Claude Mythos a trouvé 231 failles Microsoft en un mois — et Microsoft ne peut pas suivre le rythme

Plus largement, dans le cadre de Project Glasswing, Mythos a identifié plus de 10 000 vulnérabilités de sévérité élevée ou critique dans les logiciels les plus importants du monde depuis le lancement du programme . Le tableau de bord de divulgation coordonnée des vulnérabilités d'Anthropic fait état de 1 596 vulnérabilités divulguées dans 281 projets open source au 22 mai 2026, avec environ 23 019 résultats triés et 1 900 candidats priorisés .

La crise de triage interne chez Microsoft

L'écart entre la découverte et la correction a été décrit comme une crise de triage existentielle — l'IA trouve les failles plus vite que les équipes humaines ne peuvent les analyser, les reproduire et les corriger . Des présentations internes de Microsoft reconnaîtraient que l'entreprise ne peut pas suivre le rythme de découverte de Mythos . Une diapositive interne d'une présentation de Microsoft notait que l'entreprise prévoit de s'attaquer éventuellement aux failles de gravité modérée, mais que l'accent immédiat est mis uniquement sur les vulnérabilités critiques et importantes .

Le Patch Tuesday record de juillet 2026

Le 14 juillet 2026, Microsoft a publié le plus gros Patch Tuesday de son histoire, corrigeant 622 vulnérabilités — le triple du nombre de juin 2026 et environ cinq fois la moyenne mensuelle . Les chiffres varient légèrement selon les sources, certaines faisant état de 569 à 622 CVE . La publication comprenait :

• 59 failles de niveau critique
• Trois zero-jours, dont deux — CVE-2026-56155 dans Active Directory Federation Services et CVE-2026-56164 dans SharePoint Server — étaient déjà activement exploités avant l'existence de correctifs
• 416 défauts Windows, plus des correctifs dans Office, SharePoint, Azure, Hyper-V et Visual Studio

CrowdStrike a noté que cette publication "renforce l'idée que l'ère des 'petits' Patch Tuesday est peut-être révolue, car la découverte de vulnérabilités pilotée par l'IA s'accélère" . Un mois plus tôt seulement, juin 2026 avait déjà battu le record précédent avec 206 CVE .

Hitachi rejoint Project Glasswing pour les infrastructures critiques

Hitachi a rejoint Project Glasswing en juin 2026, obtenant l'accès à Claude Mythos Preview pour auditer ses logiciels d'infrastructure sociale — en particulier dans le secteur de l'énergie . Le 28 juillet 2026, Hitachi a rapporté que Mythos avait réduit les processus de validation de sécurité de plusieurs semaines à des délais considérablement plus courts, créant avec succès des modèles de menace pour des millions de lignes de code source et confirmant l'applicabilité pratique du modèle aux infrastructures critiques .

Avertissement des Five Eyes : « Le calendrier n'est pas en années, il est en mois »

Le 22 juin 2026, l'alliance de renseignement Five Eyes (États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande) a publié une rare déclaration publique conjointe avertissant que les modèles d'IA de pointe sont sur le point de décupler les capacités de piratage offensif en quelques mois, et non en années . L'alliance a déclaré : "Les modèles d'IA de pointe devraient dépasser les attentes actuelles de l'industrie, transformant fondamentalement les capacités cybernétiques offensives et défensives. Le calendrier n'est pas en années, il est en mois" . L'avertissement est survenu quelques semaines après que l'administration Trump a ordonné à Anthropic de restreindre l'accès à ses modèles Mythos et Fable pour les ressortissants étrangers . Bien que la déclaration des Five Eyes n'ait pas nommé d'entreprises spécifiques, Reuters et d'autres médias ont lié l'urgence directement aux inquiétudes concernant le modèle Mythos d'Anthropic .

Implications plus larges : le décalage de vélocité des correctifs

Le rythme de découverte de Mythos a exposé un décalage fondamental entre la découverte de vulnérabilités par l'IA et la correction humaine. Les experts en sécurité ont soulevé des inquiétudes :

• Décalage de vélocité des correctifs : L'IA découvre les failles à la vitesse de la machine, mais le triage humain et le développement de correctifs restent contraints par des processus manuels .
• Risque d'arriéré : Des milliers de failles de haute sévérité s'accumulent, forçant des décisions de priorisation impossibles, laissant de nombreux systèmes exposés .
• Fragilité des infrastructures : Le travail d'Hitachi montre que la découverte par l'IA cible désormais les systèmes de contrôle industriels et les infrastructures énergétiques, où le déploiement de correctifs est encore plus lent en raison des exigences de disponibilité et des contraintes réglementaires .
• Asymétrie offensive : La même capacité d'IA utilisée de manière défensive dans Project Glasswing pourrait être militarisée par des adversaires, créant une asymétrie sans précédent dans les opérations cybernétiques .

Comme l'a noté un analyste en sécurité : "Avant, nous nous inquiétions de trouver des bugs. Maintenant, nous nous inquiétons de les trouver plus vite que nous ne pouvons les corriger. Le goulot d'étranglement est passé de la découverte à la correction — et nous n'avons pas encore d'IA pour cela."

Ce que les organisations devraient faire maintenant

L'avis des Five Eyes énumérait cinq actions pratiques pour les entreprises : réduire la surface d'attaque, corriger plus rapidement, supposer la compromission, investir dans la détection et la réponse, et durcir l'infrastructure d'identité . Pour la plupart des équipes de sécurité d'entreprise, cela signifie repenser les programmes de gestion des vulnérabilités qui ont été conçus pour un monde de découverte à rythme humain. Les correctifs automatisés, le triage assisté par l'IA et la priorisation basée sur les risques ne sont plus facultatifs — ce sont des tactiques de survie.

Claude Mythos d'Anthropic a prouvé que l'IA peut trouver des vulnérabilités à une échelle et une vitesse sans précédent. La question est maintenant de savoir si l'écosystème mondial de la cybersécurité peut évoluer assez rapidement pour les corriger.