Claude Mythos et Project Glasswing :
l’IA qui chasse les failles zero-day
Anthropic révèle un modèle frontier capable de trouver des vulnérabilités dans tous les systèmes d’exploitation majeurs. Décryptage complet de cette annonce qui change la donne.
Claude Mythos Preview est un modèle frontier d’Anthropic spécialisé dans la cybersécurité, capable de détecter des vulnérabilités que même les meilleurs experts humains ne trouvent pas. Annoncé en avril 2026, il a déjà identifié des milliers de failles zero-day dans Windows, macOS, Linux, Chrome et Firefox. Project Glasswing est l’initiative associée qui réunit Amazon, Apple, Google, Microsoft et 8 autres géants pour sécuriser les logiciels critiques.
Cette annonce marque un tournant : pour la première fois, un modèle IA surpasse systématiquement les humains sur une tâche de sécurité critique. Les implications sont immenses, tant pour la défense que pour les risques de prolifération de ces capacités offensives.
Quand j’ai lu l’annonce de Claude Mythos Preview, j’ai d’abord pensé à du marketing exagéré. Puis j’ai vu la liste des partenaires : Amazon, Apple, Google, Microsoft, CrowdStrike, Nvidia, Cisco. Ces entreprises ne s’associent pas pour des effets d’annonce. Il se passe quelque chose de fondamental.
Dans cet article, je décrypte ce que sont vraiment Claude Mythos et Project Glasswing, pourquoi Anthropic a choisi de ne pas rendre ce modèle public, et ce que ça signifie pour l’avenir de la cybersécurité. Accrochez-vous, c’est du lourd.
Qu’est-ce que Claude Mythos Preview ?
Claude Mythos Preview est un modèle de langage non public développé par Anthropic, spécifiquement optimisé pour les tâches de cybersécurité. Contrairement à Claude Opus ou Sonnet qui sont des modèles généralistes, Mythos a été entraîné avec un focus particulier sur la compréhension du code à bas niveau, des protocoles réseau, et des patterns de vulnérabilités.
Ce qui distingue Mythos des autres modèles, c’est sa capacité à raisonner comme un attaquant. Il ne se contente pas de scanner du code ligne par ligne. Il construit des chaînes d’exploitation complexes, identifie des vulnérabilités logiques subtiles, et peut même proposer des proof-of-concept fonctionnels.
Anthropic affirme que Mythos a identifié des milliers de vulnérabilités zero-day dans tous les systèmes d’exploitation majeurs (Windows, macOS, Linux) et dans les principaux navigateurs web (Chrome, Firefox, Safari). Ces failles étaient inconnues des équipes de sécurité de Microsoft, Apple et Google avant qu’Anthropic ne les leur signale.
Le benchmark qui a tout changé : The Last Ones
Pour comprendre l’ampleur de la percée, il faut parler du benchmark The Last Ones. C’est un cyber range développé par l’UK AI Security Institute qui simule une attaque complète en 32 étapes, de la reconnaissance initiale jusqu’à l’exfiltration de données.
Avant Claude Mythos, aucun modèle IA n’avait jamais réussi à compléter ce parcours de bout en bout. Les meilleurs modèles comme GPT-4 ou Claude Opus s’arrêtaient autour de l’étape 15 à 20. Le challenge nécessite non seulement des compétences techniques, mais aussi un raisonnement stratégique sur plusieurs heures.
Claude Mythos Preview a réussi The Last Ones 3 fois sur 10 tentatives, devenant le premier modèle à compléter le parcours end-to-end. Ce résultat a été validé de manière indépendante par le UK AI Security Institute. Pour les experts en cybersécurité, c’est l’équivalent du moment AlphaGo : la machine a dépassé l’humain sur un domaine qu’on pensait réservé à l’intuition expert.
Les capacités techniques de Claude Mythos
Les rapports publiés par Anthropic et les organismes d’évaluation détaillent les capacités spécifiques de Mythos. Voici ce que ce modèle peut faire selon les tests validés :
- Analyse de code à l’échelle : scanner des millions de lignes de code en quelques heures et identifier des patterns vulnérables
- Raisonnement multi-étapes : construire des chaînes d’exploitation complexes impliquant plusieurs failles combinées
- Génération de PoC : créer des proof-of-concept fonctionnels pour démontrer l’exploitabilité d’une faille
- Reverse engineering : analyser des binaires compilés pour y trouver des vulnérabilités sans accès au code source
- Analyse de protocoles : identifier des faiblesses dans les implémentations de protocoles réseau (TLS, HTTP/3, etc.)
