’inscrit désormais dans un débat plus large sur les contrôles applicables aux IA de pointe, après qu’une directive américaine a contraint Anthropic à désactiver Fable 5 dans le monde entier.
Dans sa mise à jour du 22 mai, Anthropic a déclaré que Mythos Preview avait découvert environ 6 202 vulnérabilités de gravité élevée ou critique parmi un total de 23 019 candidats. Sur les 1 752 vulnérabilités classées comme élevées ou critiques et examinées par des entreprises de sécurité indépendantes ou par Anthropic, 1 587 ont été confirmées comme de véritables vulnérabilités, dont 1 094 comme étant de gravité élevée ou critique.
Le tableau de bord des divulgations recensait 23 019 candidats, 1 726 vulnérabilités confirmées comme valides, 1 596 divulgations auprès des mainteneurs de 281 projets open source, 97 correctifs en amont et 88 avis de sécurité publiés. Anthropic a précisé que l’expression « corrigé en amont » ne signifie pas que le correctif a été largement installé par les utilisateurs en aval.
Cloudflare, l’un des participants, a déclaré que Mythos Preview allait au-delà du simple signalement de code suspect. Lors des tests de Cloudflare, le modèle a généré du code de preuve de concept, l’a exécuté dans un environnement de test, a lu le résultat et ajusté son hypothèse si nécessaire.
Comment la chasse aux bugs par l’IA met les chaînes de correctifs à rude épreuve
Le chiffre de 97 correctifs montre à quelle vitesse la découverte assistée par l’IA peut dépasser la validation, la coordination avec les mainteneurs, la création de correctifs et le déploiement en production. Daybreak d’OpenAI exerce une pression similaire en utilisant Codex Security pour rechercher des vulnérabilités logicielles et intégrer davantage de tests automatisés aux processus de sécurité défensive.
Les logiciels open source sont profondément intégrés aux infrastructures d’entreprise, aux services cloud, aux outils de sécurité, aux plateformes de développement et aux applications métier. Une vulnérabilité confirmée en amont peut ne pas affecter toutes les organisations, mais les équipes de sécurité doivent tout de même savoir si le code concerné est présent dans leurs environnements et si un correctif a effectivement été déployé. Ce risque n’est plus théorique, Google ayant signalé un exploit zero-day conçu par une IA.
Les équipes de sécurité ne doivent pas considérer toutes les vulnérabilités détectées par l’IA comme présentant le même degré d’urgence. Elles doivent distinguer les candidats des vulnérabilités validées, puis s’appuyer sur des indicateurs d’exposition et d’exploitabilité, notamment le catalogue Known Exploited Vulnerabilities de la CISA et l’ Exploit Prediction Scoring System, pour déterminer quels correctifs appliquer en priorité.
Mythos Preview laisse entrevoir un cycle de gestion des vulnérabilités plus difficile pour les entreprises : davantage de résultats plausibles, un travail de validation plus lourd et une pression accrue sur les SBOM, les inventaires d’actifs et les processus de vérification des correctifs.
À lire également : des chercheurs ont conçu un ver informatique capable de choisir lui-même son chemin d’attaque, montrant comment les systèmes agentiques pourraient transformer la modélisation des menaces en entreprise.