En avril 2026, Mozilla a corrigé 423 failles de sécurité dans Firefox en un seul mois. Un an plus tôt, ce chiffre était de 31. Ce bond spectaculaire n'est pas le fruit d'un effort humain exceptionnel. C'est le résultat d'un accès privilégié à Claude Mythos Preview, le modèle d'IA d'Anthropic, dans le cadre du Project Glasswing, une coalition restreinte d'une cinquantaine d'organisations principalement américaines, dont les capacités offensives ont conduit Anthropic à en restreindre l'accès avant tout déploiement public.
Ce que Mythos a fait pour Firefox, il l'a fait sans se fatiguer, sans effet tunnel, sans jamais passer à côté d'un cas limite rare par manque de concentration. En quelques semaines, il a identifié 271 vulnérabilités, dont certaines dormaient dans le code depuis 15 ans. "Il est difficile de surestimer à quel point cette dynamique a changé pour nous en quelques mois.", a déclaré Brian Grinstead, distinguished engineer chez Mozilla, dans TechCrunch le 7 mai 2026. Ce n'est pas la nature des failles qui a changé. C'est la vitesse et l'échelle à laquelle elles peuvent être trouvées, et potentiellement exploitées.
Votre organisation n'est pas dans Glasswing. La question est : êtes-vous prêt pour ce qui arrive ensuite ?
Ce que Mythos change vraiment, et ce qu'il ne change pas
L'UK AI Security Institute a publié le 15 avril 2026 une évaluation indépendante du modèle. Dans des conditions contrôlées, Mythos est le premier modèle à compléter de bout en bout la simulation "The Last Ones" : 32 étapes enchaînées de la reconnaissance initiale à la prise de contrôle totale d'un réseau d'entreprise, une séquence qu'un expert humain mettrait environ 20 heures à accomplir. Taux de réussite : 3 tentatives sur 10. Coût d'une tentative : environ 65 livres sterling.
Deux nuances essentielles que la plupart des commentaires ont ignorées. Les environnements testés par l'AISI ne disposaient ni de défenses actives, ni de détection automatisée, ni d'équipe de réponse à incident. Ces résultats confirment que Mythos peut attaquer des systèmes mal défendus, pas nécessairement des réseaux durcis avec un SOC actif. Par ailleurs, plusieurs entreprises de cybersécurité ont confirmé à CNBC le 8 mai 2026 avoir reproduit des résultats comparables avec des modèles existants via une meilleure orchestration. Mythos ne crée pas la capacité offensive. Il la rend accessible à un coût sans précédent.
Le CLUSIF, association française de référence en sécurité de l'information, note dans son analyse d'avril 2026 qu'Anthropic préparerait une introduction en bourse en 2026, et qu'un effet buzz dans ce domaine serait de nature à mieux valoriser la société. Cette dimension ne disqualifie pas les résultats techniques, qui sont vérifiables et confirmés par une évaluation gouvernementale indépendante. Elle invite simplement à distinguer ce qui est documenté de ce qui est annoncé. Le Bloomsbury Intelligence and Security Institute l'a formulé le 28 avril 2026 : "Mythos change l'économie des opérations cyber. La contrainte se déplace de la détection vers la remédiation."
Le vrai problème : un fossé qui se creuse
Trouver une faille n'a jamais suffi à protéger une organisation. La gestion des vulnérabilités comporte au moins six étapes : identification, qualification, priorisation, correction, vérification, documentation. Anthropic s'est concentré dans sa communication sur la première. C'est précisément la moins problématique.
Corriger une faille dans une organisation réelle, ce n'est pas cliquer sur "mettre à jour". Il faut d'abord savoir quels systèmes sont concernés, ce qui suppose d'avoir un inventaire précis de tous les composants logiciels utilisés, leurs versions, leurs dépendances. Sans cette cartographie, appelée SBOM dans le jargon technique, on ne peut même pas savoir si une faille publiée nous concerne. Vient ensuite la priorisation : toutes les failles ne se valent pas. Les chercheurs en sécurité utilisent une échelle de 0 à 10, le score CVSS, pour noter leur gravité. Mais ce score ne tient pas compte du contexte. Une faille notée 9 sur un système isolé de l'internet est moins urgente qu'une faille notée 6 sur une interface accessible à tous vos clients, typiquement votre portail client, votre application mobile ou votre espace partenaires. C'est l'exposition réelle qui compte, pas le score brut.
Le résultat de cette complexité est documenté : les organisations ne corrigent en moyenne que 5 à 20% de leurs vulnérabilités ouvertes par mois. Le délai médian de correction pour une faille critique dépasse 60 jours. Avec plus de 40 000 failles répertoriées dans le registre mondial CVE, qui recense et identifie publiquement chaque vulnérabilité connue, en 2024 selon le NIST, la capacité de correction était déjà saturée avant que Mythos n'arrive.
