Claude Mythos 5 arrive dans les audits de sécurité de Claude Enterprise

Anthropic élargit l’accès aux capacités de cybersécurité de Claude Mythos 5 sans publier largement le modèle lui-même. Depuis le 21 août 2026, Mythos 5 alimente les analyses de sécurité de Claude Security pour les clients Enterprise, doit être intégré à des produits de partenaires spécialisés et servira de base à un nouveau fonds de 35 millions de dollars destiné à la sécurité des logiciels open source.

Le choix est volontairement centré sur les résultats. Les équipes de défense reçoivent des vulnérabilités identifiées et des suggestions de correction, mais pas un accès libre et général à Mythos 5. Anthropic cherche ainsi à diffuser la valeur défensive du modèle tout en limitant le risque que les mêmes capacités servent à exploiter des failles.

Ce que les clients Enterprise peuvent utiliser

Claude Security est disponible en bêta publique pour les clients Claude Enterprise. Une entreprise peut lui soumettre une base de code ; Mythos 5 l’analyse alors à la recherche de vulnérabilités et fournit notamment :

• une catégorie CWE (Common Weakness Enumeration), une nomenclature internationale des faiblesses logicielles ;
• un niveau de confiance et un niveau de gravité ;
• une proposition de correctif ou de méthode de remédiation.

L’annonce ne mentionne pas de module Mythos 5 vendu séparément. Anthropic indique que les analyses sont facturées comme une consommation standard de jetons dans le cadre des offres Enterprise existantes.

La distinction essentielle concerne donc le mode d’accès : les utilisateurs Enterprise ne disposent pas d’un accès libre au modèle. Mythos 5 reste exécuté en arrière-plan, derrière le flux d’analyse de sécurité, et renvoie des résultats ainsi que des corrections suggérées.

Les correctifs doivent rester sous contrôle humain

Claude Security propose des correctifs à examiner par des professionnels ; le service n’est pas présenté comme un système autonome de réparation des vulnérabilités. Les ingénieurs doivent vérifier chaque résultat, reproduire le problème lorsque c’est pertinent, mesurer l’effet du correctif sur l’ensemble de la base de code et suivre leur processus habituel avant tout déploiement.

L’annonce décrit donc une conception « avec humain dans la boucle », mais elle ne définit pas une procédure d’approbation unique pour tous les clients. Chaque équipe reste responsable de la manière dont elle teste et met en production les détections et les correctifs générés par l’IA.

Des intégrations prévues dans les outils des partenaires

Anthropic indique travailler avec des entreprises de technologies et de services de cybersécurité afin d’intégrer Mythos 5 aux produits déjà utilisés par les équipes de défense.

L’annonce disponible ne fournit toutefois ni liste complète des partenaires ni calendrier ferme de lancement. Elle parle d’une intégration dans des outils défensifs, et non d’un accès partenaire illimité au modèle. La surface produit attendue est donc celle d’analyses, d’alertes, de rapports de vulnérabilités et de recommandations de correction — pas celle d’un nouvel accès public à des opérations cyber générales.

Un fonds de 35 millions de dollars pour l’open source

Le nouveau Defender Advantage Fund, également appelé 0xDAF, mettra 35 millions de dollars en crédits Claude à la disposition d’organisations qui travaillent à renforcer la sécurité des logiciels open source. Il s’agit de crédits d’utilisation, et non de subventions en numéraire.

Anthropic cite trois priorités :

1. Corriger les vulnérabilités dans les projets open source ;
2. Automatiser une partie de la détection et de la correction des failles ;
3. Expérimenter de nouvelles applications de Claude dans le domaine de la sécurité.

Les informations fournies ne précisent pas le montant attribué à chaque bénéficiaire, les critères d’éligibilité, les dates de candidature ni le calendrier complet de la phase pilote. Ces éléments ne peuvent donc pas être déduits du montant annoncé.

Le rôle du Cyber Verification Program

Anthropic étend également son Cyber Verification Program (CVP), un programme gratuit sur candidature. Il vise les professionnels de la défense informatique dont les missions légitimes sont limitées par les garde-fous cyber de Claude. Les utilisateurs admissibles peuvent demander un ajustement des protections par défaut sur Claude Opus et Sonnet pour des cas d’usage défensifs approuvés.

Les activités cyber à haut risque restent bloquées par défaut. Le CVP ne constitue pas non plus une preuve d’une ouverture générale de Mythos 5. Les éléments disponibles décrivent plutôt deux voies distinctes : des fonctionnalités Mythos 5 limitées à travers Claude Security et les outils partenaires, d’une part, et des ajustements vérifiés sur Opus et Sonnet pour certains usages défensifs, d’autre part.

De Project Glasswing à un déploiement défensif plus large

Lancé en avril 2026, Project Glasswing visait à utiliser les capacités cyber de pointe d’Anthropic pour sécuriser des logiciels critiques avant que des outils comparables ne deviennent largement accessibles à des attaquants. Selon la mise à jour publiée par l’entreprise, environ 50 partenaires initiaux ont utilisé Claude Mythos Preview pour identifier plus de 10 000 vulnérabilités classées comme graves ou critiques.

L’annonce consacrée à Mythos 5 ne renonce pas à cette logique de prudence : elle en modifie surtout le mode de distribution.

• Glasswing : accès limité à des défenseurs et organisations contrôlés ;
• Claude Security : disponibilité plus large pour les clients Enterprise, via un processus d’analyse ;
• Produits partenaires : intégration de résultats défensifs et de recommandations de correction dans des outils existants ;
• 0xDAF : crédits Claude destinés à prolonger le travail de sécurisation de l’open source ;
• CVP : procédure de candidature pour des professionnels légitimes utilisant des modèles protégés.

L’enjeu est lié au caractère à double usage de la découverte de vulnérabilités. Les mêmes systèmes qui aident les défenseurs à repérer et corriger des failles peuvent aussi réduire le coût nécessaire pour identifier des faiblesses exploitables. La réponse d’Anthropic consiste à distribuer plus largement les résultats défensifs, tout en maintenant un accès direct plus étroit aux capacités cyber les plus puissantes, soumis à des contraintes produit et à une vérification.

Ce que l’annonce confirme — et ce qu’elle ne confirme pas

Les changements confirmés sont la bêta Enterprise, la facturation standard à l’usage de jetons, les résultats accompagnés de classifications de sécurité et de correctifs suggérés, les intégrations partenaires prévues, le fonds de 35 millions de dollars en crédits et l’élargissement du CVP.

En revanche, les éléments fournis ne permettent pas de confirmer plusieurs chiffres ou exemples associés à Project Glasswing dans la question initiale, notamment jusqu’à 100 millions de dollars en crédits d’utilisation, 4 millions de dollars de dons, environ 200 organisations participantes ou des découvertes précises concernant OpenBSD et FFmpeg.

Le point essentiel est donc le suivant : Anthropic élargit l’accès aux résultats défensifs de Mythos 5, mais n’ouvre pas le modèle lui-même à un usage général. Les entreprises et les acteurs de l’open source pourront davantage tester son utilité pratique, tandis que ses capacités cyber les plus sensibles restent placées derrière des garde-fous et des mécanismes de vérification.