La réponse courte

Claude Mythos Preview doit être vu comme un aperçu à haut potentiel et à haut risque, pas comme une fonction Claude ordinaire que tout le monde pourrait activer. Les documents publics permettent d’affirmer trois choses avec prudence : c’est bien un modèle Anthropic ; il progresse nettement sur des tâches cyber mesurées ; et il n’a pas été largement ouvert au public.

Ce que les sources ne permettent pas encore d’affirmer avec la même force, c’est que Mythos aurait déjà trouvé et exploité de manière stable, publique et reproductible des milliers de vulnérabilités zero-day critiques dans le monde réel. La formulation la plus juste est donc la suivante : Mythos Preview pourrait marquer une étape importante dans l’automatisation de la recherche de failles, mais ses déclarations les plus spectaculaires demandent encore davantage de cas publics, de critères de gravité et de validations tierces.

Qu’est-ce que Claude Mythos Preview ?

La fiche système d’Anthropic présente Claude Mythos Preview comme un nouveau large language model et comme un modèle d’IA de frontière. Ses domaines de compétence annoncés incluent notamment le développement logiciel, le raisonnement et la cybersécurité.

Autrement dit, il ne s’agit pas, d’après ces documents, d’un personnage de prompt, d’un plugin tiers ou d’un simple modèle de conversation remaquillé. C’est bien un modèle décrit par Anthropic comme appartenant à sa génération la plus avancée.

S’il attire autant l’attention, c’est parce que la cybersécurité figure explicitement dans son périmètre de capacités. La question devient alors moins : existe-t-il ? que : comment ces capacités sont-elles contrôlées, qui peut y accéder, comment les résultats sont-ils vérifiés, et comment les failles découvertes sont-elles signalées puis corrigées ? Les reportages publics indiquent qu’Anthropic a choisi une diffusion limitée plutôt qu’un lancement grand public.

Peut-il vraiment trouver des failles zero-day ?

Il faut distinguer la revendication d’Anthropic et ce qui a été confirmé publiquement.

Le New York Times rapporte que des dirigeants d’Anthropic affirment que Claude Mythos Preview serait déjà capable de mener une recherche de sécurité autonome, y compris de scanner et d’exploiter des vulnérabilités zero-day dans des logiciels critiques. Une faille zero-day est une vulnérabilité encore inconnue même de l’éditeur du logiciel concerné.

The Hacker News relaie aussi l’affirmation d’Anthropic selon laquelle Mythos Preview aurait déjà découvert des milliers de vulnérabilités zero-day de haute gravité, dans les principaux systèmes d’exploitation et navigateurs web.

Ces déclarations sont importantes, mais elles ne valent pas, à elles seules, publication détaillée, triage indépendant et validation de chaque faille. Tom’s Hardware souligne justement que les informations publiques ne permettent pas encore de savoir clairement combien de ces vulnérabilités sont réalistes, combien sont réellement exploitables, ni quel est leur niveau de gravité effectif.

Le bilan le plus prudent est donc le suivant : les sources publiques soutiennent l’idée d’un progrès sérieux dans les tâches liées à la découverte de vulnérabilités ; l’affirmation des milliers de zero-days critiques reste, elle, une déclaration forte qui n’est pas encore entièrement vérifiable publiquement.

Ce que l’évaluation de l’AISI prouve — et ce qu’elle ne prouve pas

Le 13 avril 2026, l’AI Security Institute britannique a publié une évaluation des capacités cyber de Claude Mythos Preview, modèle annoncé par Anthropic le 7 avril. L’institut dit avoir observé une amélioration continue sur les défis CTF, ou Capture the Flag, et une amélioration significative dans des simulations d’attaques cyber multi-étapes.

C’est l’un des éléments externes les plus solides disponibles, car il ne s’agit pas seulement de reprendre le discours commercial d’Anthropic : l’AISI décrit des résultats d’évaluation dans un cadre précis.

Mais il faut lire cette conclusion dans son périmètre exact. Des CTF et des simulations multi-étapes peuvent montrer qu’un modèle devient meilleur dans des exercices contrôlés de cybersécurité. Ils ne démontrent pas automatiquement que chaque vulnérabilité revendiquée dans le monde réel existe, qu’elle est grave, qu’elle est exploitable ou qu’elle a été confirmée par une revue indépendante publique.

