Claude Mythos vient de changer la cybersécurité pour toujours

Un bug de 27 ans. Caché dans OpenBSD — largement considéré comme le système d'exploitation le plus blindé en sécurité de la planète. Manqué par chaque chercheur humain, chaque scanner automatisé, chaque fuzzer, chaque testeur de pénétration ayant touché cette base de code pendant près de trois décennies.

Le Claude Mythos d'Anthropic l'a trouvé en quelques heures.

Pas grâce à une astuce ingénieuse ou une technique novatrice. Le modèle n'était même pas entraîné pour le travail de cybersécurité. Anthropic a construit Mythos pour écrire du code exceptionnellement bien, et l'effet secondaire — la conséquence accidentelle de créer quelque chose de brillant pour construire des logiciels — a été qu'il est devenu tout aussi brillant pour les démonter.

Ce paradoxe est ce qui rend cette histoire véritablement inquiétante. Et véritablement passionnante. Car ce qu'Anthropic a entre les mains en ce moment n'est pas simplement un meilleur outil. C'est une capacité qui pourrait redéfinir qui a l'avantage en cybersécurité — les attaquants ou les défenseurs — pour la prochaine décennie.

Je suis les sorties de modèles d'IA de manière obsessionnelle depuis que j'ai commencé à construire avec Claude Code à temps plein. J'ai fait la critique d'Opus 4.6 à sa sortie et passé des semaines à tester ses limites. J'ai écrit sur la sécurisation des agents IA après avoir failli détruire ma propre infrastructure avec une configuration autonome mal paramétrée. Alors quand Anthropic a annoncé Mythos et Project Glasswing le 7 avril 2026, je n'ai pas seulement lu le communiqué de presse — j'ai plongé dans les divulgations techniques, les données de benchmarks, la liste des partenaires et les questions inconfortables que personne dans la couverture du lancement ne semblait vouloir poser.

Voici ce que j'ai trouvé. Et voici pourquoi je pense que chaque développeur, pas seulement les spécialistes en sécurité, doit y prêter attention.

Le problème du serrurier : pourquoi un modèle de codage brise tout

L'analogie qu'Anthropic utilise en interne est l'analogie du serrurier, et elle est suffisamment pertinente pour que je veuille la développer correctement.

Vous formez quelqu'un à construire les serrures les plus complexes et précises imaginables. Il comprend les mécanismes internes au niveau moléculaire — chaque goupille, chaque gorge, chaque tolérance. À un moment donné, cette connaissance franchit un seuil. La personne ne comprend pas seulement comment construire des serrures. Elle comprend comment les vaincre.

Claude Mythos n'a pas été entraîné sur des bases de données d'exploits. Il n'a pas été alimenté avec des rapports CVE ou des méthodologies de tests de pénétration. Anthropic l'a entraîné à écrire du code exceptionnel — à comprendre les logiciels à une profondeur que les modèles précédents ne pouvaient égaler. Et quelque part dans cet entraînement, Mythos a développé une capacité émergente : il pouvait regarder du code et voir les faiblesses structurelles que les humains manquent depuis des années.

C'est la partie qui devrait vous faire réagir. Les capacités de cybersécurité n'étaient pas une fonctionnalité. C'était un effet secondaire. Anthropic ne cherchait pas à construire une IA de piratage. Ils cherchaient à construire une meilleure IA de codage, et le piratage est venu gratuitement.

Les implications sont inconfortables pour quiconque a supposé que les menaces de cybersécurité liées à l'IA viendraient de modèles spécifiquement conçus pour la sécurité offensive. Ce ne sera pas le cas. Elles viendront de modèles qui sont simplement très, très bons pour comprendre le code.

Cette vulnérabilité OpenBSD de 27 ans ? Elle se trouvait dans l'implémentation SACK — le mécanisme TCP Selective Acknowledgment. Mythos a identifié qu'un adversaire pouvait faire crasher n'importe quel hôte OpenBSD répondant via TCP en exploitant une faille dans le traitement des options SACK. Aucun humain n'a été impliqué dans la découverte ni dans la chaîne d'exploit après l'instruction initiale. Le modèle l'a trouvé, compris et démontré de manière autonome.

