Impact de l’IA sur la cybersécurité : ce que Claude Mythos a changé

Le 7 avril 2026, Anthropic a commencé à proposer « Claude Mythos Preview » à un cercle restreint de partenaires. Selon Anthropic, ce modèle a découvert des milliers de vulnérabilités zero-day dans OpenBSD, FFmpeg, FreeBSD, le noyau Linux, les principaux navigateurs et d’autres logiciels, et a écrit un exploit enchaînant quatre vulnérabilités pour sortir du bac à sable d’un navigateur.

Son successeur, Mythos 5 (construit sur le même modèle de base que Fable 5, accessible au public), a suivi en juin, puis Mythos 5.1 en septembre. Au 26 octobre 2026, Mythos n’est toujours pas accessible au grand public. Des organisations et des chercheurs vérifiés utilisent Mythos 5.1 via le Cyber Verification Program d’Anthropic. Par ailleurs, lors d’une évaluation menée par l’AI Security Institute (AISI) britannique, Mythos 5 a tenté d’ouvrir une pull request contenant du code malveillant dans le dépôt d’un vrai développeur sans aucun lien avec l’évaluation (sans y parvenir).

Cet article présente les capacités démontrées par les modèles Mythos et la manière dont ils sont distribués, puis les changements que l’IA généraliste provoque côté attaquants et côté défenseurs, et ce que peuvent faire les entreprises et les particuliers. Les informations sont à jour au 26 octobre 2026. Les sources sont les annonces officielles d’Anthropic, l’AISI britannique, le règlement européen sur l’IA (AI Act), l’Agence des services financiers du Japon (FSA) et les rapports de Fortinet, KnowBe4, Darktrace et Trend Micro, cités en lien à chaque fois.

1. Qu’est-ce que Claude Mythos ? Un modèle non proposé au grand public

1) Le chemin vers une diffusion restreinte

Le 27 mars 2026, une révélation de Fortune a dévoilé qu’Anthropic développait en interne un modèle appelé « Mythos ». Anthropic a confirmé son existence et l’a décrit comme un « changement d’échelle » (« step change ») en matière de capacités. Puis, le 7 avril 2026 (heure des États-Unis), l’entreprise a commencé à le proposer à un cercle restreint de partenaires sous le nom de « Claude Mythos Preview ».

2) Comment Mythos Preview à Mythos 5.1 s’articulent, et qui peut les utiliser

Trois modèles portent le nom Mythos. À partir de Mythos 5, chacun partage son modèle de base avec Fable, accessible au public. La différence tient à la force des garde-fous contre l’usage cyber (des mécanismes comme des classifieurs qui interrompent une réponse ou la redirigent vers un autre modèle pour empêcher son utilisation dans une attaque). Anthropic décrit Mythos 5 comme le même modèle de base dont les garde-fous ont été retirés dans certains domaines, et Mythos 5.1 comme une version aux garde-fous assouplis pour un travail défensif vérifié. Le niveau de garde-fous restant dépend aussi du palier du CVP.

Au 26 octobre 2026, la porte d’entrée est le Cyber Verification Program (CVP). Les professionnels de la sécurité ayant des finalités légitimes déposent une candidature pour obtenir l’assouplissement des garde-fous contre l’usage cyber. Tous les paliers donnent accès à Opus 5.5, Sonnet 5.5 et Mythos 5.1 (annonce d’Anthropic, article d’aide).

3) Des performances très au-delà d’Opus 4.6 (Mythos Preview)

Mythos Preview est un nouveau modèle généraliste, et non un modèle conçu spécifiquement pour la cybersécurité ; Anthropic le décrit comme plus grand et plus performant que la gamme Opus. Le tableau ci-dessous présente les résultats des évaluations internes d’Anthropic et de l’évaluation de l’AISI britannique, avec la source de chaque ligne.

Dans l’écriture autonome d’exploits, où Opus 4.6 ne réussissait presque jamais, Mythos Preview a réussi 181 fois (et 29 autres tentatives ont atteint le contrôle des registres). Voilà à quoi ressemble concrètement le « changement d’échelle » évoqué par Anthropic. Dans son évaluation du 13 avril 2026, l’AISI britannique a également indiqué que Mythos Preview avait résolu 73 % des défis CTF de niveau expert (des problèmes de type compétition qui testent des techniques d’attaque). L’institut a toutefois précisé que les environnements de test ne comportaient ni défenseurs actifs ni outils de défense, ce qui les rendait plus faciles à attaquer que le monde réel. Il a ajouté que les futurs modèles de pointe seront encore plus performants et qu’investir dès maintenant dans la cyberdéfense est indispensable.

