Anthropic déplace désormais les pièces relatives à Mythos, son modèle le plus sensible en matière de cybersécurité. Les dernières indications pointent vers une intégration prochaine avec Claude Code et Claude Security. Bien qu’aucune annonce officielle de déploiement général n’ait encore été faite, la présence de références internes telles que claude-mythos-1-preview et des mentions d’un « accès au modèle Claude Mythos via Claude Code et Claude Security » suggèrent que l’entreprise travaille déjà à faire évoluer cette technologie, qui était jusqu’ici confinée au projet contrôlé Glasswing, vers un produit plus accessible pour les équipes techniques.

La différence avec d’autres lancements d’IA destinés aux développeurs est significative. Mythos ne se limite pas à l’autocomplétion de code, à la génération de tests ou à l’explication d’une fonction. Anthropic le présente comme un modèle capable de détecter de véritables vulnérabilités dans des logiciels complexes et, dans certains cas, d’aider à démontrer que ces défauts sont exploitables. Cette capacité en fait un outil particulièrement attractif pour les acteurs de la cybersécurité, mais aussi une technologie nécessitant davantage de contrôles que les assistants de programmation classiques.

De programme restreint à produit destiné aux développeurs

Mythos a vu le jour dans le cadre de Project Glasswing, une initiative d’Anthropic visant à renforcer la sécurité des logiciels critiques avant que des modèles aux capacités similaires ne soient accessibles à un plus grand nombre d’acteurs. Le programme a été conçu avec un accès limité et réservé à des partenaires sélectionnés, car la société considère que le modèle franchit une frontière sensible : s’il peut accélérer la détection de vulnérabilités, il peut aussi faciliter la recherche et l’exploitation de failles, réduisant ainsi la barrière technique.

L’attention se déplace maintenant vers Claude Code et Claude Security. TestingCatalog indique des signaux dans l’interface et le code suggérant l’existence d’un produit dénommé Mythos 1, actuellement en version bêta. BleepingComputer rapporte que certains utilisateurs auraient brièvement vu le modèle dans l’interface, avant qu’il ne disparaisse. La lecture prudente est que Anthropic prépare cette étape, sans encore avoir ouvert l’accès à tous.

L’intégration avec Claude Code semble naturelle. Si un outil peut déjà parcourir des dépôts, comprendre les dépendances, modifier des fichiers et raisonner sur des changements, ajouter une couche spécialisée dans la détection de vulnérabilités en ferait un audit de sécurité intégré au flux de travail quotidien du développeur. Il ne s’agirait plus d’une vérification en bout de chaîne, mais d’un contrôle permanent durant la rédaction, la revue et le déploiement du code.

L’aspect le plus intéressant de Claude Security réside dans sa capacité à transformer les détections en actions concrètes. Un modèle qui ne fournit que des milliers de potentiels bugs peut rapidement submerger une équipe. La valeur réelle réside dans l’explication du risque, la distinction entre faux positifs, la vérification de la faisabilité d’une exploitation, la recommandation de corrections et la priorisation des interventions.

L’identification des failles ne sera plus le goulot d’étranglement

Project Glasswing a mis en lumière une réalité inconfortable : l’IA commence à détecter des failles à un rythme pouvant dépasser la capacité humaine à les vérifier et à les corriger. Anthropic confirme que Mythos Preview est utilisé pour protéger des logiciels très répandus, et certains rapports récents évoquent la détection de milliers de vulnérabilités dans des projets importants, même si la communication publique reste limitée pour des raisons de sécurité.

Ce changement modifie l’équilibre dans le secteur. Pendant des années, une part significative du travail en sécurité consistait à découvrir les failles. Avec des modèles comme Mythos, la problématique évolue : il faut maintenant valider, reproduire, prioriser, corriger et déployer des correctifs beaucoup plus rapidement. L’IA peut réduire le délai de détection, mais elle ne peut pas, à elle seule, réparer les dépendances défaillantes, accélérer les cycles de production ou pallier un manque de ressources dans les projets open source.

Cloudflare, qui a collaboré avec Mythos dans le cadre de Project Glasswing, explique que ces modèles peuvent raisonner sur des chaînes d’exploitation et déceler des vulnérabilités complexes. Mais ils insistent également sur la nécessité de contrôles stricts. Il ne suffit pas d’ouvrir cette capacité, en espérant qu’elle sera utilisée à des fins défensives uniquement.

Le message pour les entreprises est clair : Mythos peut représenter un avantage si une culture de sécurité mature est en place. Sans inventaire actif des ressources, gestion des dépendances, SBOM, pipelines contrôlés, responsables clairement identifiés et fenêtres de correctifs réalistes, une technologie avancée peut rapidement se transformer en source de dette technique.

