Réponse courte
Les modèles d’IA capables de trouver des failles logicielles et de bâtir des attaques par eux-mêmes raccourcissent le délai entre la publication d’un correctif de sécurité et l’exploitation de la faille par des attaquants : les appareils qui ne sont pas mis à jour rapidement deviennent donc des cibles plus faciles. Pour un ménage ou une petite entreprise, la réponse pratique n’est pas une nouvelle technologie, mais des mises à jour plus rapides, le retrait des appareils qui n’en reçoivent plus et l’application constante des règles de base.
Question de suivi Quelles protections de base comptent davantage maintenant?
Le 7 avril, Anthropic a affirmé que son modèle non publié Claude Mythos Preview peut trouver des failles graves et jusque-là inconnues dans tous les grands systèmes d’exploitation et navigateurs, et écrire des attaques fonctionnelles pour beaucoup d’entre elles, souvent sans aide humaine. Au lieu de le publier, l’entreprise en a donné un accès restreint à un groupe de grandes entreprises technologiques et de responsables de logiciels à code source ouvert, dans le cadre d’une initiative appelée Project Glasswing, pour que les défenseurs puissent corriger d’abord les logiciels les plus importants. Anthropic dit ne pas avoir entraîné le modèle précisément pour cela; cette compétence est née d’améliorations générales en programmation et en raisonnement.
Vous n’utiliserez pas Mythos Preview, et la plupart des attaquants non plus pour l’instant. Mais l’annonce est un signal clair de la direction que prend l’IA, et elle change le calcul de la sécurité au quotidien d’une façon bien précise.
Le changement qui compte pour vous : l’écart de correctifs
Deux termes aident à comprendre. Un jour zéro (zero-day) est une faille que personne n’a encore corrigée parce que le fabricant du logiciel ne la connaît pas. Un jour N (N-day) est une faille déjà corrigée et annoncée, mais qui fonctionne encore sur chaque appareil où le correctif n’a pas été installé.
La plupart des dommages réels, note Anthropic, viennent des failles jour N. Quand une entreprise publie une mise à jour, le correctif lui-même indique où se trouvait la faiblesse. Transformer cela en attaque prenait des jours ou des semaines à un chercheur chevronné. Anthropic rapporte que son modèle peut maintenant le faire seul, en partant de presque rien d’autre que l’avis public sur la faille, beaucoup plus vite et à bien moindre coût.
La période dangereuse est donc l’écart entre « mise à jour offerte » et « mise à jour installée ». Le conseil d’Anthropic aux utilisateurs et aux administrateurs de logiciels est direct : réduisez le temps nécessaire pour installer les mises à jour de sécurité, activez les mises à jour automatiques partout où c’est possible, et traitez les mises à jour qui contiennent des correctifs de sécurité comme urgentes plutôt que routinières.
À plus long terme, la perspective est plus encourageante. Anthropic s’attend à ce que de tels outils finissent par avantager les défenseurs, à mesure que les fabricants de logiciels les utiliseront pour trouver et corriger les bogues avant la sortie, comme l’ont fait avant eux les outils de test automatisés. Elle prévient aussi que la transition pourrait être difficile. Votre rôle pendant cette transition consiste surtout à ne pas être le plus lent à faire vos mises à jour.
Un exemple concret : une liste de vérification pour la maison ou la petite entreprise
Voici une révision d’une heure que vous pouvez faire cette semaine. Les exemples de la colonne de droite sont donnés à titre indicatif.
| Domaine | Quoi vérifier | Exemple de mesure |
|---|---|---|
| Téléphones et ordinateurs | Mises à jour automatiques activées; version actuelle installée | Activer la mise à jour automatique du système et des applications; redémarrer le portable qui « fait la mise à jour plus tard » depuis un mois |
| Navigateurs Web | À jour sur chaque appareil | Ouvrir la page « À propos » du navigateur, ce qui déclenche habituellement la mise à jour |
| Routeur et Wi-Fi | Micrologiciel à jour; toujours pris en charge par le fabricant | Se connecter à la page d’administration du routeur; remplacer un modèle qui ne reçoit plus de mises à jour |
| Autres appareils connectés | Caméras, imprimantes, téléviseurs intelligents, stockage réseau | Mettre à jour le micrologiciel; débrancher ce que vous n’utilisez plus |
| Logiciels d’entreprise | Modules d’extension du site Web, point de vente, outils comptables | Demander à chaque fournisseur à quelle vitesse il livre les correctifs de sécurité et qui les installe |
| Comptes | Mots de passe uniques; connexion en deux étapes pour le courriel et la banque | Utiliser un gestionnaire de mots de passe; ajouter d’abord une deuxième étape à votre courriel principal |
| Sauvegardes | Une copie récente qui n’est pas branchée en permanence | Sauvegarder sur un disque externe ou un service; tester la restauration d’un fichier |
L’ordre compte. Les mises à jour et les appareils qui ne sont plus pris en charge viennent en premier, parce qu’ils comblent l’écart décrit ci-dessus. Les comptes et les sauvegardes viennent ensuite, parce qu’ils limitent les dégâts si quelque chose tourne mal malgré tout.
À essayer : faites le tour de votre maison ou de votre bureau et dressez la liste de chaque appareil connecté à Internet, y compris le routeur, l’imprimante et les caméras. À côté de chacun, écrivez « mises à jour automatiques », « mis à jour à la main » ou « plus pris en charge ». Corrigez chaque élément de la dernière colonne ou planifiez son remplacement.
Quelles protections de base comptent davantage maintenant?
La vitesse des mises à jour passe au premier rang. Si les attaquants peuvent transformer un correctif publié en attaque en quelques heures plutôt qu’en quelques semaines, un appareil qui se met à jour automatiquement pendant la nuit est bien plus sûr qu’un appareil qui attend que quelqu’un y pense. Activez les mises à jour automatiques partout où elles sont offertes, et redémarrez quand on vous le demande. Pour une petite entreprise, fixez une règle : les mises à jour de sécurité sont installées en quelques jours, pas à la prochaine maintenance trimestrielle.
Les appareils qui ne sont plus pris en charge deviennent un plus grand risque. Un appareil qui ne reçoit plus de correctifs accumule des faiblesses connues et publiées, sans moyen de les combler. Un vieux routeur, un téléphone dont la période de mises à jour est terminée ou un disque réseau vieillissant sont les premières choses à remplacer ou à débrancher.
Interrogez vos fournisseurs sur leur processus de mise à jour. Une grande partie des logiciels d’une petite organisation est gérée par d’autres : un hébergeur de site Web, un système de réservation, un terminal de paiement. Le conseil d’Anthropic aux fabricants de logiciels est de livrer les correctifs plus vite et de les rendre faciles à appliquer. En tant que client, il est raisonnable de demander à quelle vitesse ils corrigent et si les mises à jour sont automatiques.
Les autres règles de base gardent tout leur poids. Un mot de passe volé ou un faux message convaincant reste une porte d’entrée facile. Des mots de passe uniques dans un gestionnaire de mots de passe, la connexion en deux étapes pour votre courriel et une sauvegarde gardée à l’écart de votre ordinateur principal vous protègent, quels que soient les outils des attaquants. Aucune de ces mesures n’est nouvelle; ce qui a changé, c’est ce qu’il en coûte d’être lent.
Sources
- Assessing Claude Mythos Preview's cybersecurity capabilities — Anthropic, 7 avril 2026
- Project Glasswing: Securing critical software for the AI era — Anthropic, 7 avril 2026