Mythos d’Anthropic & l’Automatisation de la recherche de vulnérabilités

Quelles implications pour la cybersécurité ?

Le 7 avril 2026, Anthropic a annoncé les capacités de son modèle Claude Mythos dans le domaine de la cybersécurité, et plus précisément pour la recherche automatisée de vulnérabilités et l’élaboration d’exploits associés. Cette annonce s’inscrit dans une dynamique de fond qui touche l’ensemble de l’écosystème IA, et soulève des questions fondamentales pour les professionnels de la sécurité de l’information. Le Clusif propose une analyse factuelle de cette annonce, de ces incertitudes, et de ces implications à court et moyen terme.

1. L’annonce : ce que l’on sait

Mythos est présenté par Anthropic comme un modèle capable de deux opérations qui, jusqu’ici, nécessitaient une expertise humaine avancée : la découverte automatisée de vulnérabilités dans des logiciels ou des systèmes, et l’élaboration du code permettant de les exploiter. Anthropic met en avant ces capacités dans un cadre de recherche en sécurité, sans en préciser complètement les conditions d’accès ni les garde-fous techniques déployés.

Nous avons néanmoins quelques réserves. D’abord, la vulnérabilitéFaiblesse dans un système informatique permettant à un attaquant de porter atteinte à l’intégrité du système qui le contient. Souvent associée à un logiciel, la vulnérabilité permet généralement de simuler une élévation de privilèges permettant l’exécution du code fourni par l’attaquant. citée en démonstration est-elle réellement représentative d’une capacité générale ? Ensuite, les jeux de données utilisés pour évaluer les performances de Mythos sont-ils suffisamment robustes et indépendants pour fonder une conviction ? À ce stade, le Clusif estime que ces éléments restent insuffisamment documentés pour tirer des conclusions définitives sur les capacités réelles du modèle.

Précisons également qu’Anthropic préparerait une introduction en bourse en 2026, et qu’un effet buzz dans ce domaine serait de nature à mieux valoriser la société.

2. Une tendance de fond, indépendamment de Mythos

Au-delà de ces incertitudes, une réalité s’impose : l’IA atteindra, à horizon de quelques mois, une capacité effective de découverte de vulnérabilités et d’automatisation de la création d’exploits à grande échelle.

Anthropic n’est pas seul sur ce terrain. OpenAI a publié une initiative structurée autour de l’accès sécurisé aux capacités Cyber offensives à des fins de défense (« Scaling Trusted Access for Cyber Defense »). La plateforme XBow a développé un modèle de détection automatique de vulnérabilités qui a terminé en tête du classement HackerOne en juin 2025. D’autres acteurs, à commencer par Mistral en Europe, n’ont pas encore communiqué sur ce sujet, mais la pression concurrentielle les contraindra probablement à se positionner. La convergence entre grands modèles de langage et sécurité offensive est désormais une donnée structurelle du marché.

3. Conséquences identifiées pour les organisations

3.1 Une pression accrue sur la gestion des vulnérabilités

L’automatisation de la recherche de vulnérabilités va mécaniquement provoquer un pic du nombre de vulnérabilités détectées et publiées. La baisse du coût unitaire de découverte d’une vulnérabilité démocratisera l’accès à cette activité, au-delà des équipes spécialisées actuelles. Parallèlement, le Time To ExploitL’exploit est un programme ou une technique démontrant l’existence d’une vulnérabilité au sein d’un logiciel informatique. Celui-ci peut se limiter à une démonstration de faisabilité d'exploitation de cette faille (preuve par l’exemple) ou être utilisé pour mener une action malveillante. (délai entre la découverte et l’exploitation active d’une vulnérabilité) se réduira significativement, exerçant une pression inédite sur les processus de patchProgramme destiné à corriger un disfonctionnement de logiciel et diffusé par l’éditeur de celui-ci. management.

La hausse attendue des zero-days constitue le risque le plus immédiat : même des systèmes correctement patchés et durcis pourront être exposés à des vecteurs d’attaque inconnus, élargissant de fait la surface d’attaque réelle des organisations.

3.2 Une fracture dans la maturité cyber des organisations

Ces évolutions accélèrent le risque d’une cybersécurité à deux vitesses.
D’un côté, les organisations disposant des ressources nécessaires (en euro et en compétences/effectifs) pour intégrer l’IA dans leurs pratiques défensives, en particulier dans leurs chaînes de développement et d’intégration continue (CI/CD). De l’autre, celles qui attendront la maturité du marché et des solutions clés en main, s’exposant à une fenêtre de vulnérabilité prolongée. Ce différentiel de maturité est un enjeu collectif, qui dépasse la seule dimension concurrentielle.