Muhammad Yahya Patel, conseiller cybersécurité EMEA chez Huntress, a été direct dans Computing.co.uk le 15 avril 2026 : "Les capacités cyber offensives des modèles IA de pointe doublent tous les quatre mois. La fenêtre pour mettre les défenses en ordre se referme plus vite que quiconque ne l'anticipait."
Ce que cela signifie pour les entités régulées
Le CLUSIF pointe dans la même analyse le risque d'une cybersécurité à deux vitesses : d'un côté les organisations qui intègrent l'IA dans leurs pratiques défensives, de l'autre celles qui attendent et s'exposent à une fenêtre de vulnérabilité qui s'élargit pendant qu'elles hésitent.
Pour les entités régulées, les obligations existaient avant Mythos. L'article 21 de NIS2 impose une gestion continue des vulnérabilités. DORA impose des tests de résilience pour les entités financières. En 2025, 48% des attaques par rançongiciel ont visé des organisations de taille intermédiaire selon l'ANSSI. Ce que Mythos change, c'est le coût du non-respect de ces obligations : une fenêtre de correction de 60 jours sur une faille critique, dans un environnement où l'exploitation autonome est accessible pour le prix d'un déjeuner, devient une exposition que ni un auditeur NIS2 ni un contrôleur DORA n'ignorera.
Le Campus Cyber, dans sa note du 7 mai 2026 issue de consultations avec des DSI, RSSI et auditeurs français, formule le scénario le plus préoccupant : l'arrivée à très court terme d'un modèle en accès large capable de lancer une campagne mondiale de découverte de failles dans des millions de systèmes critiques, sans que les correctifs soient disponibles au même rythme. Des modèles IA de pointe open source aux capacités équivalentes sont jugés plausibles d'ici fin 2026.
Quatre actions concrètes
- Savoir ce que vous utilisez. Établissez la liste précise de vos composants logiciels critiques : tout ce qui touche à l'authentification, aux données clients, aux flux financiers et à la continuité de service. Votre ERP, votre système de gestion des identités, vos interfaces bancaires, vos outils de messagerie. Sans cette liste, vous ne pouvez pas savoir si une faille publiée vous concerne.
- Prioriser en fonction de votre exposition réelle. Concentrez vos ressources sur les failles qui touchent vos interfaces exposées à l'extérieur, portails clients, applications mobiles, espaces partenaires, avant celles qui concernent des systèmes internes isolés, même si leur score de gravité brut est plus élevé.
- Testez votre capacité d'absorption. Simulez une vague de corrections simultanées sur une dizaine de composants critiques. L'objectif est d'identifier vos goulots d'étranglement avant qu'ils se manifestent sous pression réelle. C'est la recommandation centrale du Campus Cyber dans sa note de mai 2026.
- Mettre en place une veille en temps réel. Configurez une alerte automatique sur les nouvelles failles publiées dans le registre CVE pour vos composants critiques, avec escalade immédiate vers le RSSI sur celles exploitables à distance. Le délai entre publication d'une faille et tentative d'exploitation se compte désormais en heures, pas en semaines.
Ce que votre organisation devrait retenir
Mythos n'a pas créé le problème. Il a supprimé le délai qui vous protégeait encore. La vraie question pour un dirigeant n'est pas technique : c'est l'écart entre la vitesse à laquelle vos failles peuvent être trouvées et exploitées, et la vitesse à laquelle votre organisation peut les corriger. Les entités régulées qui auront cartographié leurs dépendances, accéléré leur patch management et testé leur capacité de réponse seront celles qui auront compris que la menace n'est pas dans le modèle. Elle est dans cet écart.
Sources : Mozilla et Anthropic, données Firefox, mai 2026. Brian Grinstead, TechCrunch, 7 mai 2026. UK AI Security Institute, évaluation Claude Mythos Preview, 15 avril 2026. Bloomsbury Intelligence and Security Institute, analyse Mythos, 28 avril 2026. CNBC, mai 2026. Muhammad Yahya Patel, Huntress, Computing.co.uk, 15 avril 2026. Campus Cyber, note d'analyse Mythos, 7 mai 2026. CLUSIF, analyse Mythos, avril 2026. ANSSI, Panorama de la cybermenace 2025. NIST, registre CVE 2024.
Stroople accompagne les entités régulées dans la gestion de leur risque cyber, de la surveillance de surface d'attaque à la gouvernance RSSI externalisée. Labellisé Expert Cyber Cybermalveillance.gouv.fr.
Partager :
Gestion de la surface d'attaque externe
Anticipez les attaques. Découvrez ce que les cybercriminels savent déjà sur vous.
des violations de données réussies débutent sur des actifs exposés sur Internet.