Et OpenBSD n'était pas la seule cible.

Les chiffres qui m'ont fait arrêter de défiler

J'ai couvert beaucoup de benchmarks d'IA sur ce site. La plupart sont intéressants pendant environ cinq minutes avant que le modèle suivant ne dépasse le leader. Mais les résultats de benchmark de Mythos ne sont pas juste incrémentalement meilleurs — ils représentent un écart suffisamment large pour constituer une catégorie différente.

Sur SWE-bench Verified, la mesure principale de l'industrie pour la capacité d'ingénierie logicielle en conditions réelles, Mythos a obtenu 93,9%. Pour contexte : Opus 4.6 — le modèle que j'utilise quotidiennement et que j'apprécie sincèrement — obtient 80,8%. C'est un écart de 13,1 points. Sur un benchmark où les modèles se battent pour des fractions de point de pourcentage depuis un an, Mythos a sauté un niveau entier.

SWE-bench Pro — le niveau le plus difficile de ce benchmark, où les problèmes nécessitent un raisonnement en plusieurs étapes sur des bases de code complexes — raconte une histoire encore plus dramatique. Mythos : 77,8%. Opus 4.6 : 53,4%. Ce n'est pas un gain incrémental. C'est la différence entre un développeur junior et un architecte senior.

Sur SWE-bench Multilingual, qui teste la compréhension du code à travers les langages de programmation : Mythos 87,3%, Opus 4.6 à 77,8%.

Mais le chiffre qui compte le plus pour cette conversation est le benchmark CyberGym — une évaluation spécialisée qui mesure la capacité d'un modèle à identifier et exploiter les vulnérabilités logicielles. Mythos a obtenu 83,1%. Opus 4.6 a obtenu 66,6%. Un écart de 16,5 points sur un benchmark spécifique à la cybersécurité.

Pour mettre ces 83,1% en perspective : l'évaluation CyberGym comprend des tâches que des chercheurs en sécurité professionnels — des personnes qui font cela pour vivre, avec des années d'expérience — ne résolvent pas systématiquement. Mythos n'est pas seulement compétitif avec les experts humains. Sur un sous-ensemble significatif de ces tâches, il les surpasse.

C'est le point où cela a cessé d'être une histoire intéressante de benchmarks pour devenir une histoire sur l'avenir de toute l'industrie de la cybersécurité.

Les bugs que les humains n'ont pas pu trouver

Les benchmarks sont des abstractions. Ce qui m'a convaincu que c'était réel, ce sont les vulnérabilités spécifiques que Mythos a trouvées dans des logiciels de production utilisés quotidiennement par des milliards de personnes.

Le bug SACK d'OpenBSD (27 ans)

Je l'ai déjà mentionné, mais les détails comptent. Toute la réputation d'OpenBSD est construite sur la sécurité. Leur processus de développement comprend des audits de code rigoureux. Leur équipe gère l'un des projets open source les plus paranoïaques et les plus soucieux de la sécurité qui existent. Le projet OpenBSD n'a eu que deux failles distantes dans son installation par défaut au cours de toute son histoire — c'est le slogan marketing pour lequel ils sont célèbres.

Mythos a trouvé un bug de crash distant dans cette base de code. Pas dans un sous-système obscure et rarement utilisé. Dans la pile TCP — l'un des morceaux de code réseau les plus minutieusement examinés du système d'exploitation. La vulnérabilité était là depuis environ 1999, à travers des centaines d'audits de code, à travers des décennies de la culture de développement la plus soucieuse de la sécurité dans l'open source.

Aucun outil automatisé ne l'a trouvé. Aucun chercheur humain ne l'a trouvé. Un modèle d'IA entraîné à écrire du bon code l'a trouvé comme effet secondaire de la compréhension de ce à quoi ressemble du bon code.

La vulnérabilité FFmpeg (16 ans)

Celle-ci est techniquement plus impressionnante, et voici pourquoi. FFmpeg est l'épine dorsale du traitement vidéo sur internet. Si vous avez regardé une vidéo en ligne au cours de la dernière décennie, FFmpeg l'a probablement touchée à un moment donné. Netflix l'utilise. YouTube l'utilise. VLC, OBS, Handbrake — la liste est énorme.

