Anthropic a décidé de faire quelque chose d’inhabituel dans le secteur de l’intelligence artificielle : annoncer l’un de ses modèles les plus avancés tout en précisant qu’il ne sera pas accessible au grand public. La société a présenté le 7 avril preview de Claude Mythos, un nouveau modèle généraliste qui, selon ses propres évaluations, a connu une avancée remarquable dans les tâches de cybersécurité offensive et défensive. Elle affirme que le système a été capable d’identifier et d’exploiter des vulnérabilités zero-day dans les principaux systèmes d’exploitation et navigateurs lors de ses tests internes, et que cette amélioration est suffisamment significative pour justifier un déploiement très restreint.

Au lieu de commercialiser Mythos en tant que version premium de Claude, Anthropic a lancé le Project Glasswing, une initiative conjointe avec Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks. L’objectif est qu’un groupe limité de grands acteurs utilisent ce modèle pour renforcer leurs logiciels et leurs infrastructures critiques avant que des capacités semblables ne commencent à se répandre dans d’autres systèmes. Anthropic a engagé jusqu’à 100 millions de dollars en crédits pour l’utilisation du modèle, ainsi que 4 millions de dollars supplémentaires destinés à des organisations de sécurité open source.

Le message n’est pas « nous avons lancé un modèle », mais « nous avons franchi un seuil »

Ce qui rend l’annonce la plus importante, ce n’est pas seulement les performances techniques, mais aussi la thèse que présente Anthropic. La société affirme que Mythos Preview n’a pas été spécialement entraîné pour exploiter des logiciels, mais que ses capacités en cybersécurité ont émergé de améliorations plus générales en raisonnement, programmation et autonomie. Ce détail est crucial car il suggère que cette avancée offensive ne dépend pas uniquement d’entraînements ultra-spécialisés, mais que les modèles généralistes continuent de s’améliorer dans le code et la coordination des tâches.

Dans son rapport technique, Anthropic indique que Mythos a détecté des failles graves dans OpenBSD, FFmpeg, FreeBSD, des bibliothèques cryptographiques, des applications web, des machines virtuelles et le noyau Linux. Il affirme également que le modèle a réussi à enchaîner plusieurs vulnérabilités pour construire des exploits fonctionnels, surpassant clairement Opus 4.6 dans les tâches d’exploitation autonome. Parmi les exemples rendus publics figurent une vulnérabilité corrigée depuis 27 ans dans OpenBSD, une faiblesse de 16 ans dans FFmpeg, et une exécution de code à distance sur le serveur NFS de FreeBSD, identifiée comme CVE-2026-4747. Anthropic souligne en outre que plus de 99 % des failles détectées n’étaient pas corrigées au moment de la rédaction du rapport, ce qui limite les détails qu’il peut divulguer pour des raisons de responsabilité.

Glasswing est une réaction défensive, mais aussi un avertissement au marché

L’approche choisie par Anthropic montre que la société considère Mythos comme un outil plus sensible qu’un modèle conventionnel. Glasswing n’est pas destiné à une version bêta pour des clients curieux, mais plutôt à un déploiement contrôlé pour des acteurs responsables de logiciels critiques. Reuters l’a résumé comme une tentative de mettre cette technologie potentiellement très dangereuse entre les mains de défenseurs, avant que des capacités équivalentes ne soient plus largement disponibles.

Ce positionnement modifie considérablement le ton habituel du secteur. Au cours des deux dernières années, l’industrie a tendance à présenter chaque avancée comme une amélioration commerciale brute. Ici, la narration est presque contraire : Anthropic indique que le modèle est trop puissant dans une dimension précise pour être simplement diffusé en accès libre. Le message implicite est que la cybersécurité devient un domaine où une avancée technique peut modifier l’équilibre de pouvoir entre défenseurs et attaquants plus rapidement.

