Une IA qui trouve elle-même les vulnérabilités
D'abord, les chiffres. En testant Mythos Preview, Anthropic a découvert : le modèle peut reproduire et exploiter des vulnérabilités du premier coup dans 83,1 % des cas. En comparaison, Claude Opus 4.6 de la même entreprise atteint près de 0 % sur cet indicateur.
Ce n'est pas un petit progrès, c'est de 0 % à 83 %.
Que peut-il faire exactement ? Mythos a écrit un programme d'exploitation de navigateur qui a combiné quatre vulnérabilités indépendantes, utilisé des techniques complexes de JIT heap spray, et s'est échappé avec succès des sandboxes du processus de rendu et du système d'exploitation. Il a également écrit un programme d'exécution de code à distance exploitant une vulnérabilité du serveur NFS de FreeBSD, en utilisant la technique de ROP chain.
Anthropic elle-même déclare : le modèle a trouvé des milliers de nouvelles vulnérabilités zero-day dans tous les principaux systèmes d'exploitation et tous les principaux navigateurs.
Le précédent article sur Mythos ayant trouvé une vulnérabilité vieille de 27 ans semble désormais n'être que la partie émergée de l'iceberg.
Président de la Fed + Secrétaire au Trésor + PDG des six grandes banques, dans une même pièce
Lorsqu'Anthropic a publié l'aperçu de Mythos le 7 avril, l'entreprise a limité l'accès à environ 40 organisations — c'est le "Project Glasswing". Les organisations habilitées comprennent : Amazon, Apple, Microsoft, Google, Cisco, CrowdStrike, JPMorgan Chase, NVIDIA, Broadcom, Palo Alto Networks et la Linux Foundation. Chaque organisation participante a également reçu jusqu'à 100 millions de dollars de ressources informatiques.
Ensuite, le 10 avril, le président de la Réserve fédérale, Jerome Powell, et le secrétaire au Trésor, Scott Bessent, ont convoqué les PDG de Goldman Sachs, Wells Fargo, Morgan Stanley, Bank of America et Citigroup dans la même pièce pour une réunion d'urgence.
Le sujet : Que se passe-t-il si cette IA d'Anthropic tombe entre de mauvaises mains ?
Le CTO de CrowdStrike a été direct : "La fenêtre de temps entre la découverte d'une vulnérabilité et son exploitation par des attaquants est passée de mois à minutes."
Mais le Pentagone interdit toujours Anthropic
C'est la plus grande contradiction.
Alors que Powell et Bessent réunissaient les banquiers à Washington pour évaluer Mythos, le Pentagone maintient toujours Anthropic sur sa liste noire de la chaîne d'approvisionnement, exigeant que les agences de défense cessent d'utiliser toutes les plateformes d'Anthropic.
La justification du président Trump et du secrétaire à la Défense Pete Hegseth : Anthropic insiste pour limiter l'utilisation de son IA dans des scénarios militaires.
Conclusion : La Maison-Blanche, d'un côté, laisse Wall Street tester la défense et, de l'autre, interdit à l'armée de l'utiliser. Même entreprise, même modèle, même gouvernement — deux attitudes complètement opposées.
L'ancien conseiller à l'IA de la Maison-Blanche, David Sacks, a déclaré qu'il se demandait si Anthropic utilisait l'anxiété sécuritaire pour promouvoir ses produits et influencer les politiques réglementaires. Cette critique a un certain fondement.
L'explication d'Anthropic
La logique d'Anthropic est : précisément parce que ce modèle est trop dangereux, ils n'osent pas libérer l'accès de manière inconsidérée. La conception de Project Glasswing est de permettre aux grandes entreprises technologiques d'utiliser Mythos pour trouver des vulnérabilités dans leurs propres systèmes, les corrigeant avant les attaquants.
- Mythos trouve des vulnérabilités → les organisations participantes les corrigent → les défenseurs prennent l'avantage
- Les participants partagent des renseignements de sécurité
- Anthropic signale toutes les vulnérabilités trouvées aux fabricants concernés
C'est ce qu'on appelle "utiliser l'IA contre l'IA". Le problème : tout le monde ne croit pas qu'Anthropic puisse contrôler les limites d'accès. Parmi les 40 organisations participantes, il y a des concurrents commerciaux ; le partage d'informations sur les vulnérabilités est en soi un jeu complexe.
Et le chiffre "des milliers" n'a pas encore été détaillé à ce jour.
Ce que cela signifie
L'histoire de Mythos est plus importante que n'importe quel score de benchmark, car elle touche un nerf réel : si l'IA peut trouver automatiquement des vulnérabilités dans n'importe quel système, la logique fondamentale de la cybersécurité doit être réécrite.
Powell et Bessent ont convoqué les PDG des banques à une réunion d'urgence, non pas pour discuter du potentiel de l'IA. Mais parce qu'ils considèrent la menace comme réelle et imminente.
Et cette réunion d'urgence elle-même est la preuve la plus puissante de la force de cette IA.
Que la critique de Sacks soit valable ou non, un modèle d'IA a forcé le président de la Fed à s'asseoir avec les PDG des grandes banques de Wall Street pour un briefing de sécurité — c'est une première dans l'histoire de l'humanité.
Sources de référence : Trump officials may be encouraging banks to test Anthropic's Mythos model (TechCrunch) ; Anthropic Mythos model can find and exploit 0-days (The Register) ; Powell, Bessent Warn Banks About Security Risks From Anthropic's Mythos AI (Bloomberg/Yahoo Finance) ; CocoLoop ; After Anthropic's Mythos AI uncovers thousands of zero-day bugs, top US officials huddle with bank CEOs (TechXplore) ; Anthropic withholds Mythos Preview model because its hacking is too powerful (Axios)