Claude Mythos et Project Glasswing : l'IA qui trouve les failles avant les pirates
Anthropic a annoncé le 7 avril un modèle capable de trouver des milliers de failles graves, réservé à quelques acteurs de la sécurité. Ce que ça annonce pour vos logiciels.
Le 7 avril 2026, Anthropic a annoncé Project Glasswing, une initiative de cybersécurité construite autour d'un nouveau modèle, Claude Mythos Preview, que l'entreprise a choisi de ne pas mettre à disposition du public. La raison avancée : le modèle est devenu trop bon pour trouver et exploiter des failles dans les logiciels. Pour un dirigeant de PME, l'annonce peut sembler lointaine. Elle dit pourtant quelque chose de très concret sur les mois qui viennent : les failles vont être découvertes plus vite, et il faudra corriger plus vite.
Ce qu'Anthropic a annoncé
Selon la page officielle du projet, Claude Mythos Preview a trouvé des milliers de vulnérabilités graves, dont certaines dans chacun des grands systèmes d'exploitation et des grands navigateurs. Anthropic cite trois exemples, depuis corrigés :
- une faille vieille de 27 ans dans OpenBSD, un système réputé pour sa sécurité, qui permettait de faire planter à distance une machine simplement en s'y connectant ;
- une faille vieille de 16 ans dans FFmpeg, une bibliothèque vidéo omniprésente, sur une ligne de code que les outils de test automatiques avaient exécutée cinq millions de fois sans rien voir ;
- plusieurs failles du noyau Linux enchaînées pour passer d'un simple accès utilisateur au contrôle complet d'une machine.
D'après Anthropic, le modèle a trouvé l'essentiel de ces failles de façon autonome, sans être guidé.
Plutôt que de publier le modèle, Anthropic le réserve à douze partenaires fondateurs, dont Amazon Web Services, Apple, Google, Microsoft, Cisco, CrowdStrike, Nvidia, Palo Alto Networks et la Linux Foundation, ainsi qu'à plus de 40 organisations qui maintiennent des logiciels critiques. L'entreprise a annoncé des crédits d'utilisation et des dons aux fondations qui sécurisent l'open source. Interrogé par VentureBeat, le responsable cybersécurité de l'équipe « red team » d'Anthropic explique que le modèle ne sera pas rendu généralement disponible à cause de ces capacités, de peur qu'elles se diffusent vers des acteurs moins prudents.
Pourquoi c'est un tournant
Trouver une faille sérieuse dans un logiciel mûr demandait jusqu'ici des experts rares, du temps et de la patience. Si une IA peut le faire à grande échelle, deux choses changent en même temps.
- Côté défense, les éditeurs et les projets open source vont corriger des failles anciennes en masse. Attendez-vous à des vagues de mises à jour de sécurité plus fréquentes, sur des logiciels qu'on croyait stables.
- Côté attaque, Anthropic elle-même estime que des capacités comparables finiront par apparaître ailleurs. Le délai entre la publication d'un correctif et son exploitation par des attaquants, déjà court, risque de raccourcir encore.
Anthropic recommande d'ailleurs aux défenseurs de se préparer à des attaques plus fréquentes et plus rapides, et de moderniser leurs pratiques : gestion des vulnérabilités, mises à jour, sécurité de la chaîne d'approvisionnement logicielle, automatisation des correctifs.
Ce que ça change pour une PME
Vous n'aurez pas accès à Mythos, et vous n'en avez pas besoin. Ce qui vous concerne, c'est la conséquence : un logiciel non mis à jour devient plus dangereux, plus vite. Trois situations méritent une attention particulière.
Le serveur qu'on n'ose plus toucher
Un serveur de fichiers, un logiciel de gestion installé en interne il y a des années, un site sur un vieux système : tout ce qui n'est plus mis à jour régulièrement est exposé aux failles anciennes qui vont être découvertes et publiées.
Les logiciels sans propriétaire
L'application développée par un prestataire disparu, le site dont personne n'a les accès : si personne n'est chargé de les mettre à jour, personne ne le fera.
Les équipements connectés
Box, caméras, routeurs, imprimantes : ils embarquent des briques logicielles comme Linux ou FFmpeg, et leur mise à jour est souvent oubliée.
Ce qui ne change pas
Les attaques qui touchent le plus les PME restent les plus simples : un mot de passe réutilisé, un e-mail piégé, un accès à distance laissé ouvert. Une IA qui trouve des failles sophistiquées ne rend pas ces portes d'entrée moins dangereuses. Elle ajoute un risque, elle n'efface pas les anciens. L'authentification à deux facteurs et la sensibilisation des équipes gardent toute leur valeur.
Ce que nous conseillons
- Listez ce qui tourne : serveurs, logiciels métier, sites, équipements connectés, avec pour chacun le nom de la personne ou du prestataire qui le met à jour.
- Raccourcissez le délai de correction : une mise à jour de sécurité doit s'installer en jours, pas en mois.
- Retirez ce qui ne sert plus : un service éteint ne peut pas être attaqué.
- Exigez une maintenance réelle pour vos logiciels sur mesure, pas une ligne au contrat.
C'est pour cette raison que nos logiciels sont livrés avec une maintenance qui répond sous 24 heures ouvrées, et que nos serveurs d'IA locale sont suivis après l'installation : un serveur installé puis oublié est exactement ce que ce type d'annonce rend risqué. Si vous ne savez pas qui met à jour vos outils, c'est une bonne question pour un rendez-vous de 30 minutes.