Pourquoi Anthropic ne l’a-t-il pas ouvert à tous ?

Les explications publiques convergent : ce type de capacité est à double usage. Il peut aider les défenseurs à trouver des failles plus vite, mais il peut aussi aider des acteurs malveillants si l’accès est mal contrôlé.

The Hacker News rapporte qu’Anthropic a choisi de ne pas rendre Mythos Preview généralement disponible en raison de ses capacités cyber et du risque d’abus. NBC News indique de son côté qu’Anthropic a retenu le modèle hors d’un lancement public et l’a partagé avec un groupe limité de grands acteurs technologiques et de partenaires afin d’aider à renforcer leurs défenses.

Ce choix ne règle pas tous les problèmes. Il déplace surtout la discussion vers la gouvernance : qui obtient l’accès, avec quelles règles d’audit, quels garde-fous, quels processus de divulgation des failles et quelle surveillance des usages ? Les éléments publics confirment la logique d’un accès restreint, mais ne détaillent pas entièrement le dispositif de contrôle.

Project Glasswing : coopération défensive ou réponse incomplète ?

Selon WIRED, Project Glasswing réunit Apple, Google et plus de 45 autres organisations autour de Claude Mythos Preview, afin de tester des capacités de cybersécurité par IA de plus en plus avancées. D’après les informations disponibles, il s’agit donc davantage d’un cadre de coopération et de test restreint que d’un lancement commercial destiné au grand public.

La logique est compréhensible : si un modèle peut repérer plus vite des failles dans des logiciels critiques, il peut être plus sûr de le mettre d’abord entre les mains d’organisations capables de tester, corriger et coordonner les réponses, plutôt que de publier largement la capacité.

Mais Project Glasswing ne doit pas être présenté comme une solution définitive à tous les risques. Les reportages disponibles ne documentent pas complètement les critères d’accès, les mécanismes d’audit, les procédures de divulgation des vulnérabilités ou les réponses prévues en cas d’abus.

Le détail technique à ne pas sous-estimer : les agents

Un point souvent moins visible est pourtant central. Dans une note méthodologique publiée sur red.anthropic.com, Anthropic explique que, pour augmenter la diversité des bugs trouvés et exécuter plusieurs copies de Claude en parallèle, chaque agent est chargé de se concentrer sur un fichier différent du projet. Pour gagner en efficacité, Claude classe d’abord les fichiers sur une échelle de 1 à 5 selon leur probabilité de contenir des bugs intéressants.

Cela change la lecture des performances. Ce qui est présenté comme de la découverte de vulnérabilités ne ressemble probablement pas à une simple conversation dans une fenêtre de chat. C’est plutôt un flux de travail : tri des fichiers, priorisation du risque, agents parallèles, répartition des zones à examiner, puis consolidation des résultats.

Pour la cybersécurité, ce point est crucial. Le risque ne vient pas seulement d’un modèle plus intelligent. Il vient de la combinaison entre un modèle puissant, une orchestration agentique et des stratégies de recherche parallélisée.

Ce que l’on peut affirmer aujourd’hui

• Claude Mythos Preview est bien un modèle Anthropic documenté. Sa fiche système le décrit comme un nouveau grand modèle de langage et un modèle d’IA de frontière, avec des capacités en logiciel, raisonnement et cybersécurité.
• Ses performances cyber ont progressé dans des évaluations publiques. L’AISI rapporte des améliorations en CTF et en simulations d’attaques multi-étapes.
• Il n’est pas traité comme un produit Claude grand public. Plusieurs sources indiquent qu’Anthropic a opté pour un accès limité et des partenariats plutôt qu’une disponibilité générale.
• Les résultats reposent aussi sur une architecture de travail. Anthropic décrit l’usage de plusieurs copies de Claude en parallèle, d’agents spécialisés par fichier et d’un classement préalable des fichiers les plus susceptibles de contenir des bugs.

