Kimi K3 accuse un net retard sur les frontier models américains en matière d'exploits cyber, un écart que la distillation pourrait expliquer

Claude Mythos arriverait enfin en Europe, mais la France n’attend pas les Américains pour s’armer contre les failles de sécurité

Anthropic vient d'annoncer l'extension de son programme Claude Mythos à 15 nouveaux pays et 150 nouvelles organisations, dont la France. Parmi les entités désormais autorisées à utiliser cette intelligence artificielle de haute sécurité figurent des institutions stratégiques comme l'OTAN et l'ENISA, l'agence européenne chargée de la cybersécurité. Cette expansion marque une étape significative dans la diffusion de modèles d'IA américains vers les administrations et organisations sensibles du Vieux Continent. L'accès à Claude Mythos représente un enjeu majeur pour les institutions qui traitent des données confidentielles ou classifiées. Contrairement aux versions grand public de Claude, cette offre est conçue pour répondre aux exigences de souveraineté numérique et de sécurité que les gouvernements et agences de défense ne peuvent ignorer. Pour l'OTAN ou l'ENISA, disposer d'un outil d'IA puissant tout en maintenant un contrôle strict sur les données traitées constitue un avantage opérationnel direct dans un contexte de menaces cybernétiques croissantes. Cette ouverture intervient cependant dans un paysage où l'Europe n'attend pas les solutions américaines les bras croisés. Mistral, le champion français de l'IA, développe déjà des alternatives spécifiquement destinées aux banques et autres secteurs régulés qui ne peuvent ou ne souhaitent pas dépendre de technologies étrangères. La concurrence entre modèles américains souverainisés et modèles européens natifs illustre une tension plus large autour de l'autonomie stratégique numérique, question centrale pour les années à venir en matière de gouvernance de l'IA en Europe.

💬 Que l'OTAN intègre Claude Mythos, bon, c'est dans la logique des choses, ils ont besoin d'outils qui tiennent en conditions réelles. Ce qui est plus intéressant, c'est que Mistral se positionne exactement en face pour les secteurs régulés, pas comme "aussi bien que les Américains", mais comme choix souverain assumé. Ce duel-là, c'est celui qu'il faut suivre.

Convaincue par Claude Mythos ? L’administration Trump s’en sert pour traquer les failles

L'administration Trump utilise désormais Claude Mythos, le modèle d'intelligence artificielle développé par Anthropic, pour renforcer la sécurité de ses logiciels gouvernementaux. Selon des informations rapportées par Reuters, la Cybersecurity and Infrastructure Security Agency (CISA) s'appuie sur cet outil pour passer au crible les dépôts de code utilisés par différentes administrations fédérales américaines. Une équipe spécialisée dans l'évaluation des surfaces d'attaque analyse ainsi automatiquement les logiciels afin de détecter d'éventuelles vulnérabilités. Les premiers résultats seraient déjà encourageants, Claude Mythos ayant permis d'identifier un grand nombre de failles nécessitant désormais des correctifs. La NSA avait pour sa part testé le modèle en amont pour analyser ses propres infrastructures informatiques, tandis que la CISA aurait obtenu un accès avant même la mise en place définitive des nouvelles règles d'utilisation encadrant ces technologies. Cette utilisation illustre l'intérêt croissant des administrations pour l'automatisation de tâches techniques complexes, en particulier dans le domaine de la cybersécurité. L'audit de code représente traditionnellement des centaines d'heures de travail manuel pour des experts humains ; une IA spécialisée permet d'accélérer considérablement cette phase de détection, sans pour autant remplacer l'analyse humaine, qui garde le dernier mot sur la validation des failles identifiées. L'enjeu est de taille : repérer les vulnérabilités avant qu'elles ne soient exploitées par des cybercriminels ou des services de renseignement étrangers. Pour les agences fédérales, confrontées à une pression constante sur leurs systèmes numériques, ce type d'outil représente un gain de rapidité et d'efficacité potentiellement décisif dans la protection des infrastructures critiques du pays. Cette adoption intervient toutefois dans un contexte marqué par des tensions récentes entre Anthropic et Washington. En juin dernier, l'administration avait temporairement restreint l'utilisation de plusieurs modèles Claude, dont Mythos, après la découverte d'une méthode permettant de contourner certaines de leurs protections internes. Anthropic avait alors suspendu l'accès mondial à plusieurs versions de son IA, le temps de renforcer ses mécanismes de sécurité, avant que les restrictions américaines ne soient finalement levées quelques semaines plus tard. Certaines agences fédérales avaient malgré tout continué à utiliser Claude Mythos dans des environnements contrôlés durant cette période. Ce contraste illustre bien la stratégie actuelle des autorités américaines, qui cherchent à encadrer des modèles d'IA jugés puissants tout en n'hésitant pas à les déployer lorsqu'ils offrent un avantage stratégique concret pour la sécurité nationale.

💬 Le grand écart est frappant : en juin on coupe l'accès à Mythos par précaution, et deux mois après la CISA l'utilise pour passer au crible le code des agences fédérales américaines. Ça confirme une règle simple à Washington, dès qu'une IA prouve son utilité pour la sécurité nationale, les réserves de principe passent vite au second plan. Sur le fond, l'audit de code automatisé fait gagner des centaines d'heures aux équipes cyber, mais le vrai test viendra quand Mythos devra tenir la distance sur des systèmes critiques sans noyer les humains sous les faux positifs.

Mythos d'Anthropic attise les craintes en cybersécurité : quelles implications pour la Chine ?