La vulnérabilité que Mythos a découverte avait été manquée malgré le fait que les outils de test automatisés aient touché la ligne de code concernée cinq millions de fois. Cinq millions. Les fuzzers ont tourné. Les analyseurs statiques ont tourné. Les suites de tests couvraient le chemin de code. Et le bug a survécu à tout cela parce que ce n'était pas le type de vulnérabilité que les outils de reconnaissance de motifs détectent.

Voici la perception essentielle : les scanners de vulnérabilités traditionnels cherchent des motifs connus. Ils comparent avec des bases de données de types de vulnérabilités connues. Ils vérifient les débordements de tampon, les injections SQL, les conditions d'utilisation après libération — le catalogue des classes d'attaques connues.

Mythos ne fait pas de reconnaissance de motifs. Il comprend le code. Il raisonne sur ce que le code est censé faire, ce qu'il fait réellement, et où l'écart entre ces deux choses crée une condition exploitable. C'est une approche fondamentalement différente, et elle capture une classe de bugs entièrement différente.

Escalade de privilèges Linux

Mythos a également identifié des bugs dans le noyau Linux permettant l'escalade de privilèges — la capacité pour un utilisateur ordinaire d'obtenir un accès root. Les détails spécifiques sont encore sous divulgation responsable, ce qui est exactement comme cela devrait fonctionner. Mais le schéma est cohérent : des bugs anciens, du code bien audité, manqués par toutes les méthodes existantes.

Chaînage de vulnérabilités

Voici la partie qui m'a véritablement déstabilisé. Mythos ne trouve pas seulement des vulnérabilités individuelles isolément. Il les chaîne. Il prend de multiples petits problèmes apparemment de faible sévérité — le genre qui serait marqué comme "basse priorité" dans un audit de sécurité typique — et les combine en chemins d'attaque complets.

Une petite divulgation d'information ici. Une condition de course là. Une permission de fichier légèrement trop permissive ailleurs. Individuellement, aucun de ces éléments ne déclencherait une alarme. Ensemble, ils forment une chaîne d'attaque complète de l'accès initial au compromis total du système.

C'est exactement ainsi que les attaquants humains sophistiqués opèrent. Ils ne comptent pas sur des exploits dramatiques isolés. Ils chaînent de petites faiblesses. Et maintenant une IA peut le faire de manière autonome, plus rapidement que n'importe quelle équipe humaine.

La question à laquelle je reviens sans cesse : si le modèle d'Anthropic peut faire cela, de quoi sont capables les autres modèles — ceux développés sans le cadre de sécurité d'Anthropic ? Nous reviendrons à cette pensée inconfortable dans un instant.

Project Glasswing : le pari de 100 millions de dollars sur la défense

Anthropic a fait quelque chose que je respecte sincèrement avec l'annonce de Mythos. Ils auraient pu le publier publiquement — imaginez la couverture médiatique, les droits de se vanter sur les benchmarks, les revenus d'API. Au lieu de cela, ils ont regardé ce qu'ils avaient construit, compris les implications de double usage et choisi la restriction.

Project Glasswing en est le résultat. Annoncé le 7 avril 2026, c'est un programme de déploiement structuré qui met Mythos entre les mains des défenseurs tout en le gardant loin du grand public. La liste des partenaires se lit comme un who's-who de l'infrastructure technologique :

Amazon (AWS) — sécurité de l'infrastructure cloud
Apple — sécurité des appareils et de l'écosystème
Broadcom — semi-conducteurs et logiciels d'entreprise
Cisco — infrastructure réseau
CrowdStrike — sécurité des endpoints et renseignement sur les menaces
Google — services cloud et grand public
JPMorganChase — sécurité du système financier
Linux Foundation — chaîne d'approvisionnement de logiciels open source
Microsoft — systèmes d'exploitation et plateformes cloud
Nvidia — infrastructure GPU et systèmes d'IA
Palo Alto Networks — sécurité réseau

Ce sont 12 partenaires principaux, avec plus de 40 organisations supplémentaires obtenant un accès sous différents niveaux de restriction. Le modèle sera utilisé pour scanner les systèmes logiciels propriétaires et open source à la recherche de vulnérabilités dans le code.

