L'intelligence artificielle développée par Anthropic, connue sous le nom de Claude Mythos Preview, a identifié plus de 10 000 vulnérabilités de gravité élevée ou critique dans des systèmes considérés comme stratégiques pour l'infrastructure d'Internet et les entreprises.
Ce chiffre a été obtenu en collaboration avec 50 organisations et partenaires, et marque un changement important : la rapidité de la détection des défauts dépasse la capacité humaine à les vérifier, les communiquer et les réparer, déplaçant le goulot d'étranglement vers la gestion des découvertes plutôt qu'à leur découverte.
Anthropic et son impact sur la détection des vulnérabilités en cybersécurité
Claude Mythos Preview, un modèle de IA encore non libéré pour le grand public, s'est avéré particulièrement efficace pour identifier les failles de sécurité dans les logiciels critiques.
Projet Glasswing, l'initiative d'Anthropic lancée en avril, réunit des entreprises telles qu'AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks, ainsi que de nombreuses autres organisations qui maintiennent des projets essentiels pour le fonctionnement numérique global.
La principale contribution de cette IA réside dans sa capacité à analyser le code source et à trouver des vulnérabilités qui, jusqu'à présent, passaient inaperçues pour les outils traditionnels. Elle parvient même à raisonner sur de possibles chaînes d'exploitation, dépassant le champ d'action des technologies précédentes.
Parmi les systèmes où des défauts ont été découverts et corrigés, figurent des pièces clés comme OpenBSD, FFmpeg et le noyau de Linux.
Le travail de Claude Mythos Preview ne se limite pas à la recherche superficielle d'erreurs, mais implique une analyse approfondie capable d'anticiper des scénarios d'attaque plus complexes et de plus grand impact potentiel.
Le cas de Mozilla Firefox
En avril 2026, Mozilla a annoncé qu'avec l'aide de Claude Mythos Preview, il a été possible de corriger 271 vulnérabilités dans Firefox, le navigateur qui gère des millions d'utilisateurs dans le monde entier. Un fait pertinent est que le taux d'erreur dans l'identification de ces défauts s'est avéré presque nul, renforçant la confiance dans les diagnostics fournis par l'IA.
La décision de maintenir ce modèle en dehors de la portée publique répond à la nécessité d'empêcher que des acteurs malveillants utilisent la technologie pour rechercher et exploiter des faiblesses dans des systèmes critiques.
La plus grande crainte se concentre sur des secteurs sensibles comme le financier, où un défaut peut déclencher de graves conséquences pour l'économie et la sûreté des utilisateurs.
Cloudflare et la validation technique de l'IA pour la cybersécurité
Cloudflare, entreprise qui gère le trafic de 80 % des pages web du monde, a évalué la performance de Claude Mythos Preview sur plus de 50 dépôts propres.
Selon ses techniciens, le modèle représente un progrès par rapport aux solutions précédentes, car il offre non seulement une plus grande précision dans la détection de bugs, mais aussi dans la génération de tests de concept et la réduction des résultats trompeurs ou peu utiles.
Cependant, chez Cloudflare, ils insistent sur le fait qu'il ne suffit pas d'appliquer une IA de manière générique sur tout dépôt pour obtenir de bons résultats. Le processus nécessite une orchestration précise, avec des tâches bien définies et des systèmes de validation indépendants, ainsi que la duplication des tests pour confirmer les découvertes. Cette méthodologie évite la propagation d'erreurs et augmente la fiabilité des analyses.
Défis dans l'application de correctifs et le nouveau goulot d'étranglement humain
La capacité de l'IA à trouver des vulnérabilités à grande vitesse a changé le paysage de la cybersécurité. Anthropic informe que, dans l'analyse de plus de 1 000 projets de code ouvert, Claude Mythos Preview a identifié 6 202 vulnérabilités graves ou critiques parmi un total de 23 019 découvertes.
En soumettant un échantillon à une révision par des entreprises de sécurité externes, 90,6 % des cas évalués se sont avérés être de vrais positifs, et 62,4 % correspondaient à des défauts de gravité élevée ou critique.
Cette nouvelle réalité pose une difficulté inattendue : les équipes chargées de maintenir le logiciel ne peuvent pas absorber le volume de rapports générés et, parfois, demandent de réduire la fréquence des notifications pour éviter la saturation.
Le goulot d'étranglement n'est plus dans la technologie de détection, mais dans la capacité humaine à comprendre, reproduire et corriger les problèmes avant de libérer les correctifs nécessaires.
Restrictions et risques dans la publication de modèles avancés d'IA pour la cybersécurité
Anthropic maintient sa décision de ne pas libérer Claude Mythos Preview au public, arguant que les mécanismes de protection adéquats pour éviter les usages malveillants de modèles dotés de ces capacités n'existent pas encore.
Bien que l'IA offre un avantage défensif considérable, elle pourrait également faciliter le travail de potentiels attaquants, car elle réduit considérablement l'effort nécessaire pour identifier des faiblesses exploitables dans des infrastructures critiques.
Cette position révèle le double visage des avancées en intelligence artificielle appliquée à la cybersécurité : alors qu'elle augmente l'efficacité des défenseurs, le risque que cette même technologie soit utilisée à des fins opposées grandit également. Ainsi, la gestion responsable de ces développements implique une surveillance constante de leurs applications et une évaluation éthique de leur portée.