Mythos d’Anthropic : l’IA qui trouve les failles avant les hackers (mais faut-il vraiment la diffuser ?)

Anthropic vient d’annoncer Mythos, un modèle d’IA spécialement conçu pour la cybersécurité, dans le cadre de son Project Glasswing. L’idée ? Utiliser l’intelligence artificielle pour détecter automatiquement les vulnérabilités dans les logiciels critiques avant que les attaquants ne les exploitent. Le New York Times parle même d’un « reckoning » — un règlement de comptes — pour la cybersécurité.

Mais voilà le paradoxe qui me laisse perplexe : Anthropic crée une IA capable de trouver des failles de sécurité à une vitesse inédite, puis annonce publiquement son existence. C’est exactement le genre d’annonce qui me fait dire que l’industrie de l’IA navigue encore à vue sur les questions de sécurité.

Une IA qui code mieux que les auditeurs de sécurité

Mythos n’est pas un simple scanner de vulnérabilités amélioré. D’après les informations disponibles, ce modèle a été entraîné spécifiquement pour comprendre le code source, identifier les patterns de vulnérabilités, et même simuler des attaques pour vérifier l’exploitabilité d’une faille.

Concrètement, ça veut dire qu’au lieu d’avoir une équipe de pentesteurs qui met des semaines à auditer une application critique, Mythos pourrait faire le job en quelques heures. Et pas juste pour des vulnérabilités classiques type injection SQL ou XSS : on parle de failles logiques complexes, de race conditions, de problèmes de gestion mémoire dans du code C/C++.

Pour quelqu’un qui a déjà passé des nuits à déboguer des problèmes de sécurité en production, je comprends l’attrait. Un modèle capable de lire votre codebase et de vous dire « attention, cette fonction a un problème de validation qui permet une élévation de privilèges » ? C’est le rêve de tout CTO.

Le Project Glasswing : sécuriser l’infrastructure critique

Le contexte est important ici. Anthropic ne lance pas Mythos dans le vide : c’est une pièce du Project Glasswing, une initiative visant à sécuriser les logiciels critiques qui font tourner nos infrastructures — pensez aux bibliothèques open-source utilisées par des milliers d’applications, aux composants réseau, aux systèmes de contrôle industriel.

L’approche est intéressante : plutôt que de vendre Mythos comme un produit commercial, Anthropic semble vouloir l’utiliser pour un bien commun. Identifier les vulnérabilités dans les projets open-source critiques, les signaler de manière responsable, permettre aux mainteneurs de patcher avant que les acteurs malveillants ne les découvrent.

C’est noble. C’est nécessaire. Mais c’est aussi terriblement naïf.

Le problème de la divulgation publique

Voici ce qui me dérange : en annonçant publiquement l’existence de Mythos et ses capacités, Anthropic vient d’alerter tous les acteurs de la menace qu’une telle technologie existe et qu’elle fonctionne.

Les groupes APT (Advanced Persistent Threat) et les organisations criminelles ne sont pas stupides. Ils ont des budgets, des chercheurs, et maintenant une feuille de route claire : construire leur propre équivalent de Mythos. Si Anthropic peut le faire, d’autres peuvent le reproduire.

La course est lancée entre :

• Les défenseurs qui utilisent Mythos pour trouver et patcher les vulnérabilités
• Les attaquants qui développent leurs propres outils similaires pour les exploiter

Et historiquement, dans ce genre de course, les attaquants ont toujours un avantage temporel : il leur suffit de trouver UNE faille non patchée pour réussir, alors que les défenseurs doivent toutes les trouver.

Ce que ça change pour les développeurs

Si vous êtes développeur ou responsable d’une infrastructure, Mythos devrait vous faire à la fois espérer et transpirer.

D’un côté, l’idée qu’une IA puisse auditer automatiquement votre code est séduisante. Imaginez intégrer ce type de modèle dans votre pipeline CI/CD :

# Hypothétique intégration future
- name: Security audit with Mythos
  run: mythos-cli scan ./src --output report.json
  fail-on: critical,high

Plus besoin d’attendre des semaines pour un audit de sécurité externe. Chaque pull request pourrait être analysée pour des vulnérabilités critiques avant même d’être mergée.

Mais de l’autre côté, ça veut aussi dire que vos adversaires ont potentiellement accès aux mêmes outils. Si votre application web a une faille, et qu’un attaquant utilise un équivalent de Mythos pour la scanner, le temps entre la découverte et l’exploitation se compte maintenant en heures, pas en jours.

La fenêtre de réaction se réduit drastiquement.

L’approche « défense en premier » a-t-elle un sens ?