L'engagement financier est considérable. Anthropic met 100 millions de dollars en crédits d'utilisation pour le travail de sécurité défensive. En plus de cela, 4 millions de dollars en dons directs aux organisations de sécurité open source — 2,5 millions de dollars à Alpha-Omega et OpenSSF via la Linux Foundation, et 1,5 million de dollars à l'Apache Software Foundation.

Les 100 millions de dollars en crédits ne sont pas de la charité. Faire tourner un modèle de cette taille sur des bases de code massives coûte de la puissance de calcul réelle. Mais le signal qu'il envoie compte : Anthropic subventionne l'utilisation défensive d'une capacité qui serait énormément rentable si elle était vendue au plus offrant.

Il y a également un engagement de transparence. Anthropic a déclaré qu'ils partageraient publiquement les enseignements de Project Glasswing dans les 90 jours. Pas les vulnérabilités elles-mêmes — ce serait irresponsable — mais les méthodologies, les schémas et les perspectives défensives qui émergent du fait d'avoir un modèle de cette capacité scannant du code de production à grande échelle.

Si vous préférez qu'une équipe professionnelle évalue la posture de sécurité de votre organisation pendant que ces capacités d'IA mûrissent, je travaille avec xCyberSecurity sur exactement ce type de missions — évaluations de vulnérabilités, tests de pénétration et audits de sécurité qui tiennent compte du nouveau paysage de menaces lié à l'IA.

Pourquoi je pense que cela change l'équation pour chaque développeur

C'est là que je veux devenir personnel, car cette histoire ne concerne pas seulement Anthropic et ses partenaires. Elle vous concerne, moi et tous ceux qui écrivent du code en ce moment.

Je pense différemment à mes propres bases de code depuis l'annonce de Mythos. Pas parce que mon code est spécial — car il ne l'est pas. Mais parce que le modèle de sécurité sous lequel j'opérais, celui sous lequel la plupart des développeurs opèrent, vient de devenir obsolète.

Ce modèle fonctionne ainsi : vous écrivez du code, vous lancez votre linter, vous utilisez Dependabot pour détecter les vulnérabilités connues dans les dépendances, peut-être payez-vous pour un outil d'analyse statique comme Snyk ou SonarQube, et si vous êtes sérieux, vous faites un test de pénétration une fois par an. Vous acceptez un certain niveau de risque résiduel parce que trouver chaque vulnérabilité est théoriquement impossible.

Mythos vient de prouver que ce n'est pas impossible. C'est un problème de puissance de calcul.

Le bug FFmpeg de 16 ans qui a survécu à cinq millions de tests automatisés ? Il existait parce que les outils de test ne comprenaient pas le code — ils ne faisaient qu'exécuter des entrées et vérifier des sorties. Mythos comprenait le code. C'est le changement. Nous passons du test à la compréhension, et les implications se répercutent sur chaque couche de notre façon de penser la sécurité logicielle.

Ce que cela signifie si vous êtes un développeur solo

Vos dépendances viennent de devenir votre plus grande vulnérabilité. Pas les nouvelles dépendances — celles que vous avez depuis des années et auxquelles vous avez cessé de penser. Les bibliothèques matures, "éprouvées au combat", que tout le monde utilise parce qu'elles existent depuis toujours. C'est exactement là que Mythos trouve des bugs, car la longévité a créé un faux sentiment de sécurité.

Le conseil pratique : surveillez les correctifs au cours des 90 prochains jours. À mesure que les partenaires de Project Glasswing commencent à scanner l'infrastructure critique open source, attendez-vous à une vague de mises à jour de sécurité pour des bibliothèques que vous utilisez sans y penser. Mettez à jour de manière agressive. N'attendez pas que votre vérificateur de dépendances les signale.

Ce que cela signifie si vous dirigez une petite entreprise

Les entreprises du Fortune 500 ont accès à des équipes de sécurité dédiées et à des outils coûteux depuis des décennies. Le reste d'entre nous s'est débrouillé avec des scanners automatisés et de l'espoir. L'accent mis par Project Glasswing sur l'open source signifie qu'une partie de ce niveau d'examen de Fortune 500 va bientôt atteindre la pile logicielle sur laquelle vous construisez — gratuitement.

