Qu’est-ce que Claude Mythos Preview, et pourquoi Anthropic le réserve-t-elle aux défenseurs en cybersécurité?

Hier, le mardi 7 avril 2026, Anthropic a annoncé un modèle qu’elle ne prévoit pas de rendre public. Claude Mythos Preview est un modèle généraliste, comme les autres modèles Claude, mais Anthropic affirme que ses compétences en programmation ont atteint un point où il peut trouver et exploiter des failles de sécurité dans les logiciels mieux que presque tous les humains, sauf les plus grands experts.

Au lieu d’un lancement normal, Anthropic a créé Project Glasswing, un partenariat qui confie le modèle à des entreprises et à des groupes du code source ouvert qui entretiennent des logiciels essentiels, pour qu’ils l’utilisent à des fins de défense. Newton Cheng, qui dirige le travail en cybersécurité de la Frontier Red Team d’Anthropic, a déclaré à VentureBeat que l’entreprise ne prévoit pas de disponibilité générale en raison de ces capacités en cybersécurité.

Ce qu’Anthropic a annoncé

Douze organisations sont partenaires de lancement. Outre Anthropic, il s’agit de grandes entreprises technologiques (Microsoft, Google, Apple, Amazon Web Services, NVIDIA et Broadcom), de spécialistes de la sécurité (Cisco, CrowdStrike et Palo Alto Networks), de la banque JPMorganChase et de la Linux Foundation, qui soutient les logiciels à code source ouvert. Plus de 40 autres organisations qui conçoivent ou entretiennent des logiciels importants y ont aussi accès.

Plusieurs partenaires disent tester le modèle depuis des semaines. Le nom vient du papillon glasswing (aile de verre), dont les ailes transparentes le rendent difficile à repérer, une image bien choisie pour de vieux bogues qui passent inaperçus dans du code familier.

Ce que le modèle a trouvé

Une vulnérabilité est une faille dans un logiciel qu’un attaquant pourrait utiliser, par exemple pour faire planter un système ou en prendre le contrôle. Un exploit est la méthode qui utilise réellement la faille. Un jour zéro (zero-day) est une vulnérabilité que les créateurs du logiciel ne connaissaient pas, si bien qu’aucun correctif n’existe encore.

Anthropic affirme que Mythos Preview a trouvé des milliers de failles jour zéro graves, dont des failles dans chacun des principaux systèmes d’exploitation et navigateurs Web, et qu’il les a trouvées presque toutes sans aide humaine. Trois exemples ont déjà été corrigés :

1. OpenBSD, un système d’exploitation réputé pour sa sécurité : une faille vieille de 27 ans qui permettait à n’importe qui de faire planter une machine à distance simplement en s’y connectant.
2. FFmpeg, un logiciel vidéo utilisé dans d’innombrables applications : une faille vieille de 16 ans, dans une seule ligne, que des tests automatisés avaient déjà sollicitée cinq millions de fois sans la détecter.
3. Linux, qui fait tourner la plupart des serveurs du monde : plusieurs failles enchaînées pour transformer un compte utilisateur ordinaire en contrôle complet de la machine.

Pour les nombreuses failles pas encore corrigées, Anthropic ne publie qu’une empreinte cryptographique (hash) de chaque rapport : une courte empreinte qui prouvera plus tard qu’elle connaissait les détails à cette date, sans les révéler maintenant.

Les bancs d’essai d’Anthropic comparent le modèle à Claude Opus 4.6, son meilleur modèle publié :

Comment la défense est censée fonctionner

Le plan, c’est de prendre de l’avance. Les logiciels ont toujours eu des bogues cachés, et trouver les plus dangereux exigeait des experts humains rares. Si l’IA rend cette recherche bon marché, les attaquants finiront aussi par en profiter. Glasswing cherche à laisser passer en premier les gens qui entretiennent les logiciels.

La divulgation responsable fait partie de la conception. VentureBeat rapporte qu’Anthropic soumet ses découvertes à des réviseurs humains rémunérés avant de les transmettre aux responsables des logiciels, convient d’un rythme avec chaque projet pour que les bénévoles ne soient pas submergés, et joint quand elle le peut un correctif suggéré, indiqué comme écrit par le modèle. Une fois un correctif offert, elle attend généralement 45 jours avant de publier tous les détails techniques, pour laisser aux utilisateurs le temps de faire la mise à jour.

Voici le genre de consigne que l’équipe de sécurité d’un partenaire pourrait donner à un tel modèle, dans ses propres systèmes :

Examine le module d’analyse réseau ci-joint, tiré du micrologiciel de notre routeur.
Énumère toute faiblesse liée à la sécurité de la mémoire ou à la validation des entrées, classe-les
par gravité, explique comment chacune pourrait être déclenchée et propose un correctif
minimal accompagné d’un test. N’exécute rien sur des appareils en service.

Pourquoi c’est important

Anthropic choisit de tenir son modèle le plus performant à l’écart du public à cause de ce qu’il peut faire. L’entreprise soutient que le risque est proche : des capacités semblables risquent de se répandre d’ici peu, peut-être chez des gens qui ne les utiliseront pas de façon sûre. Elle prévoit de tester de nouvelles mesures de protection sur un prochain modèle Claude Opus avant d’envisager un usage plus large de modèles de cette catégorie.

L’annonce appelle aussi un examen critique. VentureBeat souligne que l’existence du modèle a d’abord été révélée par une ébauche de billet de blogue divulguée à la fin de mars, suivie quelques jours plus tard d’une erreur d’empaquetage distincte touchant Claude Code, des incidents gênants pour une entreprise qui demande qu’on lui fasse confiance avec un tel outil. Anthropic qualifie les deux d’erreurs humaines de publication, et non d’intrusions dans ses systèmes principaux.

Que signifie Project Glasswing pour les utilisateurs ordinaires d’ordinateurs?

Surtout, plus de mises à jour de sécurité. Si les partenaires trouvent et corrigent des failles dans les systèmes d’exploitation, les navigateurs et les logiciels courants, les correctifs arriveront par les boutons de mise à jour habituels de vos appareils. Les installer rapidement est la réaction la plus utile qui soit.

Vous ne pouvez pas utiliser Mythos Preview vous-même, et vous n’en avez pas besoin. Les modèles Claude publiés restent offerts pour les tâches de tous les jours, y compris l’aide courante avec du code.

C’est aussi le signe d’un changement plus large. Plusieurs partenaires préviennent que l’IA accélérera les attaques autant que les défenses : des habitudes comme des mots de passe robustes et uniques, la connexion en deux étapes et les mises à jour régulières comptent donc davantage, pas moins. Anthropic a promis un rapport public d’ici 90 jours, qui devrait montrer ce que le projet a réellement corrigé.