Mythos : l'IA d'Anthropic qui génère des failles zero-day à 72%
Anthropic vient de changer les règles du jeu en cybersécurité. Son nouveau modèle d'IA, baptisé Mythos, est capable de générer des exploits zero-day fonctionnels dans 72,4% des cas. Son prédécesseur, Claude Opus 4.6, affichait un taux de 0%. Le bond est brutal.
Concrètement, un ingénieur sans formation en sécurité peut demander à Mythos de chercher des failles de type remote code execution le soir, et trouver un exploit complet et opérationnel le lendemain matin. Ce qui prenait des mois à des experts pointus se fait désormais en une nuit. C'est le genre de capacité qui fait froid dans le dos.
Anthropic n'a pas attendu que ça fuie. L'entreprise a lancé le Project Glasswing, un programme d'accès ultra-restreint réunissant 12 mastodontes technologiques : Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks. L'objectif : utiliser Mythos pour identifier et colmater les vulnérabilités de leurs propres systèmes avant que des attaquants ne s'en chargent.
Au-delà de ce cercle fermé, Anthropic a élargi l'initiative à 40 organisations supplémentaires. Le financement associé est massif : 100 millions de dollars en crédits d'usage pour Mythos Preview, plus 4 millions de dollars de dons directs aux organisations de sécurité open source. Quand on sort ce genre de chèque, c'est qu'on mesure la gravité de la situation.
La décision la plus significative reste celle-ci : Mythos ne sera jamais rendu public. Anthropic le dit clairement — démocratiser un moteur à zero-days capable de « casser internet de manière catastrophique » est hors de question. C'est une première dans l'industrie. Un modèle d'IA délibérément gardé hors du marché pour des raisons de sécurité collective.
Cela soulève une question inconfortable : si Anthropic, une entreprise qui prône la sécurité de l'IA, a quand même développé un tel outil, que font les labos moins scrupuleux en ce moment ? La course aux armements cyber vient de franchir un palier. Les régulateurs, eux, n'ont pas encore bougé.
Ce que ça change : l'IA ne se contente plus d'assister les hackers, elle les remplace. Les marchés crypto et les infrastructures financières décentralisées sont en première ligne. Si des exploits zero-day deviennent industrialisables, chaque protocole non audité est une cible potentielle. La sécurité informatique n'est plus une option, c'est une question de survie.