Mais les divulgations de vulnérabilités arriveront vite. Si vous exécutez WordPress, WooCommerce ou toute application construite sur des fondations open source, vous avez besoin d'une stratégie de correctifs capable de répondre en jours, pas en semaines. La fenêtre entre la divulgation et l'exploitation est sur le point de se réduire considérablement, car les attaquants construisent également leurs propres capacités d'IA.

Ce que cela signifie si vous construisez des systèmes d'IA

C'est celui qui m'empêche de dormir la nuit. Si un modèle d'IA axé sur le codage a développé accidentellement des capacités de cybersécurité, que se passe-t-il quand la prochaine génération de modèles sera encore meilleure en code ? La courbe de capacité ne ralentit pas. D'Opus 4.6 à Mythos représente un bond de 13 points sur SWE-bench. À quoi ressemblera le modèle après Mythos ?

Chaque système d'IA que je construis, chaque agent que je déploie — je pense maintenant à ce qui se passe quand quelque chose avec une capacité de niveau Mythos le sonde à la recherche de faiblesses. Mon guide de sécurisation des agents IA couvrait l'isolation matérielle, le confinement en VM et la segmentation réseau. Ces principes tiennent toujours. Mais le modèle de menaces vient de devenir plus sophistiqué.

Les questions inconfortables que personne ne pose

Je veux être juste envers Anthropic ici. Ils ont géré cela mieux que n'importe quelle entreprise n'a géré une découverte de capacité d'IA à double usage. La sortie restreinte, le programme de partenaires, l'engagement financier pour la défense, le calendrier de transparence — c'est un modèle que d'autres entreprises devraient suivre.

Mais il y a des questions que le cadrage optimiste ne traite pas.

Premièrement : le problème du génie sorti de la lampe. Anthropic n'a pas entraîné Mythos pour la cybersécurité. La capacité a émergé de l'entraînement d'un meilleur modèle de codage. Cela signifie que chaque laboratoire d'IA poussant la frontière de la génération de code crée potentiellement la même capacité, qu'ils le réalisent ou non. Le prochain modèle d'OpenAI. La prochaine itération de Gemini de Google. La prochaine version open source de Meta. Si écrire du code excellent et trouver d'excellents exploits sont les deux faces d'une même pièce, alors cette capacité va proliférer indépendamment de ce que fait Anthropic.

Deuxièmement : la fenêtre de 12 à 24 mois. Les chercheurs que je suis estiment que des modèles plus petits et open source atteindront des capacités de cybersécurité de niveau Mythos dans les 12 à 24 mois. Ce n'est pas un problème de fuite — c'est une progression naturelle des capacités. Quand cela arrivera, le modèle d'"accès restreint" deviendra non pertinent. On ne peut pas restreindre une capacité qui émerge d'un entraînement généraliste.

Troisièmement : la question de l'asymétrie. Project Glasswing donne aux défenseurs une longueur d'avance. Mais combien de temps dure cette longueur d'avance ? Si un attaquant bien financé fait du fine-tuning sur un modèle open source avec des données d'exploits et atteint même 70% de la capacité de Mythos, l'asymétrie entre l'attaque et la défense se rétrécit rapidement. La défense nécessite de trouver et corriger chaque vulnérabilité. L'attaque nécessite d'en trouver une seule.

Quatrièmement : qu'en est-il des vulnérabilités que Mythos a trouvées mais qui n'ont pas encore été divulguées ? Anthropic dit "des milliers de vulnérabilités zero-day, dont beaucoup critiques" — dans "chaque système d'exploitation majeur et chaque navigateur web majeur." Ce sont des milliers de failles de sécurité non corrigées sur lesquelles Anthropic et ses partenaires sont actuellement assis, travaillant à la divulgation responsable. Le processus de divulgation prend du temps. Les correctifs prennent du temps. Le déploiement prend du temps. Pendant cette fenêtre, ces vulnérabilités existent. Quiconque les découvre indépendamment — humain ou IA — pourrait les exploiter.

