Anthropic a démontré avec Mythos Preview qu'un modèle d'IA généraliste peut reproduire 83% des zero-days connus au premier essai et en identifier des inédits dans les OS et navigateurs majeurs. Si vous êtes RSSI ou responsable bleu team, la question pratique c'est pas "est-ce que Mythos existe", c'est "qu'est-ce que je fais lundi matin sachant qu'il existe".
Le vrai changement : la fenêtre de patch se contracte
Ce qui change concrètement, c'est le tempo. Avant Mythos, le délai entre découverte d'une faille et exploitation à grande échelle pouvait être de semaines ou mois (sauf cas exceptionnels). Avec un modèle qui produit des exploits fonctionnels à la chaîne, la fenêtre se compte en jours, voire en heures sur les cibles à haute valeur.
Du coup, votre MTTR sur les Critical exploitables doit baisser radicalement :
| Catégorie | MTTR actuel typique | Cible 2026-2027 | |---|---|---| | Kernel / browser Critical | 7-30 jours | 24-72h | | Application stack Critical | 14-60 jours | 7 jours | | Application stack High | 30-90 jours | 30 jours |
Pour atteindre ces cibles, votre CI/CD doit déployer des patches en bloquant sans intervention humaine sur la majorité des cas. Voir DevSecOps en CI/CD : quality gates qui bloquent vraiment.
Trois chantiers concrets bleu team
1. SBOM à jour et croisé avec les CVE en temps réel
Si vous ne sais pas exactement quelles libs tournent dans quel container en production, vous ne peux pas patcher rapidement. Le SBOM (Software Bill of Materials) doit être :
- Généré à chaque build (SPDX ou CycloneDX).
- Stocké à côté de l'artefact.
- Indexé pour faire une requête "quels services tournent log4j 2.x ?" en quelques secondes.
Sans ça, à la prochaine vulnérabilité Critical, vous passez 48h à chercher avant de patcher. Avec ça, vous identifiez en 30 secondes et vous déclenchez le patch.
2. Détection comportementale, pas signature
Les signatures ne vont pas suivre. Quand Mythos (ou son équivalent open-source dans 18 mois) sort 100 nouveaux exploits par semaine, vos règles SIEM écrites à la main sont mortes.
Votre EDR/XDR doit faire de la détection comportementale : pas "cette IP a déjà été vue malveillante", mais "ce process fait des appels système anormaux pour son rôle". Les éditeurs Glasswing (CrowdStrike, Palo Alto, Cisco) intègrent progressivement des modèles IA pour ça. C'est un critère de renouvellement de contrat à mettre dans votre RFP.
3. Threat hunting proactif
Si vous attendez que votre SIEM crie, vous réagissez trop tard. Le threat hunting proactif, c'est : un analyste (ou un agent IA encadré) qui formule une hypothèse — "et si un attaquant exploitait CVE-X via le service Y ?" — et qui va chercher les traces dans les logs.
Avec un modèle type Daybreak (ou un équivalent intégré dans votre outil de SIEM), cette boucle hypothèse → recherche → conclusion passe de plusieurs heures à quelques minutes. Voir Mythos vs Daybreak.
Ce qui ne change pas malgré Mythos
Trois fondamentaux restent les premiers à durcir, parce que la majorité des incidents ne passent pas par un zero-day :
- MFA phishing-resistant sur tous les comptes admin et financiers. Les kits AiTM (Adversary-in-the-Middle) cassent le MFA TOTP — il faut du FIDO2 ou des passkeys.
- Sauvegardes immuables testées au moins une fois par an. Si vous te fais ransomwarer, c'est votre seule porte de sortie.
- Segmentation réseau : un compte compromis ne donne pas accès à toute l'infra. Voir Sécurité PME : 7 priorités.
Mythos ne change pas ça. Il rend juste les conséquences d'un manquement à ces fondamentaux beaucoup plus rapides.
Plan d'action 90 jours pour votre bleu team
- 30 premiers jours : audit SBOM (est-ce qu'on a, est-ce qu'on peut requêter), audit MTTR (combien de jours réels entre CVE Critical et patch en prod), audit EDR (est-ce qu'on a de la détection comportementale ou juste des signatures).
- 30-60 jours : combler les trous identifiés. Pas tout, juste les 3-5 plus critiques.
- 60-90 jours : test à blanc — simuler un patch d'urgence sur un CVE fictif, mesurer le délai réel bout-en-bout. Si > 72h, c'est qu'il reste du travail.
Mythos est, à ce stade, un signal faible qui dit que les 5 prochaines années de la cybersécurité défensive vont être celles de la vitesse. Donc voilà : vous n'avez pas besoin de paniquer, mais vous avez besoin de mesurer votre MTTR et de l'attaquer comme une métrique business.