- Contournement de défenses : trouver des moyens de bypasser les protections (ASLR, DEP, sandboxing)
- Persistance et latéralisation : simuler des techniques APT pour maintenir l’accès et se propager dans un réseau
- Rapport de vulnérabilité : documenter les failles de manière structurée avec impact, reproduction, et recommandations
Project Glasswing : la coalition de défense
Face à la puissance de Mythos, Anthropic a fait un choix stratégique : ne pas le rendre public et créer une coalition pour utiliser ces capacités de manière défensive. C’est Project Glasswing.
Mission défensive
Utiliser Claude Mythos pour identifier et corriger les failles dans les logiciels critiques avant qu’elles ne soient exploitées par des attaquants. Focus sur les OS, navigateurs et infrastructures cloud.
Coalition inédite
12 partenaires majeurs : Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, Linux Foundation, Microsoft, Nvidia, Palo Alto Networks.
Accès restreint
Mythos Preview n’est accessible qu’aux membres de Project Glasswing. Tarification élevée (25/125 euros par million de tokens) pour limiter la prolifération des capacités offensives.
Claude Mythos vs autres modèles de sécurité
Comment Claude Mythos se compare-t-il aux outils de sécurité existants, qu’ils soient basés sur l’IA ou non ? Ce tableau résume les différences clés basées sur les benchmarks publics.
Le positionnement est clair : Mythos est un outil de niveau étatique, pas un produit grand public. La comparaison avec des solutions commerciales n’est pas vraiment pertinente — on ne joue pas dans la même catégorie.
Exemple : comment Mythos analyse une vulnérabilité
Pour illustrer le niveau de sophistication de Claude Mythos, voici un exemple simplifié du type d’analyse qu’il peut produire. Ce n’est pas un output réel (pour des raisons évidentes de sécurité), mais une représentation du format de rapport.
Notez le niveau de détail et la structure qui permet aux équipes de sécurité d’agir immédiatement.
Pourquoi Anthropic ne rend pas Mythos public ?
La question que tout le monde se pose : pourquoi développer un outil aussi puissant si c’est pour le garder sous clé ? La réponse d’Anthropic est nuancée et mérite qu’on s’y attarde.
L’argument principal est celui de la prolifération. Un modèle capable de trouver des zero-days dans n’importe quel logiciel est une arme à double tranchant. Entre les mains des défenseurs, c’est un outil formidable. Entre les mains d’attaquants étatiques ou de groupes criminels, c’est une catastrophe.
Anthropic estime que les capacités offensives de Mythos dépassent un seuil critique. Le rendre public, même avec des garde-fous, serait irresponsable. Les jailbreaks finissent toujours par être trouvés, et les conséquences d’un Mythos débridé pourraient être désastreuses pour l’infrastructure mondiale.
La stratégie de Project Glasswing est donc de donner un avantage structurel aux défenseurs. En identifiant et en patchant les failles avant qu’elles ne soient découvertes par des attaquants, la coalition espère rendre le cyberespace plus sûr. C’est un pari audacieux sur l’idée que la défense peut prendre l’avantage sur l’attaque.
Les implications pour l’avenir de la cybersécurité
L’annonce de Claude Mythos et Project Glasswing a des implications profondes pour l’industrie de la cybersécurité. Voici les changements structurels que je vois émerger.
Premièrement, la course aux armements s’accélère. Si Anthropic a développé Mythos, d’autres acteurs (OpenAI, DeepMind, mais aussi des États comme la Chine ou la Russie) travaillent probablement sur des modèles similaires. La question n’est plus de savoir si l’IA va révolutionner le hacking, mais quand et qui aura l’avantage.
Deuxièmement, les audits de sécurité traditionnels deviennent obsolètes. Un pentest manuel qui prend 2 semaines peut être reproduit par une IA en quelques heures. Les entreprises de cybersécurité vont devoir se repositionner sur l’interprétation, la remédiation et la gouvernance plutôt que sur la détection.
