Le modèle secret Mythos d’Anthropic apparaît brièvement dans les outils développeur de Claude

Selon l’entreprise, ce modèle peut identifier et exploiter des vulnérabilités logicielles à un niveau dépassant celui de presque tous les experts humains, à l’exception des spécialistes les plus expérimentés.

Autrement dit, Mythos peut parcourir d’immenses bases de code, analyser leur architecture et détecter des failles qui pourraient rester invisibles pendant des années.

Project Glasswing : un programme d’accès très limité

Plutôt que de lancer Mythos publiquement, Anthropic a créé Project Glasswing, une initiative de cybersécurité défensive reposant sur ce modèle.

L’accès est limité à un petit groupe d’organisations soigneusement sélectionnées : grandes entreprises technologiques, acteurs de la cybersécurité et mainteneurs d’infrastructures open source critiques.

Au total, environ 50 partenaires participent au programme.

Leur mission : utiliser Mythos pour analyser des logiciels essentiels et signaler les failles découvertes afin qu’elles soient corrigées avant d’être exploitées par des acteurs malveillants.

Des résultats déjà impressionnants

Même avec cet accès restreint, les premiers résultats du programme sont remarquables.

Anthropic indique que les participants à Project Glasswing ont déjà découvert plus de 10 000 vulnérabilités classées « élevées » ou « critiques » dans des logiciels largement utilisés.

Plusieurs analyses indiquent également que le modèle peut :

• découvrir des vulnérabilités zero‑day inédites dans des logiciels très répandus ;
• détecter des failles dans les principaux systèmes d’exploitation et navigateurs web ;
• automatiser la recherche de vulnérabilités et la création d’exploits à une échelle rarement atteinte par des humains seuls.

Des rapports externes évoquent aussi un score d’environ 93,9 % sur le benchmark SWE‑bench Verified, un test mesurant la capacité d’un modèle à résoudre de véritables problèmes d’ingénierie logicielle. Cependant, tous ces résultats ne figurent pas encore officiellement dans les publications d’Anthropic.

Ces performances expliquent pourquoi Mythos est considéré comme une technologie « à double usage » : extrêmement utile pour renforcer la sécurité, mais potentiellement dangereux s’il tombe entre de mauvaises mains.

Pourquoi l’apparition dans les outils développeur fait autant parler

Normalement, Mythos reste strictement limité à Project Glasswing. Le voir apparaître — même brièvement — dans un environnement destiné aux développeurs change la perception.

Pour de nombreux observateurs, cela pourrait indiquer que :

• Anthropic relie progressivement Mythos à l’infrastructure plus large de Claude ;
• l’architecture interne permet déjà d’y accéder via les outils développeur ou l’API ;
• l’entreprise envisage d’intégrer ses capacités de cybersécurité dans des outils de développement ou de sécurité.

Aucune annonce officielle n’indique pour l’instant un lancement public.

Surveillance gouvernementale et préoccupations de sécurité

Les capacités de Mythos ont également attiré l’attention des autorités américaines.

Des responsables gouvernementaux ont discuté de mécanismes de supervision pour les modèles d’IA capables de découvrir et exploiter des vulnérabilités logicielles, car ces technologies pourraient aussi faciliter des cyberattaques avancées.

Certains responsables ont même exprimé des réserves quant à l’élargissement de l’accès au modèle au‑delà du groupe actuel de partenaires, évoquant à la fois des risques d’abus et des contraintes informatiques.

Ces inquiétudes expliquent pourquoi Mythos reste limité malgré son potentiel commercial évident.

Un tournant pour la cybersécurité alimentée par l’IA

Mythos illustre une transformation majeure : les modèles d’IA ne se contentent plus d’aider les développeurs à écrire du code. Ils commencent désormais à analyser des écosystèmes logiciels entiers, découvrir des vulnérabilités et produire des exploits fonctionnels.

Cette évolution pourrait accélérer à la fois :

• la recherche en sécurité défensive,
• et, potentiellement, les capacités offensives dans le cyberespace.

La stratégie d’Anthropic — limiter l’accès via Project Glasswing — montre à quel point l’entreprise prend ces risques au sérieux. Mais l’apparition du modèle dans l’infrastructure développeur de Claude suggère aussi une autre possibilité : à terme, des outils d’IA spécialisés comme Mythos pourraient être intégrés directement dans les plateformes de développement logiciel.

Si cela se produit, la manière dont les vulnérabilités sont découvertes — et corrigées — pourrait changer radicalement dans l’écosystème logiciel mondial.