Claude Mythos et cybersécurité : le vrai impact se joue dans la gestion des vulnérabilités

En bref. Claude Mythos ne révolutionne pas la découverte des vulnérabilités : il la rend plus accessible et sait relier entre elles des failles mineures pour en faire des chemins d’attaque. Le défi de la gestion des vulnérabilités n’est donc plus de trouver les failles, mais de décider lesquelles corriger. En cybersécurité, l’avantage se jouera désormais dans l’arbitrage des risques.

L’annonce de Claude Mythos, puis de sa version bridée Fable 5 par Anthropic, a immédiatement suscité les commentaires habituels : une nouvelle génération de modèles d’intelligence artificielle capables de découvrir des vulnérabilités plus vite, d’explorer des chemins d’attaque plus complexes et de renforcer l’avantage des attaquants.

Pour rappel, Claude Mythos est un modèle d’IA présenté par Anthropic en avril 2026 avec le Project Glasswing. Selon Anthropic, ce type de modèle a atteint un niveau de programmation qui lui permet de surpasser presque tous les humains, hormis les plus experts, pour trouver et exploiter des failles logicielles ; l’entreprise ne prévoit donc pas de le rendre accessible au grand public (Anthropic, Project Glasswing). Fable 5 intègre, toujours selon Anthropic, des garde-fous qui réduisent fortement le risque d’utilisation malveillante en cybersécurité (Anthropic).

Mais ce n’est pas là que se situe la véritable rupture.

Les modèles évolueront encore. Ils seront bientôt plus rapides, plus autonomes et plus performants. Cette trajectoire est désormais attendue. En revanche, ce que Mythos révèle est beaucoup plus profond : le véritable point de rupture n’est plus la capacité à découvrir des vulnérabilités, mais notre capacité à décider lesquelles traiter.

Pendant des années, la gestion des vulnérabilités reposait sur une hypothèse implicite : le principal défi consistait à identifier les failles. L’intelligence artificielle fait aujourd’hui voler cette hypothèse en éclats. La découverte n’est plus le facteur limitant. La décision devient le véritable goulot d’étranglement.

C’est probablement là que se jouera la prochaine étape de la cybersécurité.

Claude Mythos : tout le monde en parle, mais la révolution est ailleurs

Il serait tentant de résumer l’arrivée de Mythos à une nouvelle accélération de la course entre attaquants et défenseurs. Les premiers disposeraient désormais d’un outil leur permettant d’explorer des surfaces d’attaque à une vitesse inédite, tandis que les seconds seraient condamnés à courir derrière.

Cette lecture est séduisante, mais incomplète.

Les générations précédentes de modèles étaient déjà capables de produire du code, d’explorer des scénarios d’exploitation ou de contourner certaines protections. La nouveauté n’est pas tant dans les capacités que dans leur accessibilité. Là où il fallait auparavant de solides compétences techniques pour construire une chaîne d’exploitation, l’IA permet désormais d’orchestrer beaucoup plus facilement des raisonnements complexes.

Autrement dit, Mythos démocratise davantage qu’il ne révolutionne.

Or, cette démocratisation produit un effet beaucoup plus important que l’amélioration des performances du modèle lui-même.

Modèles frontier : Mythos n’est pas un cas isolé

Mythos et Fable 5 s’inscrivent dans une tendance plus large, celle des modèles frontier. Un modèle frontier est un modèle d’IA de pointe, situé parmi les plus performants de sa génération. Il se distingue notamment par ses capacités de raisonnement, de programmation, de compréhension multimodale (texte, image, audio, vidéo), d’utilisation d’outils et, de plus en plus, d’exécution de tâches complexes de manière autonome.

Parmi les modèles récents : OpenAI avec GPT-6 (GPT6 Astra, GPT6.1 Sol, GPT-6 Sol et Luna) ; Anthropic avec Claude (Claude Fable 5, Claude Opus 4.8, Claude Sonnet 5, Claude Mythos 5) ; Google DeepMind avec Gemini (Gemini 4 Argon, Gemini 3.8 Flash, Gemini Omni 1.1 Flash).

Le changement ne se limite plus à produire de meilleures réponses. Ces modèles cherchent désormais à raisonner plus longtemps sur les problèmes difficiles, à agir sur un ordinateur, à travailler en mode agentique et à améliorer leur rapport performance/coût, essentiel pour un déploiement en entreprise. En cybersécurité, ces progrès sont particulièrement importants pour analyser des incidents, corréler des signaux, rechercher des vulnérabilités et assister les équipes SOC. Cela ne signifie pas pour autant qu’un modèle généraliste est adapté à un usage de cybersécurité sans contrôles ni validation.