Ce qu’il ne faut pas conclure trop vite

• Des milliers de vulnérabilités ne signifient pas automatiquement des milliers de zero-days critiques exploitables. Tom’s Hardware souligne que la réalité, l’exploitabilité et la gravité exacte des failles revendiquées ne sont pas encore clairement établies publiquement.
• L’évaluation de l’AISI ne couvre pas tous les scénarios réels. Elle indique une amélioration sur des tâches précises, mais ne démontre pas que Mythos dépasse durablement les meilleurs chercheurs humains dans tous les contextes de recherche de vulnérabilités.
• La performance ne doit pas être attribuée uniquement au modèle de base. La méthode décrite par Anthropic montre que l’orchestration par agents et la priorisation des fichiers peuvent jouer un rôle important.
• Un accès restreint ne supprime pas le risque d’abus. Les sources publiques parlent d’un partage limité et de Project Glasswing, mais pas d’un cadre complet et transparent couvrant tous les scénarios de gouvernance.

Ce que cela change pour les équipes sécurité

Pour le grand public, la conclusion pratique est simple : Claude Mythos Preview n’est pas présenté comme un modèle Claude ordinaire que l’on ouvrirait librement dans une interface de chat. Les reportages disponibles indiquent qu’Anthropic a privilégié une diffusion restreinte.

Pour les équipes de sécurité, le signal est plus profond. Les éléments publics montrent que l’IA atteint désormais des niveaux significatifs dans la recherche automatisée de vulnérabilités, l’analyse parallèle de code et les simulations d’attaque en plusieurs étapes. Cela ne veut pas dire que les chercheurs humains deviennent inutiles du jour au lendemain. Cela veut dire que les organisations devront examiner plus sérieusement leurs processus de découverte assistée par IA, de divulgation responsable et de correction rapide des failles.

La meilleure synthèse tient en une phrase : Claude Mythos Preview ressemble à un jalon important dans l’automatisation cyber par IA, mais les preuves publiques soutiennent surtout l’idée d’une forte progression des capacités, pas encore celle d’une validation indépendante complète de toutes les annonces les plus spectaculaires.

La réponse courte

Claude Mythos Preview doit être vu comme un aperçu à haut potentiel et à haut risque, pas comme une fonction Claude ordinaire que tout le monde pourrait activer. Les documents publics permettent d’affirmer trois choses avec prudence : c’est bien un modèle Anthropic ; il progresse nettement sur des tâches cyber mesurées ; et il n’a pas été largement ouvert au public.

Ce que les sources ne permettent pas encore d’affirmer avec la même force, c’est que Mythos aurait déjà trouvé et exploité de manière stable, publique et reproductible des milliers de vulnérabilités zero-day critiques dans le monde réel. La formulation la plus juste est donc la suivante : Mythos Preview pourrait marquer une étape importante dans l’automatisation de la recherche de failles, mais ses déclarations les plus spectaculaires demandent encore davantage de cas publics, de critères de gravité et de validations tierces.

Qu’est-ce que Claude Mythos Preview ?

La fiche système d’Anthropic présente Claude Mythos Preview comme un nouveau large language model et comme un modèle d’IA de frontière. Ses domaines de compétence annoncés incluent notamment le développement logiciel, le raisonnement et la cybersécurité.

Autrement dit, il ne s’agit pas, d’après ces documents, d’un personnage de prompt, d’un plugin tiers ou d’un simple modèle de conversation remaquillé. C’est bien un modèle décrit par Anthropic comme appartenant à sa génération la plus avancée.

S’il attire autant l’attention, c’est parce que la cybersécurité figure explicitement dans son périmètre de capacités. La question devient alors moins : existe-t-il ? que : comment ces capacités sont-elles contrôlées, qui peut y accéder, comment les résultats sont-ils vérifiés, et comment les failles découvertes sont-elles signalées puis corrigées ? Les reportages publics indiquent qu’Anthropic a choisi une diffusion limitée plutôt qu’un lancement grand public.

Peut-il vraiment trouver des failles zero-day ?

Il faut distinguer la revendication d’Anthropic et ce qui a été confirmé publiquement.

