Un deuxième ( et rare) rapport d’Anthropic sur Mythos est publié…Que dit-il ?
Anthropic a publié un deuxième rapport technique, ce 22 mai, sur ce qu’il a pu obtenir de Mythos avec ses partenaires triés sur le volet. Les performances se confirment.
Le 22 mai 2026, l’entreprise Anthropic a publié un deuxième rapport technique sur son projet Glasswing, qui évalue les capacités de son modèle d’intelligence artificielle Mythos à détecter des vulnérabilités logicielles. Ce projet implique cinquante partenaires, dont des entreprises comme Palo Alto Networks, Microsoft et Oracle, ainsi que des banques comme JP Morgan. Mythos a permis d’identifier plus de 10 000 vulnérabilités de gravité élevée ou critique dans des logiciels essentiels au fonctionnement d’Internet et des systèmes informatiques. Ce nombre dépasse largement les attentes initiales et révèle que la découverte de failles n’est plus le principal goulot d’étranglement : c’est désormais la rapidité de leur traitement, de leur correction et de leur déploiement qui pose problème. Les partenaires d’Anthropic soulignent que les pratiques industrielles, comme la divulgation publique des failles après 90 jours, sont devenues obsolètes face à l’ampleur des vulnérabilités détectées.
Anthropic a utilisé Mythos pour analyser 1 000 projets open source, ces logiciels libres qui constituent la base de nombreux services en ligne. Parmi les 23 019 vulnérabilités détectées, 6 202 étaient de gravité élevée ou critique. Sur ces dernières, 1 752 ont été examinées en détail par des experts indépendants, dont 90,6 % (1 587) se sont avérées réelles, et 62,4 % (1 094) étaient effectivement critiques. Anthropic a mis en ligne un tableau de bord public pour suivre ces vulnérabilités. Cependant, la principale difficulté n’est plus de trouver ces failles, mais de les signaler aux mainteneurs des projets, de concevoir des correctifs et de les déployer rapidement. Certains mainteneurs, submergés par le volume de rapports, ont demandé à Anthropic de ralentir ses divulgations pour éviter une saturation. Mythos a également directement communiqué 1 129 vulnérabilités aux mainteneurs, dont 175 étaient critiques, sans vérification préalable.
Malgré la détection de milliers de vulnérabilités, le processus de correction reste lent. Parmi les 530 failles critiques rapportées par Anthropic, seulement 75 ont été corrigées à ce jour, et 65 ont fait l’objet d’un avis public. Plusieurs raisons expliquent ce retard : la fenêtre de divulgation de 90 jours vient à peine de commencer, certaines vulnérabilités sont corrigées sans communication publique, et les équipes de sécurité sont déjà saturées. Les développeurs de logiciels sont désormais incités à réduire leurs cycles de correction et à automatiser au maximum les mises à jour, tout en évitant des incidents comme celui de Crowdstrike en 2024, où une mise à jour automatique avait provoqué des pannes massives. Les équipes de défense réseau doivent aussi accélérer leurs tests et déploiements, tout en renforçant la sécurité indépendamment de l’application des correctifs.
L’entreprise Cloudflare, spécialisée dans la sécurité internet, a testé Mythos et en souligne les capacités exceptionnelles. Mythos est capable de combiner plusieurs vulnérabilités (primitives) apparemment inoffensives pour créer des chaînes d’exploits fonctionnelles, c’est-à-dire des attaques informatiques complexes. Cloudflare explique que Mythos génère du code d’attaque, le teste dans un environnement isolé et corrige ses erreurs jusqu’à obtenir un résultat opérationnel. Cette approche est particulièrement efficace pour les langages de programmation anciens comme le C ou le C++, qui génèrent beaucoup de « bruit » (faux positifs) et rendent l’analyse manuelle difficile. Cloudflare recommande de canaliser l’usage de Mythos en lui demandant de rechercher des vulnérabilités spécifiques plutôt que de tout scanner, et d’introduire une seconde IA pour auditer les découvertes de la première.
Malgré ses avancées, Mythos présente des limites majeures. Par exemple, il ne peut pas scanner des logiciels non publics, c’est-à-dire ceux dont le code source ou la version compilée n’est pas accessible. Cela concerne de nombreux logiciels spécialisés ou obsolètes utilisés dans des environnements industriels. De plus, les garde-fous actuels des modèles d’IA, comme les refus comportementaux, sont fragiles. Une IA peut refuser de créer un script d’attaque, puis accepter cette même demande après une simple reformulation ou un changement d’environnement virtuel. Enfin, Mythos excelle pour trouver des vulnérabilités, mais il ne crée pas aussi facilement des correctifs. Ces défis soulèvent des questions sur la sécurité future des modèles d’IA et leur utilisation potentielle à des fins malveillantes.
Les résultats de Mythos obligent les acteurs du secteur à repenser leurs politiques de gestion des vulnérabilités. Les éditeurs de logiciels accélèrent désormais la publication de correctifs : Palo Alto Networks a multiplié par cinq son volume de patches, Microsoft prévoit une hausse soutenue des mises à jour, et Oracle corrige des failles plus rapidement qu’auparavant. Les clients, comme les banques partenaires de Glasswing, bénéficient de cette réactivité. Par exemple, Mythos a permis de détecter et d’empêcher un virement frauduleux de 1,5 million de dollars en identifiant une usurpation d’identité. Ces changements marquent un tournant : la sécurité ne peut plus reposer uniquement sur la lenteur de découverte des failles, mais doit s’adapter à une ère où l’IA accélère à la fois la détection et l’exploitation des vulnérabilités.