Anthropic justifie l’annonce de Mythos par une approche qu’ils appellent « défense en premier » : donner les outils aux défenseurs avant que les attaquants ne les développent. CNN cite même cette justification dans leur article.

Le problème, c’est que ça suppose deux choses fausses :

1. Que les attaquants n’ont pas déjà ces capacités. Spoiler : les groupes APT financés par des États ont probablement déjà des outils équivalents. On parle d’organisations avec des budgets en millions et accès aux meilleurs chercheurs en IA.

2. Que la divulgation publique accélère l’adoption côté défense. En réalité, la majorité des entreprises n’auront pas accès à Mythos demain matin. Le déploiement prend du temps, nécessite des processus, des formations. Pendant ce temps, l’information est disponible pour tout le monde.

Ce qu’Anthropic aurait dû faire différemment

À mon avis, une meilleure approche aurait été :

1. Déployer silencieusement Mythos sur les projets critiques open-source pendant 6-12 mois
2. Travailler avec les mainteneurs pour patcher les vulnérabilités découvertes
3. Mesurer l’impact réel : combien de CVE critiques évitées ?
4. Puis seulement annoncer publiquement avec des résultats concrets

Cette approche aurait donné une longueur d’avance réelle aux défenseurs, pas juste une annonce marketing.

L’impact sur la valorisation d’Anthropic

Il faut aussi parler de l’éléphant dans la pièce : The Information mentionne que la croissance du revenu d’Anthropic suggère qu’OpenAI serait surévalué. Dans ce contexte, l’annonce de Mythos est aussi un signal aux investisseurs : « regardez, on ne fait pas que de l’IA générique, on a des applications verticales à haute valeur ajoutée ».

La cybersécurité est un marché énorme, et Anthropic vient de planter son drapeau dessus. C’est stratégique pour leur prochaine levée de fonds, pour justifier leur valorisation face à OpenAI, pour montrer qu’ils ont une vision au-delà du chatbot conversationnel.

Je comprends la logique business. Mais elle ne devrait pas primer sur les considérations de sécurité réelles.

Ce que vous pouvez faire dès maintenant

En attendant que Mythos soit accessible (si jamais il l’est pour le grand public), voici ce qui change concrètement pour vous :

Si vous maintenez du code critique :

• Anticipez que vos vulnérabilités seront découvertes plus rapidement, par tout le monde
• Renforcez vos processus de response aux incidents de sécurité
• Réduisez le délai entre découverte et patch de semaines à jours

Si vous développez des applications :

• Utilisez dès maintenant Claude (ou d’autres modèles) pour des audits de code basiques. Voici un prompt que j’utilise quotidiennement :

Analyse ce code pour des vulnérabilités de sécurité potentielles.
Focus sur : injection, race conditions, gestion mémoire, validation input.

[votre code]

Pour chaque vulnérabilité :
- Décris l'exploitabilité
- Propose un fix concret
- Évalue la criticité (Low/Medium/High/Critical)

Ce n’est pas Mythos, mais Claude 3.5 Sonnet est déjà très capable de repérer des patterns de vulnérabilités classiques.

Si vous êtes CISO ou responsable sécurité :

• Intégrez dans votre threat model que les attaquants auront bientôt (s’ils ne les ont pas déjà) des outils d’audit automatisés par IA
• Ré-évaluez vos SLA de patching : ce qui était acceptable en 30 jours ne le sera bientôt plus
• Préparez votre équipe à gérer un volume potentiellement plus élevé de tentatives d’exploitation

Le vrai enjeu : la course à l’armement IA

Au final, Mythos n’est qu’un symptôme d’un problème plus large : l’IA devient une arme à double tranchant dans la cybersécurité, et l’industrie n’a pas encore trouvé le bon équilibre entre transparence et responsabilité.

Anthropic a raison sur un point : ignorer le problème ne le fera pas disparaître. Les capacités d’audit automatisé par IA existent, vont se développer, et seront utilisées par les deux camps.

Mais l’annonce publique avec fanfare me semble prématurée. On aurait pu avoir 12 mois de travail silencieux qui auraient vraiment fait la différence pour la sécurité des infrastructures critiques.

À la place, on a une annonce qui va accélérer la course à l’armement, et je ne suis pas convaincu que les défenseurs en sortiront gagnants.

Et vous, qu’en pensez-vous ? Est-ce que la transparence d’Anthropic sur Mythos est une bonne chose, ou aurait-il fallu garder cette capacité plus discrète ? Partagez votre expérience si vous utilisez déjà Claude pour des audits de sécurité — j’aimerais connaître vos cas d’usage concrets.