Le New York Times rapporte que des dirigeants d’Anthropic affirment que Claude Mythos Preview serait déjà capable de mener une recherche de sécurité autonome, y compris de scanner et d’exploiter des vulnérabilités zero-day dans des logiciels critiques. Une faille zero-day est une vulnérabilité encore inconnue même de l’éditeur du logiciel concerné.

The Hacker News relaie aussi l’affirmation d’Anthropic selon laquelle Mythos Preview aurait déjà découvert des milliers de vulnérabilités zero-day de haute gravité, dans les principaux systèmes d’exploitation et navigateurs web.

Ces déclarations sont importantes, mais elles ne valent pas, à elles seules, publication détaillée, triage indépendant et validation de chaque faille. Tom’s Hardware souligne justement que les informations publiques ne permettent pas encore de savoir clairement combien de ces vulnérabilités sont réalistes, combien sont réellement exploitables, ni quel est leur niveau de gravité effectif.

Le bilan le plus prudent est donc le suivant : les sources publiques soutiennent l’idée d’un progrès sérieux dans les tâches liées à la découverte de vulnérabilités ; l’affirmation des milliers de zero-days critiques reste, elle, une déclaration forte qui n’est pas encore entièrement vérifiable publiquement.

Ce que l’évaluation de l’AISI prouve — et ce qu’elle ne prouve pas

Le 13 avril 2026, l’AI Security Institute britannique a publié une évaluation des capacités cyber de Claude Mythos Preview, modèle annoncé par Anthropic le 7 avril. L’institut dit avoir observé une amélioration continue sur les défis CTF, ou Capture the Flag, et une amélioration significative dans des simulations d’attaques cyber multi-étapes.

C’est l’un des éléments externes les plus solides disponibles, car il ne s’agit pas seulement de reprendre le discours commercial d’Anthropic : l’AISI décrit des résultats d’évaluation dans un cadre précis.

Mais il faut lire cette conclusion dans son périmètre exact. Des CTF et des simulations multi-étapes peuvent montrer qu’un modèle devient meilleur dans des exercices contrôlés de cybersécurité. Ils ne démontrent pas automatiquement que chaque vulnérabilité revendiquée dans le monde réel existe, qu’elle est grave, qu’elle est exploitable ou qu’elle a été confirmée par une revue indépendante publique.

Pourquoi Anthropic ne l’a-t-il pas ouvert à tous ?

Les explications publiques convergent : ce type de capacité est à double usage. Il peut aider les défenseurs à trouver des failles plus vite, mais il peut aussi aider des acteurs malveillants si l’accès est mal contrôlé.

The Hacker News rapporte qu’Anthropic a choisi de ne pas rendre Mythos Preview généralement disponible en raison de ses capacités cyber et du risque d’abus. NBC News indique de son côté qu’Anthropic a retenu le modèle hors d’un lancement public et l’a partagé avec un groupe limité de grands acteurs technologiques et de partenaires afin d’aider à renforcer leurs défenses.

Ce choix ne règle pas tous les problèmes. Il déplace surtout la discussion vers la gouvernance : qui obtient l’accès, avec quelles règles d’audit, quels garde-fous, quels processus de divulgation des failles et quelle surveillance des usages ? Les éléments publics confirment la logique d’un accès restreint, mais ne détaillent pas entièrement le dispositif de contrôle.

Project Glasswing : coopération défensive ou réponse incomplète ?

Selon WIRED, Project Glasswing réunit Apple, Google et plus de 45 autres organisations autour de Claude Mythos Preview, afin de tester des capacités de cybersécurité par IA de plus en plus avancées. D’après les informations disponibles, il s’agit donc davantage d’un cadre de coopération et de test restreint que d’un lancement commercial destiné au grand public.

La logique est compréhensible : si un modèle peut repérer plus vite des failles dans des logiciels critiques, il peut être plus sûr de le mettre d’abord entre les mains d’organisations capables de tester, corriger et coordonner les réponses, plutôt que de publier largement la capacité.

Mais Project Glasswing ne doit pas être présenté comme une solution définitive à tous les risques. Les reportages disponibles ne documentent pas complètement les critères d’accès, les mécanismes d’audit, les procédures de divulgation des vulnérabilités ou les réponses prévues en cas d’abus.