3.3 Des modèles de service en cybersécurité à réinventer

Du côté des éditeurs de logiciels, la pression sera double : intégrer ces mêmes outils d’analyse pour corriger en amont les failles de leurs produits, tout en faisant face à un volume croissant de signalements issus de la communauté. Cela interroge directement leurs modèles économiques – rapport coût/prix de vente, pertinence des équipes sécurité internes, viabilité des modèles SaaS – face aux solutions IA embarquées.

Pour les offreurs de services spécialisés, telles que les sociétés d’audit, fournisseurs de SAST, opérateurs de bug bounty, la question est plus structurelle encore. Lorsque des modèles d’IA seront capables de réaliser des analyses équivalentes à moindre coût et en temps quasi réel, quelle sera la place des services humains ? Pour les offreurs, se pose également la question du choix des partenaires technologiques ; les dépendances induites devront également faire l’objet d’une attention particulière dans la construction des offres de demain.

3.4 Une dimension de souveraineté à ne pas négliger

La recherche de vulnérabilités est une activité hautement stratégique. Confier cette capacité à des modèles développés et opérés par des acteurs étrangers soulève des questions légitimes de souveraineté et de transparence : comment ces éditeurs gèrent-ils les zero-days découverts par leurs modèles ? À qui sont-ils communiqués, et dans quel délai ? Le projet Glasswing d’Anthropic esquisse des éléments de réponse, mais le cadre de gouvernance reste à ce jour insuffisamment précisé. Le positionnement de l’État français et de l’ANSSI sur ces sujets – notamment pour ce qui concerne les critères de certification et de qualification des outils IA à usage de sécurité – est attendu.

4. Recommandations du CLUSIF

Face à ces évolutions, le Clusif formule les recommandations suivantes :

À court terme : renforcer les fondamentaux

L’utilisation par les groupes d’attaquants de ce genre d’outil peut potentiellement renforcer le déséquilibre entre l’attaque et la défense. Il est plus facile de tenter plusieurs attaques hasardeuses, que de garantir l’inviolabilité de toute sa surface d’attaque.

Aussi, l’IA doit être mise au service de la défense, notamment pour accélérer la détection et la réponse aux incidents, enrichir la threat intelligence et automatiser la veille sur les vulnérabilités. Dans le même temps, pour absorber le pic de vulnérabilités annoncé, il est impératif de :

• Accélérer et automatiser les processus de patch management, en s’appuyant sur des cockpits de gestion de la vulnérabilité opérationnelle (VOC).
• Améliorer la qualité et l’exhaustivité des inventaires d’actifs, incluant les S-BOM (Software Bill of Materials) et la surveillance de la surface d’attaque externe (EASM).
• Limiter l’impact potentiel d’un zero-day par des mesures structurelles : segmentation réseau, architecture Zero Trust, réduction des privilèges, etc.
• Suivre l’évolution du marché des outils de revue de code, pour intégrer au plus tôt les outils à base d’IA.

À moyen terme : reconsidérer les modèles de protection

La question mérite d’être posée franchement : si le rythme d’apparition des vulnérabilités dépasse la capacité des organisations à les corriger, le modèle de sécurité fondé sur la prévention et le patching systématique reste-t-il viable ? Le Clusif estime que la résilience opérationnelle doit devenir un pilier central des stratégies de sécurité : accepter la compromission potentielle d’un actif, être en mesure de le détecter rapidement, de le reconstruire et de reprendre l’activité sans rupture majeure. Cette évolution implique des investissements dans les capacités de détection avancée, de réponse à incident et de continuité d’activité. Sans oublier les nécessaires compétences humaines pour organiser et arbitrer.

Conclusion

L’annonce de Mythos par Anthropic est un signal parmi d’autres d’une transformation profonde de la cybersécurité. Qu’elle tienne toutes ses promesses ou non, elle illustre une direction que l’industrie du numérique prend, avec des implications concrètes et imminentes pour les professionnels de la sécurité. Le Clusif appellera à un dialogue structuré entre les acteurs de la cybersécurité française, les entreprises, les régulateurs et les éditeurs de modèles d’IA, pour anticiper ces mutations plutôt que les subir.

Pour aller plus loin :

• https://crankysec.com/blog/smash/
• https://labs.cloudsecurityalliance.org/mythos-ciso/
• https://cert.europa.eu/blog/ai-vulnerability-discovery-defenders-must-adapt
• Note du Conseil de l’IA et du Numérique

Cette note reflète une position collective de travail et n’engage pas
les organisations membres à titre individuel.