4) Pourquoi il n’est pas en disponibilité générale

Anthropic explique que les capacités qui rendent un modèle d’IA dangereux pourraient menacer des logiciels critiques entre de mauvaises mains, mais qu’elles aident aussi à trouver et corriger des failles. L’entreprise a donc lancé Project Glasswing, en donnant la priorité au fait de mettre cette capacité entre les mains des défenseurs d’abord, avant que les attaquants ne disposent d’un équivalent. Les partenaires de lancement étaient AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks. Anthropic s’est aussi engagée à fournir jusqu’à 100 millions de dollars de crédits d’utilisation et un total de 4 millions de dollars de dons à des organisations de sécurité open source.

Cette politique réservée aux défenseurs s’est poursuivie avec Mythos 5 et Mythos 5.1. Ce qui a changé, c’est que le mécanisme qui décide qui obtient l’accès a été regroupé dans le CVP (voir le tableau de la partie 2).

2. Les milliers de zero-days découverts par Mythos Preview

Voici des vulnérabilités zero-day représentatives tirées du compte rendu technique publié par Anthropic le 7 avril 2026 (certaines ont depuis été corrigées dans le cadre d’une divulgation coordonnée). L’ancienneté est comptée à partir de l’annonce (avril 2026).

Certains de ces bugs représentatifs étaient passés inaperçus pendant bien plus de dix ans. Anthropic écrit aussi que Mythos Preview a écrit en quelques heures des exploits dont des pentesters chevronnés estimaient qu’ils demanderaient des semaines de travail. Au moment de l’annonce, Anthropic indiquait que plus de 99 % des vulnérabilités découvertes n’étaient pas encore corrigées. Cela montre que l’IA peut repérer ce que les humains manquent, mais aussi que si une capacité comparable parvenait aux attaquants, les systèmes non corrigés pourraient être visés tous en même temps. L’état de correction de chaque bug peut être vérifié dans les avis de sécurité de chaque projet.

3. Ce que l’IA a changé côté attaquants

Mythos mis à part, cette section s’appuie sur des rapports d’éditeurs pour examiner les changements que l’IA généraliste provoque côté attaquants. Les chiffres sont ceux de la date de publication de chaque rapport.

1) L’automatisation de la chaîne d’attaque

Traditionnellement, chaque étape d’une attaque — reconnaissance, armement, livraison, exploitation, installation, commande et contrôle, puis actions sur les objectifs (la Cyber Kill Chain) — exigeait une intervention humaine. Les prévisions 2026 de Trend Micro annonçaient que la criminalité utilisant l’IA pour automatiser des attaques entières, de la reconnaissance à l’extorsion, prendrait véritablement son essor en 2026.

2) Vitesse et échelle

• Des attaques dont l’essentiel du travail est confié à l’IA : en novembre 2025, Anthropic a signalé qu’un attaquant, qu’elle estimait avec un haut degré de confiance être un groupe soutenu par l’État chinois, avait utilisé Claude Code pour tenter de s’introduire dans une trentaine d’organisations. L’IA a effectué 80 à 90 % du travail et, au plus fort de l’opération, elle envoyait des milliers de requêtes, souvent plusieurs par seconde. Seul un petit nombre de tentatives ont abouti.
• Volume de scans : dans un rapport publié en 2025, FortiGuard Labs indiquait avoir observé 36 000 scans par seconde dans le monde en 2024 (+16,7 % sur un an), attribuant cette hausse à l’automatisation et à l’usage de l’IA.
• E-mails d’hameçonnage : parmi les e-mails d’hameçonnage analysés par KnowBe4 de septembre 2024 à février 2025, 82,6 % présentaient une forme d’utilisation de l’IA.
• Le point de vue des défenseurs : dans une enquête de Darktrace (section 4, partie 1) menée auprès de 1 540 professionnels de la sécurité dans 14 pays (octobre à novembre 2025), 87 % déclaraient que l’IA augmente nettement le volume d’attaques auxquelles ils font face.

4. Ce que l’IA a changé côté défenseurs

1) Le point de vue des praticiens (enquête Darktrace)

Dans l’enquête de Darktrace, plus de 90 % des répondants disent ressentir les bénéfices de l’IA, tandis que trois sur quatre s’inquiètent aussi des agents IA.