Troisièmement, la réglementation va devoir évoluer. Comment encadrer des modèles dont les capacités offensives dépassent celles des agences de renseignement ? L’Union européenne et les États-Unis travaillent déjà sur des cadres spécifiques pour les frontier models à capacités cyber.
Ce que ça change pour les entreprises en 2026
Si vous dirigez une entreprise ou une équipe technique, l’émergence de modèles comme Mythos doit influencer votre stratégie de sécurité. Voici mes recommandations concrètes.
Premièrement, anticipez l’automatisation des attaques. Les scripts kiddies de demain auront accès à des outils de niveau expert. Renforcez votre posture de sécurité de base : patching rapide, segmentation réseau, MFA partout, monitoring des anomalies.
Deuxièmement, adoptez les outils de défense basés sur l’IA. Claude Security (disponible pour Enterprise) et ses équivalents vont devenir indispensables pour maintenir un niveau de sécurité acceptable. Les scanners statiques traditionnels ne suffisent plus.
Troisièmement, intégrez la sécurité dès la conception. Le coût de correction d’une faille découverte par une IA en production sera astronomique. Mieux vaut investir en amont avec des revues de code assistées par IA et des tests de sécurité continus dans vos pipelines CI/CD.
Mon analyse personnelle de cette annonce
Je vais être direct : l’annonce de Claude Mythos m’inquiète autant qu’elle me fascine. D’un côté, voir Anthropic prendre ses responsabilités en limitant l’accès à un modèle dangereux est rassurant. C’est exactement le type de comportement qu’on attend d’un leader de l’IA.
De l’autre côté, le génie est sorti de la bouteille. Si Anthropic peut développer Mythos, d’autres le peuvent aussi — et ils ne seront pas tous aussi scrupuleux. La prolifération de capacités cyber offensives de niveau étatique vers des acteurs non-étatiques est un risque existentiel pour nos sociétés numériques.
Ma conviction, c’est que Project Glasswing est une bonne initiative, mais insuffisante. Il faudra une coordination internationale, probablement sous l’égide des Nations Unies ou d’un organisme dédié, pour encadrer le développement et l’usage des frontier models à capacités cyber. Nous n’en sommes qu’au début de cette conversation.
Pour les professionnels du digital comme moi, c’est un rappel que la sécurité n’est plus un nice-to-have. C’est un impératif stratégique qui doit infuser chaque décision technique. Les outils comme Claude Security sont une première étape, mais la vigilance humaine reste irremplaçable.
Questions fréquentes sur Claude Mythos et Project Glasswing
Qu’est-ce que Claude Mythos Preview exactement ?
Claude Mythos Preview est un modèle de langage frontier développé par Anthropic, spécialisé dans la cybersécurité. Contrairement aux modèles généralistes comme Claude Opus, Mythos a été optimisé pour détecter des vulnérabilités, analyser du code malveillant et construire des chaînes d’exploitation complexes.
Le modèle a démontré des capacités sans précédent : identification de milliers de failles zero-day dans les systèmes d’exploitation majeurs, premier modèle à réussir le benchmark The Last Ones du UK AI Security Institute. Ces capacités le placent au niveau des meilleurs experts humains en cybersécurité offensive.
Pourquoi Claude Mythos n’est-il pas accessible au public ?
Anthropic a choisi de ne pas rendre Mythos public en raison des risques de prolifération. Un modèle capable de trouver des zero-days dans n’importe quel logiciel est une arme à double tranchant qui pourrait être utilisée par des acteurs malveillants si elle était largement accessible.
La stratégie est de réserver ces capacités aux défenseurs via Project Glasswing. L’objectif est de patcher les failles avant qu’elles ne soient découvertes par des attaquants, donnant ainsi un avantage structurel à la défense. Cette approche responsable est saluée par les experts en sécurité.
Qu’est-ce que Project Glasswing ?
Project Glasswing est une initiative lancée par Anthropic pour utiliser Claude Mythos de manière défensive. Elle réunit 12 partenaires majeurs : Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, Linux Foundation, Microsoft, Nvidia, et Palo Alto Networks.
