Cybersécurité : OpenAI réplique à Anthropic avec un outil secret et « ultra-puissant

OpenAI travaille sur un modèle de cybersécurité destiné à concurrencer Mythos d’Anthropic

OpenAI prépare un modèle d'intelligence artificielle spécialisé dans la cybersécurité, développé en réponse directe à Mythos, le modèle similaire annoncé par Anthropic quelques jours plus tôt. L'information, rapportée par Axios, révèle que cet outil ne sera pas accessible au grand public : il sera distribué exclusivement à un cercle restreint de partenaires sélectionnés, notamment des entreprises technologiques et des acteurs spécialisés dans la sécurité informatique, selon le même modèle de distribution fermée qu'Anthropic a choisi pour Mythos. Cette approche restrictive reflète les enjeux sensibles liés aux modèles d'IA orientés cybersécurité, capables à la fois de défendre des systèmes et de les attaquer. En réservant l'accès à des partenaires de confiance, OpenAI tente de concilier l'utilité opérationnelle de l'outil avec les risques de détournement à des fins malveillantes. Pour les entreprises de sécurité partenaires, un tel modèle pourrait accélérer la détection de vulnérabilités, l'analyse de malwares et la réponse aux incidents, des tâches aujourd'hui largement manuelles et chronophages. La course entre OpenAI et Anthropic sur ce segment illustre une tendance plus large : les grands laboratoires d'IA cherchent à s'imposer dans des secteurs verticaux à haute valeur ajoutée, après avoir dominé les usages généralistes. La cybersécurité, marché mondial estimé à plusieurs centaines de milliards de dollars, attire également Google, Microsoft et des acteurs spécialisés comme CrowdStrike ou Palo Alto Networks, déjà engagés dans l'intégration de l'IA dans leurs plateformes. La rapidité de la réplique d'OpenAI suggère que ce segment est désormais considéré comme stratégique par les deux entreprises.

Ghost Murmur : l’IA secrète de la CIA qui entend votre coeur à 65 km

La CIA aurait utilisé pour la première fois sur le terrain un système de détection biométrique à longue portée baptisé Ghost Murmur lors d'une opération de sauvetage en Iran en avril 2026. Un pilote américain abattu au-dessus du territoire iranien a survécu deux jours dans une zone montagneuse désertique, caché dans une crevasse, sans que les moyens de recherche classiques ne parviennent à le localiser précisément. Sa balise de survie standard ne suffisait pas. C'est alors que Ghost Murmur est entré en action : ce dispositif couplant intelligence artificielle et magnétométrie quantique aurait réussi à détecter la signature électromagnétique émise par son cœur, à une distance annoncée de plusieurs dizaines de kilomètres. Le système, développé par la division Skunk Works de Lockheed Martin, la même unité secrète à l'origine du SR-71 Blackbird et du U-2, analyse les signaux électromagnétiques faibles liés à l'activité cardiaque, filtre le bruit ambiant grâce à des algorithmes poussés, et isole une signature biologique distincte. L'extraction s'est finalement déroulée sans perte humaine côté américain. L'enjeu opérationnel est considérable : Ghost Murmur représente une rupture technologique dans la localisation humaine à distance, en particulier dans des environnements où les moyens conventionnels échouent. Pour les forces spéciales et les agences de renseignement, la capacité de détecter un signe de vie sans contact visuel, sans émetteur actif, et dans un terrain hostile, change fondamentalement les calculs de sauvetage au combat. Le désert iranien s'est révélé un environnement favorable au système : peu d'interférences électromagnétiques, fort contraste thermique nocturne entre un corps vivant et le sol froid, faible densité de signaux parasites. Les analystes ont croisé les données pour confirmer la position avant de lancer l'extraction, ce qui suggère un processus de validation multi-source plutôt qu'une détection automatique immédiate. Ghost Murmur s'inscrit dans une tendance plus large de militarisation de la biométrie et des capteurs quantiques, un domaine dans lequel les États-Unis investissent massivement depuis plusieurs années pour maintenir leur supériorité dans les opérations spéciales. La magnétométrie quantique, qui repose sur des matériaux ultra-sensibles capables de mesurer des champs magnétiques infimes, était jusqu'ici principalement étudiée en laboratoire ou dans des contextes médicaux. Son déploiement terrain ouvre des perspectives qui dépassent le seul sauvetage de pilotes : surveillance de périmètre, détection d'infiltration, voire ciblage. Des tests sur des plateformes aériennes militaires seraient déjà en cours. Mais la technologie reste en phase d'expérimentation avancée, et ses limites, notamment le temps d'analyse des algorithmes et la nécessité de zones peu saturées en signaux, encadrent encore son champ d'application réel.

