Project Glasswing d'Anthropic : L'IA Claude Mythos découvre plus de 10 000 vulnérabilités critiques et s'ouvre à Hitachi et BeyondTrust

Le Projet Glasswing d'Anthropic marque un tournant décisif dans l'univers de la cybersécurité. Ce programme, qui offre à un cercle restreint de partenaires l'accès à un modèle d'intelligence artificielle capable de trouver et d'exploiter de manière autonome des vulnérabilités « zero-day », vient de connaître son expansion la plus significative. En intégrant des secteurs d'infrastructures critiques et de nouveaux acteurs mondiaux, l'initiative passe d'une preuve de concept à une tentative de correction des logiciels à l'échelle planétaire, avant que des attaquants ne puissent les compromettre.

L'expansion de juin 2026 : des géants de la tech aux infrastructures vitales

Le 2 juin 2026, Anthropic a annoncé un élargissement majeur du Projet Glasswing, accordant à environ 150 nouvelles organisations l'accès à Claude Mythos Preview. Le programme compte désormais à peu près 200 partenaires répartis dans plus de 15 pays . Les nouveaux entrants représentent un pivot stratégique par rapport à la première vague, dominée par les géants américains de la technologie et de la finance. L'expansion cible délibérément des secteurs auparavant sous-représentés : réseaux électriques, systèmes de distribution d'eau, services de santé, réseaux de télécommunications et fabricants de matériel informatique .

La logique est simple. Anthropic estime qu'une cyberattaque réussie contre l'un de ces groupes d'infrastructures critiques pourrait déclencher un risque systémique considérable. En plaçant son outil de sécurité le plus puissant directement entre les mains des organisations qui gèrent les services essentiels, l'entreprise parie que la défense proactive à grande échelle peut devancer les acteurs malveillants .

Les noms des nouveaux participants illustrent la portée mondiale et la profondeur stratégique du programme. BeyondTrust, leader de la sécurité des identités centrée sur les privilèges, a rejoint l'initiative le 8 juin 2026. Son code source étant profondément intégré au sein des gouvernements et des services essentiels, l'accès à Mythos Preview sera utilisé pour accélérer la découverte et la correction de vulnérabilités sur l'ensemble de son portefeuille de produits .

Quelques jours plus tôt, le 5 juin, Hitachi a annoncé sa participation. Le géant industriel japonais appliquera Mythos Preview à ses logiciels d'infrastructures sociales, le socle numérique qui sous-tend les réseaux énergétiques, les systèmes de transport et les infrastructures urbaines .

Ces partenaires viennent compléter une liste déjà prestigieuse qui inclut Amazon Web Services, Apple, CrowdStrike, Google, Microsoft, NVIDIA et des agences du gouvernement américain, créant une coalition de défense intersectorielle sans grand précédent historique .

Un modèle qui brise les codes de la cybersécurité

L'urgence stratégique qui entoure le Projet Glasswing est une réponse directe aux capacités stupéfiantes de Claude Mythos Preview. Ce modèle de pointe non publié est décrit par la propre documentation d'Anthropic comme « étonnamment compétent pour les tâches de sécurité informatique » . Le modèle n'est pas un simple assistant ; il agit comme un chercheur en vulnérabilités et un développeur d'exploits entièrement autonome.

Lors de tests internes, Anthropic a confirmé que Mythos Preview était capable d'identifier puis de construire de manière autonome des exploits exploitables pour des vulnérabilités zero-day sur tous les principaux systèmes d'exploitation et navigateurs web, sur simple instruction d'un utilisateur . L'ampleur de ses résultats éclipse les précédents repères. Lors d'un test comparatif sur Firefox 147, Mythos Preview a généré 181 exploits JavaScript fonctionnels. À titre de comparaison, le modèle précédent le plus performant, Claude Opus 4.6, en avait produit deux .

À la fin du mois de mai 2026, les partenaires du Projet Glasswing avaient utilisé le modèle pour identifier plus de 10 000 failles de sécurité de sévérité haute ou critique . Un seul examen préliminaire chez Cloudflare a fait remonter environ 400 bogues de sévérité critique, tandis que Mozilla s'est appuyé sur ces découvertes pour corriger 271 vulnérabilités dans Firefox 150 . Sur plus de 1 000 projets open source, le modèle a signalé 23 019 problèmes, et des auditeurs professionnels en sécurité ont vérifié le niveau de sévérité pour 89 % d'un échantillon examiné manuellement .

Déterrer des failles vieilles de plusieurs décennies

La découverte la plus emblématique de Mythos reste une vulnérabilité dans OpenBSD, un système d'exploitation réputé pour être l'un des plus sécurisés au monde. Pendant 27 ans, un bogue est resté tapi dans l'implémentation du protocole TCP SACK, datant d'un code écrit en 1998. Cette faille permettait à un adversaire de planter n'importe quel serveur OpenBSD non corrigé en envoyant seulement deux paquets de données . La campagne de découverte qui a mis au jour cette faille a coûté environ 20 000 dollars à Anthropic, mais l'exécution spécifique du modèle qui l'a détectée est revenue à moins de 50 dollars .

Au-delà d'OpenBSD, le modèle a exhumé une vulnérabilité d'exécution de code à distance vieille de 17 ans dans le serveur NFS de FreeBSD, permettant à un attaquant non authentifié d'obtenir un accès administrateur complet depuis Internet . Des failles de plusieurs décennies ont également été trouvées dans FFmpeg, ainsi que des bogues de corruption de mémoire dans des machines virtuelles réputées « memory-safe » .

Un accès verrouillé et un investissement de 100 millions de dollars

La puissance déployée par Claude Mythos Preview a conduit Anthropic à une décision rarissime : en refuser l'accès au grand public. L'entreprise a reconnu que les capacités offensives du modèle, s'il tombait entre de mauvaises mains, posaient un risque inacceptable. L'accès est strictement limité au programme sur invitation Projet Glasswing, les participants signant des conditions d'utilisation strictes qui interdisent toute utilisation offensive .

Pour catalyser cet effort défensif mondial, Anthropic a alloué jusqu'à 100 millions de dollars en crédits d'utilisation du modèle. Ces crédits couvrent les coûts de calcul pour les organisations participantes qui scannent leurs bases de code à la recherche de vulnérabilités . L'entreprise a également accompagné ce programme d'une nouvelle politique de divulgation responsable, conçue pour gérer les découvertes de vulnérabilités à l'échelle d'une machine .

Une nouvelle ère pour la défense cybernétique

L'extension du Projet Glasswing symbolise une course contre la montre où l'IA est à la fois la menace et le rempart. En passant de la sécurisation des navigateurs et des clouds à celle des réseaux électriques et des hôpitaux, l'initiative d'Anthropic dessine les contours d'une nouvelle doctrine de cybersécurité. La chasse aux bogues n'est plus une quête artisanale menée par des chercheurs humains ; elle devient une industrie lourde, automatisée, capable de balayer le code patrimonial de plusieurs décennies à une vitesse et à un coût défiant toute concurrence.