Cette réalité est au cœur du concept de Frontier Model Exposure, que le Decision Center de Gatewatcher met en avant : lorsque les attaques se propagent en quelques minutes, les signaux s’accumulent vite et le temps d’investigation devient critique. Le passage de la détection à la décision est détaillé dans la ressource « De la détection à la décision ».

Le vrai changement : les petites vulnérabilités deviennent des chemins d’attaque

La plupart des organisations vivent déjà avec des centaines, parfois des milliers de vulnérabilités. Certaines sont connues depuis longtemps. D’autres sont considérées comme mineures. Beaucoup ne seront jamais exploitées isolément et les équipes sécurité apprennent à vivre avec ce risque, faute de pouvoir tout corriger.

Jusqu’à présent, cette stratégie restait relativement soutenable parce que construire une chaîne d’exploitation complète demandait du temps, des compétences et une bonne connaissance du système d’information.

C’est précisément cet équilibre que Mythos remet en question.

Le problème n’est pas qu’il découvre davantage de vulnérabilités. Le problème est qu’il est capable de relier entre elles des faiblesses qui, prises individuellement, semblaient anodines.

Une permission excessive ici, une configuration imparfaite là, un service oublié, une dépendance logicielle non corrigée : aucune de ces vulnérabilités n’est nécessairement critique seule. Ensemble, elles peuvent pourtant dessiner un chemin crédible jusqu’à un actif sensible.

Un chemin d’attaque désigne justement cet enchaînement : plusieurs faiblesses exploitées l’une après l’autre pour atteindre une cible de valeur.

La rupture n’est donc pas quantitative, elle est structurelle.

Nous passons d’un monde où l’on évaluait principalement les vulnérabilités une par une à un monde où leur combinaison devient le véritable risque.

Ce que Mythos révèle : la crise de la gestion des vulnérabilités

En réalité, Mythos ne crée pas cette situation. Il révèle une faiblesse qui existait déjà.

Depuis plusieurs années, les organisations investissent massivement dans la détection : scanners, EDR, CTEM, gestion de la surface d’attaque (ASM, Attack Surface Management), outils de priorisation, renseignement sur les menaces… Elles n’ont jamais eu autant de visibilité sur leurs vulnérabilités.

En revanche, elles n’ont jamais eu autant de difficultés à décider lesquelles corriger. Car une vulnérabilité ne se traite jamais dans le vide. Corriger une faiblesse, ce que l’on appelle la gestion des correctifs ou patch management, peut interrompre une application métier, nécessiter une fenêtre de maintenance, mobiliser plusieurs équipes, créer un risque opérationnel ou remettre en cause des arbitrages budgétaires.

Le véritable problème n’est donc plus de savoir qu’une vulnérabilité existe. Il est de déterminer si elle mérite d’être traitée maintenant, compte tenu de ce qu’elle permet réellement à un attaquant. La gestion des vulnérabilités cesse progressivement d’être un exercice d’inventaire pour devenir un exercice de décision.

Qu’est-ce que le CTEM ?

Le CTEM (Continuous Threat Exposure Management, ou gestion continue de l’exposition aux menaces) est une démarche formalisée par le cabinet Gartner. Gartner la décrit comme une approche pragmatique et systématique pour évaluer en continu l’accessibilité, l’exposition et l’exploitabilité des actifs numériques et physiques d’une organisation (Gartner, 2024).

Un programme CTEM se déroule en cinq étapes, répétées en boucle (IBM) :

Cadrage : définir le périmètre, les actifs critiques pour le métier et leur surface d’attaque.
Découverte : identifier en continu les vulnérabilités et les chemins d’attaque possibles sur ce périmètre.
Priorisation : décider quelles menaces traiter selon l’exploitabilité, la criticité, le contexte et le renseignement sur les menaces.
Validation : vérifier par des tests ou des attaques simulées que les vulnérabilités sont réellement exploitables.
Mobilisation : faire exécuter les corrections par les équipes concernées, dans leurs processus habituels.

Le CTEM place donc lui-même la priorisation et la décision au cœur de la démarche. C’est un signe que le marché bute déjà sur le constat de cette chronique : la visibilité progresse plus vite que la capacité à arbitrer.

De la détection à l’arbitrage : prioriser les vulnérabilités réellement exploitables

Cette évolution modifie profondément le rôle des équipes de sécurité. Pendant longtemps, leur performance pouvait être mesurée par leur capacité à découvrir toujours plus de vulnérabilités.