Une technologie de défense à double usage potentielle

Anthropic évolue sur une ligne fine. Si la société limite trop Mythos, les équipes de sécurité risquent d’y voir une promesse lointaine. Si elle l’ouvre trop largement, elle pourrait fournir à des acteurs malveillants ou non expérimentés des capacités offensives. La société a déjà indiqué qu’elle envisage de rendre accessibles des modèles de la classe Mythos lorsqu’elle aura renforcé ses protections, probablement dans un premier temps auprès d’environnements entreprise ou de produits régulés.

Ce risque n’est pas qu’hypothétique. La documentation publique d’Anthropic sur Mythos Preview montre que des individus sans formation spécifique en sécurité ont pu s’appuyer sur le modèle pour repérer des vulnérabilités avancées et générer des preuves de concept. Cela explique pourquoi ce lancement ne peut être considéré comme une simple fonctionnalité de l’assistant de code.

Pour une équipe de défense, la capacité à démontrer l’exploitabilité d’une faille est précieuse. Elle permet de différencier une faille mineure d’une vulnérabilité critique. Pour un attaquant, cette même capacité réduit leur temps et leur effort. Ainsi, le produit devra être accompagné de limites strictes : traçabilité, contrôles d’usage, politiques d’accès, tests de pénétration continus, restrictions sur les sorties sensibles, et probablement différents niveaux d’accès selon le profil du client.

L’arrivée de Mythos influencera également le marché des outils de sécurité. Les solutions SAST, DAST, scanners de dépendances et plateformes d’Application Security (AppSec) évoluent depuis des années, mais beaucoup d’entre elles s’appuient encore sur des règles, motifs ou analyses relativement statiques. Un modèle capable de raisonner sur le code et le comportement pourrait faire évoluer le secteur, à condition que sa précision soit suffisante et que ses résultats soient audités et vérifiables.

Ce que les équipes techniques doivent préparer

L’éventuelle arrivée de Mythos dans Claude Code ne doit pas être vue comme une invitation à remplacer complètement les pratiques de sécurité actuelles, mais comme un signal de leur renforcement. Les équipes de développement devront réfléchir à comment intégrer l’IA dans les revues de code, les pull requests, les pipelines, et les audits, sans en faire une « boîte noire ».

La première étape consiste à définir les domaines où Mythos peut intervenir efficacement. Il ne sera pas question d’appliquer le modèle aux dépôts internes, aux librairies open source, aux code tiers, aux firmwares, aux systèmes critiques ou dans des environnements réglementés sans précautions. Il faudra également déterminer qui pourra lancer des analyses approfondies, comment stocker et gérer les résultats, quels sont les données pouvant sortir de l’environnement d’entreprise, et comment traiter les anomalies impliquant des fournisseurs ou des projets externes.

La deuxième étape consiste à établir des processus de triage. Lorsqu’un signalement signale une vulnérabilité, une décision humaine devra confirmer son existence, évaluer l’impact, désigner un responsable, décider du correctif, tester les régressions, et documenter la résolution. La rapidité du triage pourra être facilitée par l’IA, mais la responsabilité finale sera toujours humaine.

La troisième étape consiste à anticiper un flux accru de signalements assistés par IA, notamment dans l’open source. Si certains seront précieux, d’autres constitueront du bruit ou des faux positifs. Une mauvaise gestion risque de saturer les mainteneurs, avec des rapports parfois partiellement corrects ou difficiles à reproduire. La coordination et la gouvernance seront donc essentielles pour tirer parti au mieux de ces outils.

Mythos marque une étape nouvelle dans la sécurité logicielle. La IA n’aide plus seulement à accélérer le développement d’applications mais commence aussi à les fragiliser avant même qu’elles soient exploitées. Bien utilisée, cette technologie peut renforcer la défense ; mal contrôlée, elle pourrait amplifier la pression sur un écosystème déjà vulnérable à de nombreuses failles non corrigées.

Anthropic semble œuvrer pour trouver ce point d’équilibre : transformer cette technologie puissante en un produit tout en restant conscient de son double usage. Claude Code et Claude Security seront sans doute les premiers environnements où cette transition sera expérimentée.

Questions fréquentes

Qu’est-ce que Claude Mythos ?
Claude Mythos est un modèle développé par Anthropic, dédié à la cybersécurité, doté de capacités avancées pour détecter des vulnérabilités, analyser du code et aider à valider des failles dans des environnements contrôlés.

Mythos est-il déjà accessible dans Claude Code ?
Aucune confirmation officielle d’un déploiement général n’a été annoncée. Des références internes et des indications laissent penser à une phase de tests avec la balise claude-mythos-1-preview, mais l’ouverture au public n’est pas encore actée.

Pourquoi Anthropic ne le libère-t-il pas sans restrictions ?
Parce qu’il s’agit d’un outil à double usage. S’il peut aider à la défense, il pourrait aussi faciliter des activités offensives si des contrôles stricts ne sont pas en place.

Quel impact pour les équipes de développement ?
Cela pourrait rapprocher la revue de sécurité du flux de programmation quotidien, permettant une détection précoce des vulnérabilités. Toutefois, cela exige aussi de mettre en place des processus renforcés de triage et de correction.