Le détail technique à ne pas sous-estimer : les agents

Un point souvent moins visible est pourtant central. Dans une note méthodologique publiée sur red.anthropic.com, Anthropic explique que, pour augmenter la diversité des bugs trouvés et exécuter plusieurs copies de Claude en parallèle, chaque agent est chargé de se concentrer sur un fichier différent du projet. Pour gagner en efficacité, Claude classe d’abord les fichiers sur une échelle de 1 à 5 selon leur probabilité de contenir des bugs intéressants.

Cela change la lecture des performances. Ce qui est présenté comme de la découverte de vulnérabilités ne ressemble probablement pas à une simple conversation dans une fenêtre de chat. C’est plutôt un flux de travail : tri des fichiers, priorisation du risque, agents parallèles, répartition des zones à examiner, puis consolidation des résultats.

Pour la cybersécurité, ce point est crucial. Le risque ne vient pas seulement d’un modèle plus intelligent. Il vient de la combinaison entre un modèle puissant, une orchestration agentique et des stratégies de recherche parallélisée.

Ce que l’on peut affirmer aujourd’hui

• Claude Mythos Preview est bien un modèle Anthropic documenté. Sa fiche système le décrit comme un nouveau grand modèle de langage et un modèle d’IA de frontière, avec des capacités en logiciel, raisonnement et cybersécurité.
• Ses performances cyber ont progressé dans des évaluations publiques. L’AISI rapporte des améliorations en CTF et en simulations d’attaques multi-étapes.
• Il n’est pas traité comme un produit Claude grand public. Plusieurs sources indiquent qu’Anthropic a opté pour un accès limité et des partenariats plutôt qu’une disponibilité générale.
• Les résultats reposent aussi sur une architecture de travail. Anthropic décrit l’usage de plusieurs copies de Claude en parallèle, d’agents spécialisés par fichier et d’un classement préalable des fichiers les plus susceptibles de contenir des bugs.

Ce qu’il ne faut pas conclure trop vite

• Des milliers de vulnérabilités ne signifient pas automatiquement des milliers de zero-days critiques exploitables. Tom’s Hardware souligne que la réalité, l’exploitabilité et la gravité exacte des failles revendiquées ne sont pas encore clairement établies publiquement.
• L’évaluation de l’AISI ne couvre pas tous les scénarios réels. Elle indique une amélioration sur des tâches précises, mais ne démontre pas que Mythos dépasse durablement les meilleurs chercheurs humains dans tous les contextes de recherche de vulnérabilités.
• La performance ne doit pas être attribuée uniquement au modèle de base. La méthode décrite par Anthropic montre que l’orchestration par agents et la priorisation des fichiers peuvent jouer un rôle important.
• Un accès restreint ne supprime pas le risque d’abus. Les sources publiques parlent d’un partage limité et de Project Glasswing, mais pas d’un cadre complet et transparent couvrant tous les scénarios de gouvernance.

Ce que cela change pour les équipes sécurité

Pour le grand public, la conclusion pratique est simple : Claude Mythos Preview n’est pas présenté comme un modèle Claude ordinaire que l’on ouvrirait librement dans une interface de chat. Les reportages disponibles indiquent qu’Anthropic a privilégié une diffusion restreinte.

Pour les équipes de sécurité, le signal est plus profond. Les éléments publics montrent que l’IA atteint désormais des niveaux significatifs dans la recherche automatisée de vulnérabilités, l’analyse parallèle de code et les simulations d’attaque en plusieurs étapes. Cela ne veut pas dire que les chercheurs humains deviennent inutiles du jour au lendemain. Cela veut dire que les organisations devront examiner plus sérieusement leurs processus de découverte assistée par IA, de divulgation responsable et de correction rapide des failles.

La meilleure synthèse tient en une phrase : Claude Mythos Preview ressemble à un jalon important dans l’automatisation cyber par IA, mais les preuves publiques soutiennent surtout l’idée d’une forte progression des capacités, pas encore celle d’une validation indépendante complète de toutes les annonces les plus spectaculaires.