Il existe un moyen d'annoncer quelque chose de terrifiant et de le faire paraître comme une bonne nouvelle. Anthropic l'a découvert cette semaine.
Le 7 avril, l'entreprise a lancé le Projet Glasswing : 12 organisations, dont Apple, Google, Microsoft, Amazon Web Services, NVIDIA, Cisco, CrowdStrike, JPMorganChase, Palo Alto Networks et la Linux Foundation, unies sous un engagement de 100 millions de dollars. Le communiqué parle de décence, collaboration et sécurité collective.
Ce qui ne figure pas dans le premier paragraphe, mais qui est reconnu quelques lignes plus bas, est clair : le modèle qui a motivé cette coalition est tellement dangereux qu'Anthropic a décidé de ne pas le publier. Cela ne relève pas de la philanthropie. C'est une course.
Un modèle que personne n'a formé pour faire ce qu'il fait
Claude Mythos Preview n'a pas été conçu pour être un hacker. C'est la première chose à comprendre, et la plus inquiétante.
Selon l'équipe de red team d'Anthropic, ces capacités ont émergé comme conséquence directe d'améliorations générales en code, raisonnement et autonomie, non parce que le modèle a été formé pour trouver des vulnérabilités. Ce qui le rend meilleur programmeur, le rend meilleur attaquant.
Ce sont la même compétence vue de deux côtés.
Le résultat : un modèle qui a trouvé des vulnérabilités de haute gravité dans tous les systèmes d'exploitation principaux et dans tous les navigateurs web du monde. Pas dans certains. Dans tous.
27 ans caché, une seule nuit pour le trouver
Dans OpenBSD, un système d'exploitation connu pour être l'un des plus sûrs au monde et utilisé dans des pare-feux et des infrastructures critiques d'internet, Mythos Preview a identifié de manière totalement autonome un bug de 27 ans. La faille permettait à tout attaquant distant de faire s'effondrer la machine simplement en s'y connectant.
Dans FFmpeg, la bibliothèque vidéo utilisée par pratiquement tous les services numériques du monde, le modèle a trouvé une vulnérabilité de 16 ans dans une ligne de code que des outils automatisés avaient examinée cinq millions de fois sans détecter quoi que ce soit.
Dans le noyau de Linux, le système qui fait fonctionner la plupart des serveurs du monde, Mythos Preview a enchaîné de manière autonome plusieurs vulnérabilités pour passer d'un utilisateur ordinaire au contrôle total de la machine.
Aucune de ces découvertes n'a nécessité d'intervention humaine après l'invite initiale.
Ce qui effraie le plus, ce n'est pas le modèle, mais les ingénieurs
Le détail le plus révélateur du rapport technique d'Anthropic n'est aucun des bugs précédents. C'est que les ingénieurs de l'entreprise, sans formation formelle en sécurité informatique, ont demandé au modèle de trouver des vulnérabilités d'exécution à distance pendant la nuit. Le matin suivant, ils avaient un exploit complet et fonctionnel.
Pas de spécialistes ou de hackers d'élite. Des ingénieurs généralistes avec un prompt et du temps libre.
Cela change fondamentalement le calcul du risque. Pendant des décennies, la cybersécurité a dépendu d'une asymétrie pratique : bien attaquer était difficile, nécessitait des années d'expérience et des connaissances spécialisées. Les modèles comme Mythos Preview saper cette asymétrie. Ce qui prenait auparavant des semaines entre les mains d'un expert, se traduit maintenant en heures entre les mains de quiconque ayant accès au modèle.
C'est pourquoi Anthropic ne l'a pas lancé au public.
La coalition n'est pas généreuse, elle est urgente
Les cent millions de dollars en crédits d'utilisation, les dons à des organisations de code ouvert, les communiqués de Cisco, Microsoft, CrowdStrike et AWS sur la défense collective : tout cela est réel. Mais le sous-texte compte plus que le texte.
Chaque entreprise qui a rejoint le Projet Glasswing l'a fait parce qu'elle comprend quelque chose que le communiqué ne dit pas directement : des modèles avec des capacités similaires à Mythos Preview vont bientôt exister en dehors du contrôle d'Anthropic.
L'objectif de la coalition n'est pas seulement de corriger les bugs déjà trouvés. C'est gagner suffisamment de temps pour renforcer l'infrastructure mondiale avant que ces capacités soient disponibles pour des acteurs qui n'ont aucun incitatif à les utiliser de manière défensive.
Les propres techniciens d'Anthropic l'ont décrit presque sans détour en soulignant qu'il n'y a aucune raison de croire que Mythos Preview soit la fin, mais plutôt un début sur lequel les capacités de cybersécurité vont entamer leur chemin, pour ne pas s'arrêter. C'est ce que douze entreprises sont venues écouter cette semaine. Au fond, elles ne sont pas venues pour collaborer, mais pour se préparer.