Mythos a exploité de façon autonome des failles ignorées depuis 27 ans : les équipes de sécurité doivent changer d'approche

Un bug vieux de 27 ans dormait dans la pile TCP d'OpenBSD, l'un des systèmes d'exploitation les plus réputés pour sa sécurité. Des auditeurs humains l'avaient examiné, des outils de fuzzing l'avaient martelé des millions de fois, et pourtant deux paquets réseau suffisaient à faire crasher n'importe quel serveur tournant dessus. C'est Claude Mythos Preview, le nouveau modèle d'Anthropic, qui l'a découvert de manière entièrement autonome, sans aucune guidance humaine après le prompt initial. Le coût total de la campagne de découverte : environ 20 000 dollars. Le coût de l'exécution spécifique qui a trouvé la faille : moins de 50 dollars. Ce n'était pas un cas isolé : Mythos a également identifié une faille de 16 ans dans le codec H.264 de FFmpeg, que les fuzzeurs avaient pourtant exercé 5 millions de fois sans jamais la déclencher, une faille d'exécution de code à distance dans FreeBSD NFS vieille de 17 ans (CVE-2026-4747), permettant un accès root non authentifié depuis internet, et des milliers d'autres zero-days touchant tous les grands systèmes d'exploitation et navigateurs. Sur les tests comparatifs, Mythos dépasse Claude Opus 4.6 de manière spectaculaire : 181 exploits réussis contre 2 sur Firefox 147, un score de 77,8 % contre 53,4 % sur SWE-bench Pro, et 83,1 % contre 66,6 % sur CyberGym. Mythos a saturé le CTF interne Cybench d'Anthropic à 100 %, contraignant l'équipe rouge à basculer vers la découverte de zero-days réels comme seule évaluation pertinente. La portée de ces capacités redéfinit ce que l'industrie de la sécurité considérait comme possible. Des ingénieurs d'Anthropic sans formation formelle en sécurité ont demandé à Mythos de trouver des vulnérabilités d'exécution de code à distance pendant la nuit, et se sont réveillés avec un exploit fonctionnel complet. Ce n'est plus de l'analyse de code assistée : c'est un raisonnement sémantique autonome sur des interactions logicielles complexes que ni les outils statiques (SAST), ni le fuzzing, ni les auditeurs humains n'avaient su intercepter en plusieurs décennies. Les directeurs de sécurité reçoivent la nouvelle sans recevoir le manuel d'urgence. Pour tenter de canaliser cette capacité vers la défense avant qu'elle ne soit massivement utilisée à des fins offensives, Anthropic a constitué le Project Glasswing, une coalition de 12 partenaires incluant CrowdStrike, Cisco, Palo Alto Networks, Microsoft, AWS, Apple et la Linux Foundation. L'initiative est soutenue par 100 millions de dollars en crédits d'utilisation et 4 millions de dollars en subventions open-source, avec plus de 40 organisations supplémentaires accédant au modèle pour auditer leur propre infrastructure. Anthropic s'est engagé à publier un rapport public des découvertes d'ici 90 jours, soit début juillet 2026. Anthony Grieco, SVP et Chief Security Officer de Cisco, résumait l'ambivalence du moment lors de la RSA Conference 2026 : "Je n'ai jamais été aussi optimiste pour ce que nous pouvons accomplir en sécurité. C'est aussi un peu terrifiant, parce que nos adversaires ont cette même capacité."

💬 Un bug de 27 ans dans OpenBSD, trouvé pour moins de 50 dollars, là où des millions de passes de fuzzing avaient rien vu. C'est le genre de chiffre qui te fait relire deux fois. Ce qui change vraiment, c'est pas que le modèle soit "fort en sécu", c'est qu'il raisonne sur les interactions entre composants, là où tous nos outils s'arrêtent à la surface. Project Glasswing, c'est bien, mais 12 partenaires américains et zéro européen dans la coalition, ça dit quelque chose sur où se prennent les décisions qui vont compter.

Les chercheurs estiment que l'IA devient redoutablement efficace en matière de piratage, même sans Mythos

Anthropic a développé un nouveau modèle d'IA baptisé Mythos, jugé si performant dans la réalisation de cyberattaques que l'entreprise a décidé de ne pas le rendre public. La société a choisi de le partager uniquement avec de grandes entreprises technologiques sélectionnées, afin qu'elles puissent anticiper et renforcer leurs défenses avant une éventuelle diffusion plus large. Parallèlement, la startup de cybersécurité Buzz, financée par Sequoia Capital, a publié de nouvelles recherches révélant que les modèles d'IA déjà disponibles publiquement sont capables de mener des cyberattaques complexes et autonomes en quelques minutes seulement. Ces résultats sont préoccupants à plusieurs titres. Le fait que des outils existants, accessibles à n'importe qui, puissent automatiser des attaques informatiques sophistiquées sans intervention humaine significative abaisse drastiquement le seuil d'entrée pour les acteurs malveillants. Des individus sans compétences techniques avancées pourraient désormais conduire des offensives qui requéraient auparavant des équipes entières de hackers expérimentés, menaçant aussi bien les entreprises que les infrastructures critiques. La décision d'Anthropic de restreindre Mythos illustre une tension croissante dans l'industrie de l'IA entre innovation ouverte et gestion des risques. Les grands laboratoires sont de plus en plus confrontés à la question de la divulgation responsable de modèles à capacités duales. Que des modèles grand public aient déjà atteint ce niveau de dangerosité offensive souligne l'urgence d'investir massivement dans la cybersécurité défensive, et relance le débat sur la nécessité d'une régulation internationale coordonnée du développement et de la diffusion des modèles d'IA les plus puissants.

💬 La rétention de Mythos fait les gros titres, mais c'est presque pas le sujet. Ce qui compte, c'est que les modèles déjà publics automatisent des attaques sophistiquées en quelques minutes, sans expertise requise. Le seuil d'entrée vient de s'effondrer, et on n'a pas attendu le modèle secret pour ça.