Ce ne sont pas des arguments contre ce que fait Anthropic. Ce sont des arguments en faveur de l'urgence. La fenêtre défensive est ouverte maintenant, et elle ne restera pas ouverte éternellement.

Ce qui se passe quand cela se démocratise

L'histoire à long terme la plus intéressante ne concerne pas Mythos lui-même — elle concerne ce qui se passe quand ces capacités deviennent accessibles à tous. Et sur la base de la trajectoire du développement de l'IA, c'est une question de quand, pas de si.

Voici ce que j'attends au cours des 12 à 18 prochains mois :

Les outils de scan de vulnérabilités alimentés par l'IA deviendront courants. Pas au niveau de Mythos, mais significativement meilleurs que l'analyse statique actuelle. Des entreprises comme Snyk, Veracode et SonarQube construisent presque certainement des fonctionnalités de scan pilotées par l'IA en ce moment même. La barre pour des outils de sécurité "suffisamment bons" est sur le point de monter considérablement.

L'écosystème de sécurité open source recevra une attention sans précédent. La Linux Foundation, l'Apache Software Foundation et d'autres organisations recevant le financement et l'accès Glasswing scanneront leurs projets les plus critiques avec une capacité de niveau Mythos. Attendez-vous à un déluge de correctifs — et à une fondation open source nettement plus sécurisée en conséquence.

L'économie des bug bounties va évoluer. Quand une IA peut trouver des vulnérabilités plus rapidement et de manière plus complète que des chercheurs humains, la proposition de valeur des programmes traditionnels de bug bounty change. Je ne pense pas que les chercheurs en sécurité humains deviennent obsolètes — le contexte, le jugement et l'exploitation créative comptent toujours — mais les fruits à portée de main qui paient les factures de nombreux chasseurs de primes seront cueillis en premier par les machines.

Les cadres de conformité s'adapteront. Si la détection de vulnérabilités alimentée par l'IA devient la norme de diligence, ne pas l'utiliser devient de la négligence. Cela ne me surprendrait pas de voir des directives HIPAA, SOC 2 et PCI-DSS mises à jour dans les 18 mois qui abordent explicitement le scan de sécurité assisté par l'IA comme attente de base.

Le mouvement "shift left" passe à la vitesse supérieure. Au lieu de trouver des vulnérabilités après le déploiement, les modèles d'IA les détecteront pendant la revue de code — avant que le code n'atteigne jamais la production. Imaginez une revue de pull request qui détecte non seulement les problèmes de style et les lacunes de couverture de tests, mais de véritables vulnérabilités de classe zero-day dans votre implémentation. C'est là que nous allons.

Mon avis honnête : entre émerveillement et anxiété

Je construis avec les modèles d'Anthropic depuis plus d'un an. Claude Code a changé ma façon de travailler. Opus 4.6 a changé ce que je pensais possible. Mythos change quelque chose de plus fondamental — il change ce que je pense de la relation entre la capacité de l'IA et le risque de l'IA.

La Politique de Mise à l'Échelle Responsable d'Anthropic est sérieusement mise à l'épreuve ici. Ils ont identifié une capacité qui pose un risque offensif véritable, ont choisi la restriction plutôt que les revenus, ont construit une coalition de défenseurs, ont engagé des ressources significatives pour l'utilisation défensive et ont établi des calendriers de transparence. C'est le mode d'emploi. C'est à quoi ressemble le déploiement responsable de l'IA quand les enjeux sont réels.

Mais je suis également assez honnête pour admettre que l'histoire de Mythos me rend nerveux d'une manière que les sorties précédentes de modèles ne le faisaient pas. Pas parce qu'Anthropic fait quelque chose de mal — bien au contraire. Parce qu'ils ont démontré que la capacité de codage et la capacité de piratage sont la même chose à une échelle suffisante. Et la capacité de codage est ce que chaque laboratoire d'IA sur Terre cherche à améliorer.

Les défenseurs ont une longueur d'avance. Project Glasswing donne aux organisations d'infrastructure critique l'accès pour scanner et corriger avant que les attaquants ne puissent construire des outils équivalents. Les 100 millions de dollars en crédits, les 4 millions de dollars en dons open source, la coalition de plus de 40 organisations — c'est substantiel.

Mais les longueurs d'avance ont une date d'expiration.