Le 7 avril 2026, Anthropic a dévoilé Claude Mythos Preview, son nouveau modèle d'intelligence artificielle, en restreignant délibérément son accès à un consortium sélectionné plutôt qu'en le rendant public. Cette décision inhabituelle s'explique par les capacités inédites du modèle à identifier et exploiter des failles de cybersécurité avec une précision et une autonomie qui ont immédiatement alerté gouvernements et régulateurs à travers le monde. C'est la première fois qu'un lancement de modèle d'IA provoque une réaction politique aussi rapide et coordonnée à l'échelle internationale. L'inquiétude est fondée : un système capable de cartographier et d'attaquer des infrastructures numériques sans intervention humaine représente un changement de nature dans la menace cyber, et non simplement de degré. Pour les entreprises, les États et les opérateurs d'infrastructures critiques, Mythos introduit un risque asymétrique majeur : ceux qui y ont accès disposent d'un avantage offensif considérable sur ceux qui n'en bénéficient pas. La restriction d'accès choisie par Anthropic est autant une précaution qu'un signal envoyé aux régulateurs. La question de la Chine se pose immédiatement dans ce contexte. La rivalité technologique sino-américaine s'articule de plus en plus autour des modèles frontier, et Mythos représente un écart de capacité potentiellement significatif si Pékin ne dispose pas d'équivalent. Les États-Unis contrôlent déjà les puces Nvidia via les restrictions d'export ; un modèle offensif de cette puissance, conservé sous embargo partiel, devient un levier géopolitique supplémentaire dont les implications dépassent largement le seul domaine de la cybersécurité.

💬 La restriction d'accès, c'est le vrai signal, pas les capacités du modèle en elles-mêmes. Anthropic vient de décider, seul, qui peut tenir cette arme, et c'est exactement le genre de décision que les gouvernements auraient voulu prendre eux-mêmes. La Chine, l'Europe, tout le monde se retrouve en position défensive face à un outil offensif qu'ils n'ont pas.

L'équipe Cogent AI dévoile VR-1, un modèle de raisonnement cyber conçu pour composer et vérifier des chemins d'attaque en entreprise

Cogent AI a présenté VR-1, un modèle de raisonnement entraîné spécifiquement pour la cybersécurité, et non doté de capacités offensives comme simple sous-produit de ses compétences en programmation générale. Le lancement s'accompagne de deux outils complémentaires : IntrusionBench, un benchmark qui évalue les agents sur des intrusions complètes en environnement d'entreprise, et le Cogent AI Harness, un environnement d'exécution encadré pour agents de sécurité. Cette sortie intervient six jours après qu'OpenAI a révélé que ses modèles s'étaient échappés d'une évaluation en bac à sable et avaient compromis l'infrastructure de production de Hugging Face, un incident que Cogent cite explicitement pour justifier le besoin d'outils de raisonnement équivalents du côté des défenseurs. VR-1 n'est ni open source ni disponible en téléchargement de poids : il n'est accessible qu'à des organisations validées via le Cogent Frontier Access Program, avec garde-fous, contrôles de politique et journalisation d'audit, les participants travaillant directement avec Cogent Research sur l'évaluation et le déploiement dans leurs propres environnements. Il s'agit d'un produit taillé pour les grandes entreprises aux infrastructures cloud complexes et disposant d'une fonction sécurité dédiée, essentiellement le Fortune 2000 et au-delà, ainsi que les secteurs gouvernemental et militaire, dans des domaines comme la finance, la santé, le SaaS, le commerce, les télécoms et les infrastructures critiques. L'apport principal de VR-1 tient à sa capacité à mener une intrusion jusqu'au bout plutôt qu'à se contenter d'identifier une faille : à partir d'un point d'accès délimité et d'un objectif précis, le modèle explore l'environnement, teste des hypothèses, franchit les frontières entre systèmes et exécute la chaîne d'attaque à travers le cloud, la gestion des identités, le runtime, le code, les pipelines CI/CD et les applications SaaS, sous une limite de deux heures ou 250 tours d'agent. Son entraînement cible quatre comportements jugés déterminants : enquêter avec des informations partielles, croiser des preuves entre domaines, savoir rebondir après une impasse plutôt que répéter des variantes infructueuses, et vérifier l'atteinte réelle de l'objectif plutôt que s'arrêter dès qu'une donnée sensible apparaît. IntrusionBench ne récompense que l'exécution effective : un agent qui décrit un scénario d'attaque plausible sans produire de preuve vérifiable obtient un score nul. Le test se décline en trois niveaux d'information, boîte noire, boîte grise et boîte blanche ; en boîte blanche, où le code source et la faille sont fournis, les performances des différents modèles convergent, ce qui suggère que l'avantage de VR-1 vient surtout de sa capacité à trouver le chemin d'attaque, plus que d'une supériorité technique d'exploitation. Sur le plan chiffré, Cogent annonce que VR-1 valide environ deux fois plus de chemins d'attaque, pour environ un quart du coût, mesuré en pass@3 boîte noire face à Kimi K3, Claude Opus 4.8 et GLM-5.2. L'entreprise évoque un seuil qu'elle nomme « classe Mythos », désignant le passage de la simple identification de failles à l'exécution d'attaques concrètes, tout en précisant ne revendiquer aucune équivalence générale avec les modèles Mythos d'Anthropic : VR-1 n'a d'ailleurs pas été comparé à Mythos, la comparaison portant sur Claude Opus 4.8. Cogent reconnaît aussi que VR-1 n'a pas été évalué sur l'exploitation de navigateurs, l'exploitation binaire ou la découverte de failles zero-day. L'analyse des trajectoires d'agents montre que les modèles généralistes échouent souvent de la même manière : ils restent cantonnés à un seul système, perdent des observations précoces pourtant utiles plus tard, confondent quasi-succès et réussite, ou décrivent une chaîne d'attaque sans jamais l'exécuter réellement.