Demain, ce critère perdra progressivement de son importance. La valeur résidera dans la capacité à comprendre quelles vulnérabilités sont réellement exploitables, dans quel contexte, selon quelles chaînes d’attaque et avec quelles conséquences métiers.

Autrement dit, il faudra passer d’une logique de listes à une logique de graphes. Les listes resteront indispensables pour inventorier et piloter les actifs mais elles devront être enrichies par une compréhension des relations entre les vulnérabilités, des dépendances techniques et des chemins d’exploitation possibles.

C’est là que se joue la rencontre entre IA et cybersécurité : l’intelligence artificielle jouera un rôle majeur dans cette analyse. Elle pourra proposer des scénarios, identifier des enchaînements plausibles, rapprocher des signaux dispersés.

En revanche, elle ne prendra pas la décision. Car aucune IA ne connaît les contraintes opérationnelles, les priorités métiers ou les arbitrages stratégiques propres à chaque organisation. Elle réduira l’incertitude technique mais elle ne supprimera jamais le jugement.

La maturité cyber se jouera désormais dans la décision

Faut-il alors conclure que Mythos marque une rupture majeure ?

Oui, mais pas pour les raisons souvent avancées.

La véritable révolution n’est pas qu’il découvre davantage de vulnérabilités. Elle est qu’il révèle que les organisations sont désormais confrontées à une abondance d’informations qu’elles ne peuvent plus transformer en décisions suffisamment vite.

Le facteur limitant n’est plus la visibilité. C’est la capacité d’arbitrage.

Les organisations les plus matures ne seront donc pas celles qui détecteront le plus de vulnérabilités. Elles seront celles qui sauront identifier les quelques chaînes d’exploitation réellement dangereuses, accepter certains risques cyber, en traiter d’autres immédiatement et justifier ces décisions de manière cohérente.

La cybersécurité entre ainsi dans une nouvelle phase. Pendant vingt ans, le défi principal consistait à découvrir les vulnérabilités. Demain, le véritable avantage compétitif résidera dans la capacité à décider lesquelles comptent réellement. C’est probablement cela, plus que Mythos lui-même, qui constitue la véritable rupture.

FAQ

Qu’est-ce que Claude Mythos ?

Claude Mythos est un modèle d’intelligence artificielle d’Anthropic, présenté en avril 2026, capable de découvrir et d’exploiter des vulnérabilités logicielles à un niveau proche des meilleurs experts humains. Son accès est restreint, notamment via le Project Glasswing.

Quelle est la différence entre Claude et Mythos ?

Claude est la famille de modèles d’IA d’Anthropic. Mythos en est le niveau le plus avancé, que l’entreprise ne met pas à disposition du grand public en raison de ses capacités en cybersécurité.

Qu’est-ce qu’un modèle frontier ?

Un modèle frontier est un modèle d’IA de pointe, situé parmi les plus performants de sa génération. Il se distingue notamment par ses capacités de raisonnement, de programmation, de compréhension multimodale (texte, image, audio, vidéo), d’utilisation d’outils et, de plus en plus, d’exécution de tâches complexes de manière autonome.

Claude Mythos change-t-il la gestion des vulnérabilités ?

Oui, mais pas parce qu’il trouve plus de failles. Il rend accessible la construction de chaînes d’exploitation et relie des faiblesses mineures en chemins d’attaque. Le défi passe donc de la détection à la décision : choisir quelles vulnérabilités corriger en priorité.

Qu’est-ce que la gestion des vulnérabilités ?

C’est le processus continu par lequel une organisation identifie, évalue, priorise puis corrige ou accepte les failles de son système d’information. Face à des centaines ou des milliers de vulnérabilités, l’étape la plus difficile est aujourd’hui la priorisation.

Qu’est-ce que le CTEM en cybersécurité ?

Le CTEM (Continuous Threat Exposure Management) est une démarche formalisée par Gartner pour évaluer en continu l’exposition d’une organisation aux menaces. Elle suit cinq étapes : cadrage, découverte, priorisation, validation et mobilisation.

Pourquoi les entreprises ne corrigent-elles pas toutes leurs vulnérabilités ?

Parce qu’une correction n’est jamais neutre : elle peut interrompre une application métier, exiger une fenêtre de maintenance, mobiliser plusieurs équipes ou peser sur le budget. Les équipes doivent donc arbitrer entre les failles à traiter tout de suite et celles dont le risque peut être accepté.