La conclusion pratique pour des gens comme nous — développeurs, constructeurs, personnes qui expédient des logiciels dans le monde — est simple. Mettez à jour vos dépendances. Surveillez la vague de correctifs qui arrive dans les 90 prochains jours. Prenez votre posture de sécurité plus au sérieux qu'hier. Et commencez à réfléchir à ce à quoi ressemble votre base de code à travers les yeux de quelque chose qui peut trouver des bugs que cinq millions de tests automatisés ont manqués.

L'ère de la détection de vulnérabilités alimentée par l'IA est arrivée. Ce que vous faites dans les prochains mois — tant que les défenseurs ont encore l'avantage — détermine si vous serez protégé quand le terrain de jeu s'égalisera.

Je suivrai de près les divulgations de Glasswing et écrirai sur ce qui en émergera. Si vous voulez garder une longueur d'avance, c'est le sujet à suivre.

Foire aux questions

Qu'est-ce que Claude Mythos et en quoi diffère-t-il de Claude Opus 4.6 ?

Claude Mythos est le modèle d'IA de frontière non publié d'Anthropic qui obtient 93,9% sur SWE-bench Verified comparé aux 80,8% d'Opus 4.6. Il a été entraîné pour une génération de code exceptionnelle, ce qui lui a conféré des capacités émergentes de cybersécurité — obtenant 83,1% sur le benchmark de vulnérabilités CyberGym contre 66,6% pour Opus 4.6. Mythos n'est pas disponible publiquement et est réservé aux partenaires de Project Glasswing.

Qu'est-ce que Project Glasswing ?

Project Glasswing est l'initiative de cybersécurité d'Anthropic qui donne à 12 partenaires principaux — dont AWS, Apple, Microsoft, Google et CrowdStrike — un accès anticipé à Claude Mythos pour le travail de sécurité défensive. Soutenu par 100 millions de dollars en crédits d'utilisation et 4 millions de dollars en dons à la sécurité open source, le programme se concentre sur la découverte et la correction de vulnérabilités dans l'infrastructure logicielle critique. Pour en savoir plus sur les pratiques de sécurité IA, consultez mon guide de sécurisation des agents IA.

Claude Mythos peut-il vraiment trouver des bugs que les chercheurs en sécurité humains manquent ?

Oui — et les preuves sont spécifiques. Mythos a découvert de manière autonome une vulnérabilité de crash distant de 27 ans dans la pile TCP d'OpenBSD et un bug de 16 ans dans FFmpeg qui a survécu à cinq millions de tests automatisés. Anthropic rapporte des milliers de vulnérabilités zero-day trouvées dans les principaux systèmes d'exploitation et navigateurs, dont beaucoup classées de sévérité critique.

Claude Mythos sera-t-il disponible pour le public ?

Anthropic a déclaré ne pas prévoir de rendre Mythos Preview généralement disponible. Le modèle est réservé aux partenaires de Project Glasswing et à environ 40 organisations supplémentaires sous accès contrôlé. L'objectif d'Anthropic est de développer des garde-fous qui permettront aux capacités de classe Mythos d'être éventuellement déployées plus largement et en toute sécurité.

Comment Claude Mythos affecte-t-il les développeurs au quotidien ?

Attendez-vous à une vague significative de correctifs de sécurité pour les bibliothèques open source populaires au cours des 90 prochains jours, à mesure que les partenaires Glasswing scannent l'infrastructure critique. Mettez à jour vos dépendances de manière agressive, resserrez votre cadence de correctifs et reconnaissez que le scan de vulnérabilités alimenté par l'IA devient la nouvelle norme pour la sécurité logicielle — pas une fonctionnalité premium optionnelle.

Travaillons ensemble

Vous cherchez à construire des systèmes d'IA, automatiser des workflows ou faire évoluer votre infrastructure technologique ? Je serais ravi de vous aider.

Fiverr (développements sur mesure et intégrations) : fiverr.com/s/EgxYmWD
Portfolio : mejba.me
Ramlit Limited (solutions entreprise) : ramlit.com
ColorPark (design et branding) : colorpark.io
xCyberSecurity (services de sécurité) : xcybersecurity.io