Claude Mythos : 83% de zero-days reproduits — ce que ça change pour la défense

En avril 2026, Anthropic a annoncé Claude Mythos Preview — un modèle particulièrement puissant en raisonnement long contexte, mathématiques, software engineering et cybersécurité. Le chiffre clé : plus de 83% de réussite au premier essai sur la reproduction de vulnérabilités existantes et la production d'exploits fonctionnels. Le modèle a aussi identifié des milliers de zero-days dans tous les OS majeurs et tous les navigateurs majeurs. Anthropic n'a pas rendu Mythos généralement disponible à cause de ce profil offensif — il est réservé à un cercle restreint de partenaires industriels via Project Glasswing. Voici ce que ça implique pour la défense.

L'asymétrie qui se referme

Pendant des décennies, la découverte de vulnérabilités exploitables a été le bottleneck de l'attaque. Trouver un zero-day dans un kernel, un navigateur, une primitive crypto, demandait des chercheurs très qualifiés et beaucoup de temps. Cette rareté constituait une partie de la défense en profondeur des grandes entreprises et des États.

Mythos Preview démontre qu'un modèle d'IA généraliste peut, sur les bons types de cibles, multiplier la productivité d'un chercheur en sécurité par un facteur 10 à 100. Le bottleneck change : la rareté n'est plus la compétence humaine de découverte, c'est l'accès aux modèles de cette catégorie.

Anthropic a explicitement choisi de garder Mythos Preview semi-fermé. Cette posture est responsable mais ne tiendra pas indéfiniment :

• Des modèles open-source équivalents apparaîtront probablement dans 12 à 24 mois.
• Des modèles concurrents (OpenAI, Google DeepMind, Meta, acteurs chinois) ont des capacités proches.
• Des acteurs étatiques disposent vraisemblablement déjà de ressources internes équivalentes.

La fenêtre où la défense a un avantage temporel se compte en mois, pas en années.

Trois conséquences concrètes pour la défense

1. Le MTTR sur les vulnérabilités exploitables doit baisser radicalement

Si la découverte de zero-days devient industrielle pour les attaquants comme pour les défenseurs, ce qui distingue les deux camps est :

• La rapidité de disclosure et de patch côté éditeurs.
• La rapidité de déploiement des patches côté utilisateurs.

Aujourd'hui, le délai médian entre publication d'un CVE Critical et déploiement en production sur un parc d'entreprise typique est de 30 à 90 jours. Ce délai n'est plus tenable.

Cibles à viser pour 2026-2027 :

• Patches kernel et navigateur : 24-72h pour les Critical exploitables (vs. 7-30 jours actuellement).
• Patches application stack : 7 jours pour les Critical, 30 jours pour les High.
• SBOM (Software Bill of Materials) à jour pour identifier rapidement les surfaces affectées.

Pour atteindre ces cibles, les pipelines CI/CD doivent intégrer le SCA en bloquant — voir DevSecOps en CI/CD : quality gates qui bloquent vraiment.

2. La défense en profondeur (re)devient critique

Si on ne peut plus prévenir 100% des intrusions au périmètre, ce qui sépare une fuite anecdotique d'un incident catastrophique est la profondeur de la défense :

• Segmentation réseau : zéro confiance entre zones, micro-segmentation à l'intérieur des zones.
• Moindre privilège partout : un compte compromis donne accès au minimum strict, pas à toute l'infrastructure.
• Immutabilité des sauvegardes, des images de production, des logs.
• Détection comportementale : un EDR qui voit l'attaque même quand les signatures n'existent pas.
• Réponse rapide : capacité à isoler un segment compromis en minutes.

Ces patterns sont connus depuis 15 ans. La nouveauté est que leur application devient non-négociable pour tout système exposé.

3. Les outils défensifs IA vont devenir une catégorie majeure

Si Mythos peut découvrir des vulnérabilités, des modèles équivalents peuvent — déjà — :

• Analyser en continu les logs SIEM pour détecter des patterns d'attaque que les règles humaines ratent.
• Reconstituer l'arbre d'attaque en post-mortem 100x plus vite.
• Faire du threat hunting proactif sur des hypothèses.
• Réviser et durcir les configurations (IaC, RBAC) à grande échelle.

Plusieurs partenaires Glasswing (Palo Alto Networks, CrowdStrike, Cisco) sont des éditeurs de sécurité qui vont probablement intégrer ces capacités dans leurs produits dans les 12 prochains mois. Si vous renouvelez votre stack EDR/XDR/SIEM/SOAR en 2026-2027, le critère "intégration IA défensive" doit peser fort dans le choix.

L'angle "AI Code Auditor"

Pour les éditeurs SaaS qui produisent leur propre code, une question stratégique nouvelle : est-ce que je passe mon code par un modèle de cette catégorie en interne, avant que les attaquants ne le fassent ?

Plusieurs offres commencent à émerger en 2026 :

• Snyk a annoncé une intégration avec un modèle réputé pour la découverte de vulnérabilités.
• GitHub Advanced Security a élargi CodeQL avec des capacités IA.
• Des startups (Lakera, Adversarial AI labs) proposent du AI red-teaming dédié.

Le ROI de ces outils n'est plus théorique. Une vulnérabilité Critical trouvée et corrigée en interne avant disclosure publique = un incident évité, une cyber-assurance à un meilleur taux, une conformité préservée.

Ce qui ne change pas

Quelques certitudes que Mythos ne révolutionne pas :

• Les erreurs humaines restent la majorité des incidents (phishing, mauvaise config, fuite de secret). Même un attaquant disposant de Mythos prendra le chemin le plus simple — un employé crédule ou un secret sur GitHub.
• Les fondamentaux : MFA phishing-resistant, sauvegardes immuables, EDR, segmentation. Voir Sécurité PME : 7 priorités avant un RSSI.
• L'importance des gens : un modèle ne remplace pas un analyste sécurité expérimenté. Il l'augmente.

Posture recommandée pour 2026-2027

1. Audit de votre stack : qu'est-ce qui est patchable rapidement, qu'est-ce qui ne l'est pas ?
2. Réduction du MTTR : objectif 24-72h sur les Critical exploitables.
3. Profondeur défensive : segmentation, moindre privilège, immutabilité partout.
4. Choix des outils défensifs IA : qui dans votre stack EDR/XDR/SIEM aura accès à des modèles de catégorie Mythos ?
5. Veille active sur la disponibilisation progressive de Mythos et de ses concurrents.

Mythos Preview est, à ce stade, le meilleur indicateur que la sécurité offensive et défensive est en train de basculer dans une nouvelle phase. Les organisations qui s'adaptent maintenant prennent une avance qu'il sera difficile de combler ensuite.