Claude Mythos : l’IA si puissante qu’Anthropic la garde secrète

Imaginez un instant un outil capable d’analyser en quelques minutes l’ensemble du code qui fait tourner internet et d’y déceler des failles de sécurité vieilles de plusieurs décennies. Une sorte de scanner cybernétique ultime.

Maintenant, imaginez que ce même outil puisse aussi bien réparer ces failles que les exploiter pour prendre le contrôle de n’importe quel système. C’est le défi majeur auquel est confrontée l’entreprise Anthropic avec son nouveau modèle d’IA, Claude Mythos Preview.

Plutôt que de le lancer sur le marché, l’entreprise a pris une décision radicale : garder son joyau technologique privé et le confier discrètement aux gardiens de notre infrastructure numérique. Alors, pourquoi une telle prudence ? Plongeons ensemble dans les coulisses du projet Glasswing, une initiative qui pourrait bien redéfinir les règles du jeu en matière de cybersécurité.

La naissance inattendue d’un maître de la cyber : Mythos, l’IA aux pouvoirs insoupçonnés 🕵️‍♂️

La première chose à comprendre, c’est que Claude Mythos Preview n’a pas été spécifiquement entraîné pour devenir un expert en cybersécurité. Ses créateurs chez Anthropic expliquent que ses talents sont une « conséquence en aval des améliorations générales du code, du raisonnement et de l’autonomie ». Plus simplement, en devenant juste plus intelligent, le modèle a développé des compétences de hacker de manière émergente.

Au-delà des tests classiques : Mythos face aux défis du monde réel 🌍

Très vite, Mythos a montré des aptitudes si avancées qu’il a littéralement saturé les benchmarks de sécurité existants. Les tests classiques n’étaient plus suffisants pour mesurer sa puissance. L’équipe a donc dû passer à la vitesse supérieure en le confrontant à des tâches concrètes, et pas des moindres : la recherche de vulnérabilités « zero-day », ces failles totalement inconnues des développeurs eux-mêmes.

Les performances ont surpassé toutes les attentes. Le modèle a, par exemple, découvert un bug vieux de 27 ans dans OpenBSD, un système d’exploitation pourtant réputé pour sa robustesse.

Opérations autonomes : quand l’IA exploite les failles seule 🤖

Le cas le plus frappant reste sans doute celui de FreeBSD. De manière entièrement autonome, Mythos a identifié puis exploité une faille de sécurité vieille de 17 ans (CVE-2026-4747). Cet exploit permettait à un utilisateur non authentifié, n’importe où sur internet, de contrôler entièrement un serveur.

Le plus frappant ? Aucun humain n’est intervenu après la demande initiale de trouver un bug. L’IA a géré l’intégralité du processus.

Nicholas Carlini, chercheur chez Anthropic, résume la portée de la découverte : « Ce modèle peut créer des exploits en enchaînant trois, quatre, ou parfois cinq vulnérabilités […]. J’ai trouvé plus de bugs ces deux dernières semaines que dans tout le reste de ma vie. »

Le dilemme éthique : pourquoi Anthropic ne libère pas Mythos 🚫

Devant une telle puissance, la question de la commercialisation est rapidement devenue un défi éthique majeur. La réponse d’Anthropic, énoncée par Newton Cheng, son responsable de la cybersécurité, est claire : « Nous ne prévoyons pas de rendre Claude Mythos Preview accessible au grand public en raison de ses compétences avancées en cybersécurité. »

Le spectre du double usage : l’IA à double tranchant 🔪

La raison est directe et puissante : le double usage. Les mêmes capacités qui permettent à l’IA d’être un formidable outil de défense en font également une arme offensive potentiellement dévastatrice. Si un tel modèle était mal utilisé, les conséquences pour l’économie, la sécurité publique et la sécurité nationale pourraient être critiques.

Il ne s’agit pas d’une crainte hypothétique. Anthropic a déjà documenté ce qui semble être le premier cas de cyberattaque menée en grande partie par une IA. Un groupe affilié à l’État chinois aurait utilisé des agents IA pour infiltrer de manière autonome une trentaine de cibles mondiales, l’IA gérant la majorité des opérations tactiques.

L’avenir est déjà présent.

Project Glasswing : un bouclier contre les menaces 🛡️

Plutôt que de conserver son modèle de manière secrète, Anthropic a choisi une troisième voie : le partage contrôlé et responsable. C’est la naissance du projet Glasswing, une coalition inédite visant à utiliser Mythos pour renforcer la sécurité du web avant que des outils similaires ne prolifèrent.

La grande alliance technologique pour la cybersécurité 🤝

La liste des partenaires est impressionnante : Amazon Web Services (AWS), Apple, Google, Microsoft, Nvidia, Cisco, et des dizaines d’autres acteurs majeurs de l’infrastructure numérique. Anthropic leur donne accès au modèle, avec près de 92 millions d’euros en crédits d’utilisation, afin qu’ils puissent identifier et corriger les failles de leurs propres systèmes.

Un appui essentiel pour l’open-source 🌐

L’aspect le plus notable du projet est son engagement envers les logiciels open-source. Comme le souligne Jim Zemlin, PDG de la Fondation Linux, « les mainteneurs de logiciels open-source, dont le travail est un pilier de l’infrastructure critique mondiale, ont été historiquement négligés en matière de sécurité. »

Pour résoudre ce problème, Anthropic a fait don de 3,68 millions d’euros à des organisations comme la Fondation Apache et l’OpenSSF. Le but est de fournir aux mainteneurs bénévoles de ces projets essentiels un accès à des outils d’analyse de vulnérabilités d’une puissance inédite pour eux.

Vers une nouvelle ère de la cybersécurité par IA ? 🚀

L’initiative d’Anthropic représente un tournant. Elle indique que les laboratoires d’IA les plus avancés voient désormais le « déploiement contrôlé » comme la norme pour les modèles les plus puissants, s’éloignant de la philosophie d’ouverture initiale.

L’entreprise ne compte pas s’arrêter là. Son objectif est de pouvoir, à terme, déployer des modèles de l’envergure de Mythos à grande échelle, mais seulement après la mise en place de garde-fous robustes. Ces mesures de sécurité seront d’abord testées sur un futur modèle, Claude Opus, jugé moins risqué, avant d’être appliquées aux outils les plus sophistiqués.

La concurrence s’organise déjà. OpenAI a récemment classé son modèle GPT-5.3-Codex comme ayant des « capacités élevées » en cybersécurité, adoptant une approche de prudence similaire. Nous observons peut-être l’émergence d’une nouvelle maturité dans l’industrie de l’IA, où l’interrogation n’est plus seulement « Pouvons-nous le construire ? », mais plutôt « Devons-nous le rendre public ? ».

Cette approche prudente deviendra-t-elle la norme, ou la quête d’innovation finira-t-elle par dévoiler des dangers insoupçonnés ? La pérennité de notre sécurité numérique en dépend.

Simone

Simone, rédactrice principale du blog, est une passionnée de l’intelligence artificielle. Originaire de la Silicon Valley, elle est dévouée à partager sa passion pour l’IA à travers ses articles. Sa conviction en l’innovation et son optimisme sur l’impact positif de l’IA l’animent dans sa mission de sensibilisation.