Au-delà du marketing : quelles implications pour l’écosystème technologique

Pour un média spécialisé, la lecture clé n’est pas simplement de savoir si Anthropic exagère ses résultats, mais d’anticiper la tendance qu’elle essaie de projeter. Si des modèles comme Mythos réduisent considérablement le coût pour détecter, classer et exploiter des failles, alors le cycle habituel de sécurité — découverte, validation, correction, déploiement — s’accélère et devient plus agressif. Cela concerne les fabricants de logiciels, les mainteneurs open source, les distributeurs, les responsables d’infrastructures cloud et les équipes d’intervention en cas d’incident. Anthropic insiste là-dessus : il ne suffit pas de détecter les vulnérabilités plus rapidement, il faudra aussi les trier, les corriger et déployer des mises à jour plus vite.

Glasswing indique également que la prochaine étape en matière de sécurité offensive et défensive sera beaucoup plus industrielle. Il n’est pas innocent que le programme inclut des hyperscalers, des fournisseurs de cybersécurité, de grandes banques ou des organisations liées au logiciel libre. Chacun contrôle une partie du surface d’attaque globale : cloud, endpoints, finance, bibliothèques critiques, compilateurs, noyaux, cadres cryptographiques, logiciels fondamentaux. Si Anthropic a raison et que le volume de vulnérabilités découvrables avec l’IA va croître de façon exponentielle, aucune grande organisation ne pourra faire face avec des processus purement manuels.

Les benchmarks comptent, mais la décision de ne pas ouvrir le modèle est déterminante

Anthropic accompagne l’annonce de comparaisons dans CyberGym et dans plusieurs benchmarks de développement comme SWE-bench Verified, SWE-bench Pro, Terminal-Bench 2.0, BrowseComp, parmi d’autres. Dans tous ces tests, Mythos dépasse Opus 4.6, parfois largement. La société reconnaît également certains nuances techniques, telles que d’éventuels signes de mémorisation dans Humanity’s Last Exam ou des différences méthodologiques dans certains tests multimodaux. Tout cela est important, mais ce qui fait la différence, c’est que l’entreprise a choisi de traiter ce modèle comme un outil à usage restreint plutôt que comme un produit ouvert au marché.

Cela confère à Mythos un signal plus large à l’industrie. Même si d’autres laboratoires ne partagent pas forcément le même rythme ou la même évaluation du risque, la direction est claire : la convergence d’un modèle plus autonome, avec un code amélioré et un raisonnement plus fin, commence à toucher une zone particulièrement sensible, celle de l’exploitation automatisée des vulnérabilités. Anthropic affirme que, à long terme, ces capacités devraient davantage profiter aux défenseurs qu’aux attaquants, comme ce fut le cas avec des outils tels que les fuzzers. Mais elle admet aussi que la phase de transition pourrait être tumultueuse. Et cela constitue probablement la phrase la plus importante de tout l’annonce.

Questions fréquentes

Qu’est-ce que exactement Claude Mythos Preview ?
Il s’agit d’un modèle généraliste d’Anthropic présenté le 7 avril 2026, doté de performances particulièrement élevées dans les tâches de cybersécurité, telles que la recherche de vulnérabilités, la génération d’exploits, l’ingénierie inverse et l’analyse de chaînes d’attaque, selon ses propres évaluations. Anthropic ne prévoit pas de le rendre disponible au grand public pour le moment.

Qu’est-ce que le Project Glasswing ?
Il s’agit d’une initiative coordonnée par Anthropic pour permettre à un groupe restreint de grandes entreprises et d’organisations travaillant sur des logiciels critiques d’utiliser Mythos Preview à des fins défensives. Parmi les partenaires figurent AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks.

Anthropic a-t-elle prouvé de façon indépendante que Mythos détecte des milliers de zero-days ?
Pas encore de manière complètement indépendante. La société a publié des exemples techniques concrets et affirme que la majorité des découvertes restent non détaillées, car elles n’étaient pas encore corrigées lors de la rédaction du rapport. Cela laisse une partie de ses affirmations les plus fortes en attente de vérification publique ultérieure.

Il sera possible d’utiliser Mythos via l’API ou dans de grandes clouds ?
Oui, mais uniquement dans le cadre du programme et sur invitation. Anthropic indique que les participants peuvent accéder au modèle via leur API ou sur des plateformes comme Amazon Bedrock, Google Cloud Vertex AI et Microsoft Foundry.

Source : Anthropic présente Mythos