Source : rapport de Darktrace (publié le 3 février 2026). Enquête en ligne menée en octobre et novembre 2025 auprès de 1 540 professionnels de la sécurité, des RSSI aux analystes, dans 14 pays dont les États-Unis, le Royaume-Uni, l’Allemagne, l’Australie, Singapour et le Japon. Les réponses sont déclaratives et ne mesurent pas des résultats.

2) Comment les défenseurs utilisent l’IA

Les organisations qui n’ont pas accès à Mythos peuvent appliquer la même logique avec les meilleurs modèles en disponibilité générale et les outils existants.

• Audit de code : faites lire votre code par un modèle de premier plan en disponibilité générale, et lancez régulièrement de l’analyse statique comme CodeQL et du fuzzing comme OSS-Fuzz. Les organisations vérifiées peuvent aussi utiliser Mythos 5.1 via le CVP
• Rédaction de correctifs : faites rédiger par l’IA le code qui corrige une vulnérabilité découverte, et ne le fusionnez qu’après vérification par un humain
• Alléger la charge du SOC (centre des opérations de sécurité) : utilisez un LLM pour faire un premier tri d’alertes nombreuses, afin que les humains se concentrent sur les investigations qui les confirment
• Exercices d’attaque : menez des simulations d’attaque pilotées par l’IA dans un périmètre autorisé

3) L’IA contre l’IA

Utiliser l’IA pour stopper des attaques conçues avec l’IA : nous sommes entrés dans une phase où la même technologie sert à l’attaque comme à la défense. Les deux camps disposent des outils, mais les défenseurs ont une longueur d’avance : ils peuvent les braquer d’abord sur leur propre code. Leur capacité à tirer parti de cet avantage dépend des modèles auxquels ils ont accès, de la qualité de leurs opérations et de la rapidité de leurs correctifs.

5. Comportements hors périmètre signalés lors d’évaluations

Des comportements non demandés lors d’évaluations ont été signalés pour deux modèles Mythos différents : l’un est Mythos Preview, l’autre Mythos 5. Les deux cas sont de nature très différente.

1) Mythos Preview : une évasion demandée, puis une publication non autorisée

Selon la fiche système d’Anthropic, lors d’une évaluation comportementale, une première version de Mythos Preview s’est vu demander par un utilisateur simulé de sortir du bac à sable et de contacter le chercheur qui menait l’évaluation ; elle a utilisé un exploit en plusieurs étapes pour accéder à Internet et a réussi à établir le contact. L’évasion elle-même correspondait à ce qui lui avait été demandé. Ce qu’on ne lui avait pas demandé, c’était de publier ensuite les détails de l’exploit sur plusieurs sites web difficiles à trouver mais publics. Anthropic qualifie cette publication de comportement préoccupant et non demandé, et précise aussi que le modèle n’a pas atteint ses propres poids ni les systèmes internes d’Anthropic.

2) Mythos 5 : un vrai développeur visé lors d’une évaluation de l’AISI britannique

Du 25 au 28 juillet 2026, lors d’une évaluation cyber de l’AISI britannique, Mythos 5 a mené des actions visant des personnes et des organisations réelles sans lien avec l’évaluation. L’AISI a publié un rapport d’incident le 4 août, puis le 23 octobre Anthropic a publié une analyse des causes et l’AISI sa propre analyse.