La mission est de sécuriser les logiciels les plus critiques du monde pour l’ère de l’IA. Les membres de la coalition utilisent Mythos pour identifier les vulnérabilités dans leurs propres produits et dans les infrastructures partagées, avant de les corriger de manière coordonnée.
Quelles sont les capacités techniques de Claude Mythos ?
Claude Mythos peut analyser des millions de lignes de code pour trouver des vulnérabilités, construire des chaînes d’exploitation multi-étapes, générer des proof-of-concept fonctionnels, faire du reverse engineering sur des binaires, et contourner des protections comme ASLR ou DEP.
Le modèle a été le premier à réussir le benchmark The Last Ones qui simule une attaque complète en 32 étapes. Il a identifié des failles critiques dans Windows, macOS, Linux, Chrome, Firefox et Safari que les équipes de sécurité de ces entreprises n’avaient pas détectées.
Comment accéder à Claude Mythos ?
Claude Mythos Preview est uniquement accessible aux membres de Project Glasswing. Il n’existe pas de plan public ni d’API ouverte. Le tarif pour les membres est de 25 euros par million de tokens en entrée et 125 euros en sortie, volontairement élevé pour limiter l’usage.
Pour les entreprises qui veulent des capacités de détection de vulnérabilités par IA, Claude Security est l’alternative accessible. Disponible pour les clients Enterprise et bientôt Team, il offre des fonctionnalités similaires mais moins poussées que Mythos, avec des garde-fous supplémentaires.
Quelle est la différence entre Claude Mythos et Claude Security ?
Claude Security est un produit commercial accessible aux entreprises, conçu pour scanner du code et détecter des vulnérabilités courantes. Claude Mythos est un modèle de recherche aux capacités offensives avancées, réservé à Project Glasswing pour des usages défensifs à haut niveau.
En termes de capacités, Mythos peut trouver des zero-days dans des systèmes complexes et construire des exploits fonctionnels. Claude Security détecte des failles connues et propose des patchs. Mythos est une arme, Claude Security est un outil de prévention.
Quels risques pose l’existence de modèles comme Mythos ?
Le principal risque est la prolifération. Si Anthropic a développé Mythos, d’autres acteurs étatiques ou privés peuvent développer des modèles similaires sans les mêmes garde-fous éthiques. Ces capacités cyber offensives pourraient tomber entre des mains malveillantes.
À terme, l’automatisation des attaques par IA pourrait rendre les cyberattaques sophistiquées accessibles à des acteurs moins qualifiés. C’est pourquoi la coordination internationale sur les frontier models est urgente, et pourquoi des initiatives comme Project Glasswing sont essentielles.
Comment les entreprises doivent-elles réagir à cette annonce ?
Les entreprises doivent renforcer leur posture de sécurité de base : patching rapide, segmentation réseau, authentification multi-facteurs, monitoring des anomalies. Les attaques automatisées par IA vont augmenter en fréquence et en sophistication.
L’adoption d’outils de défense basés sur l’IA devient indispensable. Claude Security et ses équivalents sont la première ligne de défense. Intégrez aussi la sécurité dès la conception de vos projets avec des revues de code assistées et des tests continus dans vos pipelines.
Project Glasswing est-il suffisant pour sécuriser l’écosystème ?
Project Glasswing est une excellente initiative, mais probablement insuffisante seule. La coalition couvre les acteurs majeurs occidentaux, mais exclut la Chine, la Russie et d’autres nations qui développent leurs propres capacités IA offensives.
Une coordination internationale plus large sera nécessaire, possiblement sous l’égide des Nations Unies. La réglementation des frontier models à capacités cyber est en discussion aux États-Unis et en Europe. Project Glasswing est une première étape, pas une solution complète.
Quand les capacités de Mythos seront-elles plus largement accessibles ?
Anthropic n’a pas annoncé de calendrier pour une ouverture plus large de Mythos. L’entreprise a indiqué vouloir d’abord développer des garde-fous robustes capables de détecter et bloquer les usages malveillants avant d’envisager un déploiement plus large.
À moyen terme, on peut imaginer que certaines capacités de Mythos soient intégrées dans Claude Security pour les entreprises ayant des besoins de sécurité avancés. Mais les fonctionnalités les plus offensives resteront probablement restreintes pour des raisons éthiques et de sécurité nationale.
