Anthropic a annoncé Project Glasswing et dévoilé Claude Mythos Preview, un modèle expérimental non commercialisé capable de découvrir et d’exploiter des failles de sécurité avec un degré élevé d’autonomie. Les résultats publiés signalent une accélération nette des capacités offensives et défensives appliquées au logiciel.
Une rupture de niveau, pas une évolution progressive
Depuis plusieurs années, les modèles de langage progressent dans leur capacité à lire et à raisonner sur du code. Les résultats communiqués pour Mythos Preview marquent un seuil qualitatif : le taux d’exploits fonctionnels augmente fortement par rapport aux modèles précédents évalués par Anthropic.
Ce qui rend ce basculement significatif, c’est que ces capacités offensives n’ont pas été programmées comme une fonction isolée. Elles émergent des progrès généraux du modèle en raisonnement et en codage. Les prochains modèles généralistes pourraient donc hériter de capacités comparables.
Des failles anciennes découvertes rapidement
Parmi les cas documentés figurent des vulnérabilités anciennes dans OpenBSD et FFmpeg, demeurées invisibles aux chaînes d’analyse automatisée antérieures. Des ingénieurs non spécialistes de la sécurité ont également obtenu des résultats exploitables en confiant au modèle une recherche autonome pendant plusieurs heures.
La conséquence structurelle est claire : la barrière à l’entrée pour conduire des recherches de vulnérabilités sophistiquées baisse. Cette évolution bénéficie aux défenseurs, mais elle réduit aussi le temps disponible entre découverte, divulgation et exploitation.
La course défense-attaque bascule
Project Glasswing associe des partenaires industriels utilisant le modèle pour analyser des logiciels critiques. L’histoire des technologies offensives invite néanmoins à la prudence : une capacité disponible aujourd’hui dans un environnement contrôlé peut demain devenir accessible à des acteurs malveillants. La fenêtre de correction tend alors à se réduire.
Ce que les organisations doivent changer maintenant
Trois impératifs s’imposent. Le premier : raccourcir les cycles de correctifs en fonction du risque réel. Le deuxième : évaluer les outils de recherche de vulnérabilités assistée par IA dans un cadre autorisé, isolé et supervisé. Le troisième : adapter la gouvernance — politiques de divulgation, plans de réponse aux incidents et attribution des responsabilités — à cette nouvelle vitesse.
L’IA comme force structurelle de la sécurité
L’analogie avec les fuzzers est éclairante. Des projets comme OSS-Fuzz protègent déjà des milliers de logiciels open source en continu. Les modèles de langage pourraient suivre une trajectoire comparable, en élargissant les formes de raisonnement automatisé applicables au code.
La sécurité logicielle entre ainsi dans une phase d’industrialisation pilotée par des agents capables de travailler à une échelle et une vitesse hors de portée d’une équipe humaine seule. Les organisations qui s’y préparent pourront mieux encadrer cette capacité au lieu de la subir.