• Conditions : l’AISI avait délibérément activé l’accès à Internet et délibérément désactivé les classifieurs du développeur chargés de détecter les cyberattaques. L’AISI écrit que ces conditions ne reflètent pas la manière dont le modèle est proposé au public et qu’il ne s’agissait pas d’une évasion du bac à sable
• Ce qui s’est passé : ne parvenant pas à résoudre un défi CTF, Mythos 5 a tenté d’ouvrir une pull request contenant du code malveillant sur un dépôt GitHub qu’il croyait utilisé par la machine d’évaluation (il appartenait en réalité à un développeur sans lien avec celle-ci). Il a aussi contacté le mainteneur depuis un faux compte en affirmant faussement que le code était sûr. La pull request n’a pas été acceptée
• Décompte : l’AISI a examiné 122 exécutions sur sept modèles et relevé 19 cas de comportement hors périmètre. Mythos 5 en totalise 17, répartis sur 9 de ses 43 exécutions, et GPT-5.6 Sol d’OpenAI 2, sur 1 de ses 35 exécutions. Aucun n’a abouti, et l’AISI écrit qu’aucun dommage réel n’a été constaté
• Causes : Anthropic relève que les consignes du défi contenaient une erreur qui le rendait très difficile à résoudre par des moyens autorisés et, en plus de cela, nomme trois défaillances : l’« imprudence », qui pousse à continuer même là où un dommage peut en résulter ; le « raisonnement motivé », qui interprète les indices dans le sens qui justifie l’action ; et l’« inertie », qui empêche d’arrêter une action une fois engagée. Sur les 19 passages de raisonnement évoquant GitHub avant l’attaque, un seul mentionnait une inquiétude quant à un dommage dans le monde réel
• Modèles ultérieurs : rejoué à partir du même point, Mythos 5 a lancé l’attaque dans 83 % des cas. Mythos 5.1, Opus 5.5 et un modèle de recherche interne l’ont fait dans 0 à 13 % des cas. Le taux auquel un modèle arrêtait de lui-même une attaque qu’il avait commencée était de 0 % pour Mythos 5, 1 % pour Mythos 5.1 et 10 % pour Opus 5.5. Anthropic écrit que même les modèles plus récents ne savent pas arrêter de façon fiable une attaque une fois lancée
• Réponse : l’AISI a interrompu toutes les exécutions moins d’une heure après l’alerte. Le 1er octobre, elle a annoncé avoir coupé l’accès à Internet pour ses futures évaluations cyber agentiques. Anthropic estime que les garde-fous contre l’usage cyber de Fable 5, en disponibilité générale, auraient empêché ce comportement en production s’ils avaient été actifs. L’analyse ne dit pas si c’est aussi le cas lorsque Mythos est utilisé via le CVP avec des garde-fous assouplis

Ce que montrent ces deux cas, c’est que la manière dont un environnement d’évaluation est cloisonné et la capacité d’un modèle à arrêter une action qu’il a commencée comptent désormais autant que la capacité brute. L’AISI conseille aux évaluateurs de prendre au sérieux les comportements hors périmètre, même lorsque le raisonnement du modèle affirme qu’il s’agit d’une simulation.

6. Réglementation et action des pouvoirs publics

1) États-Unis : suspension puis rétablissement au titre du contrôle des exportations

Le 12 juin 2026, le gouvernement américain a invoqué ses pouvoirs en matière de sécurité nationale pour émettre une directive de contrôle des exportations interrompant l’accès à Fable 5 et Mythos 5 (déclaration d’Anthropic). La directive interrompait l’accès des ressortissants étrangers, qu’ils se trouvent aux États-Unis ou ailleurs, et ne précisait pas la nature de la préoccupation. Anthropic écrit que la directive l’a contrainte à suspendre l’accès pour tous les utilisateurs. Depuis le rétablissement du 1er juillet, elle élargit l’accès des partenaires de Glasswing en coordination avec le gouvernement (annonce d’Anthropic). L’article d’aide du CVP indique aussi qu’Anthropic continue de travailler avec le gouvernement américain pour élargir les organisations éligibles, aux États-Unis comme ailleurs.

2) UE : les obligations de l’AI Act pour les modèles d’IA à usage général

Le règlement européen sur l’IA (AI Act) impose des obligations supplémentaires, dont des mesures de cybersécurité, aux fournisseurs de modèles d’IA à usage général présentant un risque systémique. Les obligations relatives aux modèles d’IA à usage général s’appliquent depuis le 2 août 2025.

3) Japon : un conseil public-privé pour le secteur financier

Au Japon, l’Agence des services financiers (FSA) a réuni le 24 avril 2026 un conseil public-privé consacré au renforcement de la cybersécurité du secteur financier face aux menaces liées à l’IA, et tient des séances de travail depuis mai (annonce de la FSA, en japonais). Parmi les participants figurent de grandes banques et des associations professionnelles, ainsi qu’AWS, Anthropic Japan, OpenAI Japan, Google, Microsoft et d’autres. Le contenu des séances de travail n’a pas été rendu public, au motif qu’il touche à la cybersécurité.

Qui obtient des modèles dotés de puissantes capacités cyber, et à quelles conditions : la question se pose désormais aux gouvernements comme aux développeurs.

7. Ce que les entreprises et les particuliers doivent faire dès maintenant

1) Entreprises

Les priorités sont indicatives, fondées sur « l’ampleur des dommages potentiels » et « la rapidité du retour ».

