Mythos a exploité de façon autonome des failles ignorées depuis 27 ans : les équipes de sécurité doivent changer d'approche
Un bug vieux de 27 ans dormait dans la pile TCP d'OpenBSD, l'un des systèmes d'exploitation les plus réputés pour sa sécurité. Des auditeurs humains l'avaient examiné, des outils de fuzzing l'avaient martelé des millions de fois, et pourtant deux paquets réseau suffisaient à faire crasher n'importe quel serveur tournant dessus. C'est Claude Mythos Preview, le nouveau modèle d'Anthropic, qui l'a découvert de manière entièrement autonome, sans aucune guidance humaine après le prompt initial. Le coût total de la campagne de découverte : environ 20 000 dollars. Le coût de l'exécution spécifique qui a trouvé la faille : moins de 50 dollars. Ce n'était pas un cas isolé : Mythos a également identifié une faille de 16 ans dans le codec H.264 de FFmpeg, que les fuzzeurs avaient pourtant exercé 5 millions de fois sans jamais la déclencher, une faille d'exécution de code à distance dans FreeBSD NFS vieille de 17 ans (CVE-2026-4747), permettant un accès root non authentifié depuis internet, et des milliers d'autres zero-days touchant tous les grands systèmes d'exploitation et navigateurs. Sur les tests comparatifs, Mythos dépasse Claude Opus 4.6 de manière spectaculaire : 181 exploits réussis contre 2 sur Firefox 147, un score de 77,8 % contre 53,4 % sur SWE-bench Pro, et 83,1 % contre 66,6 % sur CyberGym. Mythos a saturé le CTF interne Cybench d'Anthropic à 100 %, contraignant l'équipe rouge à basculer vers la découverte de zero-days réels comme seule évaluation pertinente.
La portée de ces capacités redéfinit ce que l'industrie de la sécurité considérait comme possible. Des ingénieurs d'Anthropic sans formation formelle en sécurité ont demandé à Mythos de trouver des vulnérabilités d'exécution de code à distance pendant la nuit, et se sont réveillés avec un exploit fonctionnel complet. Ce n'est plus de l'analyse de code assistée : c'est un raisonnement sémantique autonome sur des interactions logicielles complexes que ni les outils statiques (SAST), ni le fuzzing, ni les auditeurs humains n'avaient su intercepter en plusieurs décennies. Les directeurs de sécurité reçoivent la nouvelle sans recevoir le manuel d'urgence.
Pour tenter de canaliser cette capacité vers la défense avant qu'elle ne soit massivement utilisée à des fins offensives, Anthropic a constitué le Project Glasswing, une coalition de 12 partenaires incluant CrowdStrike, Cisco, Palo Alto Networks, Microsoft, AWS, Apple et la Linux Foundation. L'initiative est soutenue par 100 millions de dollars en crédits d'utilisation et 4 millions de dollars en subventions open-source, avec plus de 40 organisations supplémentaires accédant au modèle pour auditer leur propre infrastructure. Anthropic s'est engagé à publier un rapport public des découvertes d'ici 90 jours, soit début juillet 2026. Anthony Grieco, SVP et Chief Security Officer de Cisco, résumait l'ambivalence du moment lors de la RSA Conference 2026 : "Je n'ai jamais été aussi optimiste pour ce que nous pouvons accomplir en sécurité. C'est aussi un peu terrifiant, parce que nos adversaires ont cette même capacité."
Les failles zero-day découvertes de manière autonome dans OpenBSD, FFmpeg et FreeBSD exposent des infrastructures critiques largement déployées en Europe, tandis que l'absence d'acteurs européens dans la coalition Project Glasswing interroge sur la capacité de l'UE à bénéficier des mécanismes de divulgation responsable mis en place par Anthropic.
Un bug de 27 ans dans OpenBSD, trouvé pour moins de 50 dollars, là où des millions de passes de fuzzing avaient rien vu. C'est le genre de chiffre qui te fait relire deux fois. Ce qui change vraiment, c'est pas que le modèle soit "fort en sécu", c'est qu'il raisonne sur les interactions entre composants, là où tous nos outils s'arrêtent à la surface. Project Glasswing, c'est bien, mais 12 partenaires américains et zéro européen dans la coalition, ça dit quelque chose sur où se prennent les décisions qui vont compter.