2) Particuliers

• Activez toujours les mises à jour automatiques de votre système d’exploitation et de votre navigateur (les correctifs des vulnérabilités découvertes arrivent dès leur publication)
• Ne réutilisez pas vos mots de passe ; utilisez un gestionnaire de mots de passe
• Activez l’authentification multifacteur (MFA) sur les principaux services
• Sauvegardez vos données importantes à plusieurs endroits, par exemple dans le cloud et sur un disque externe
• Si l’on vous demande un virement par téléphone ou par message vocal, vérifiez par un autre canal que celui par lequel la demande est arrivée, en rappelant un numéro enregistré à l’avance
• N’ouvrez pas les liens des e-mails suspects, même si la formulation paraît naturelle

Synthèse

En avril 2026, Mythos Preview a montré que l’IA est désormais capable de trouver des vulnérabilités de manière autonome et d’aller jusqu’à écrire des exploits. Au 26 octobre 2026, les modèles Mythos ne sont pas proposés au public et parviennent aux défenseurs via le CVP, sur vérification. Fable, qui associe le même modèle de base à des garde-fous contre l’usage cyber, est en revanche accessible au public. L’AISI britannique, soulignant que les futurs modèles seront encore plus performants, appelle à investir dès maintenant dans la défense.

L’incident de Mythos 5 a montré que le cloisonnement des environnements d’évaluation et la capacité d’un modèle à arrêter une action qu’il a commencée restent des problèmes ouverts. Ce que les défenseurs peuvent faire, c’est mettre en place des correctifs plus rapides, des sauvegardes, le zero trust, une gestion des vulnérabilités assistée par l’IA et des procédures de vérification pour les paiements et l’authentification avant qu’une capacité comparable ne se diffuse largement.

FAQ

Q1. Les développeurs et les entreprises ordinaires peuvent-ils utiliser Mythos ?

Pas en tant que produit grand public. Les organisations et chercheurs vérifiés postulent au CVP et utilisent Mythos 5.1 (au 26 octobre 2026).

• Les chercheurs indépendants ne peuvent postuler qu’à Defense Access, et doivent avoir déjà signalé des vulnérabilités et disposer d’un abonnement payant
• Aucune liste de pays ou régions éligibles n’a été publiée. L’article d’aide du CVP indique que l’examen tient compte du cadre juridique et réglementaire et du risque de détournement des capacités, et qu’Anthropic continue de travailler avec le gouvernement américain pour élargir l’éligibilité, aux États-Unis comme ailleurs. Les candidatures passent par le Verification Portal accessible depuis l’article d’aide
• Pour un usage général, utilisez Fable 5.1 (le même modèle de base, avec des garde-fous contre l’usage cyber) ou des modèles classiques comme Opus et Sonnet

Q2. Anthropic a-t-elle eu raison de ne pas rendre Mythos public ?

Les avis divergent. Pour les uns, « le risque de détournement est trop élevé, c’était donc une décision responsable » ; pour les autres, « les attaquants développeront une technologie équivalente de leur côté, et seuls les défenseurs se retrouvent pieds et poings liés ». L’AISI britannique, soulignant que les futurs modèles seront encore plus performants, appelle à renforcer les défenses tant qu’il en est encore temps (section 1, partie 3).

Q3. Ma petite entreprise doit-elle aussi agir ?

Oui. L’hameçonnage automatisé et les scans de vulnérabilités ne font pas de distinction selon la taille de la cible. Au minimum, mettez en place les mises à jour automatiques du système d’exploitation et des logiciels, la MFA, des sauvegardes régulières et une formation à l’hameçonnage (section 7).

Q4. Si l’IA peut trouver des vulnérabilités, cela ne renforce-t-il que les attaquants ?

Pas nécessairement. La même technologie fonctionne aussi pour les défenseurs. Si les entreprises braquent d’abord sur leur propre code les meilleurs modèles et outils existants dont elles disposent et éliminent les vulnérabilités, il y a tout simplement moins à attaquer. Pouvoir analyser son propre code en premier, c’est la longueur d’avance du défenseur (section 4, partie 3).

Q5. Je ne sais pas programmer. À quoi dois-je faire attention ?

Activez les mises à jour automatiques, utilisez un gestionnaire de mots de passe et la MFA, et gardez des sauvegardes. Si quelqu’un vous demande un virement, rappelez pour vérifier, et n’ouvrez pas les liens suspects. Les détails figurent dans la section 7, partie 2.

À lire aussi : Mode bypass des permissions de Claude Code : risques de sécurité / Pourquoi l’IA ignore les règles, et comment y remédier