Veille IA // Jeudi 24 avril 2026 // Strasbourg

Un modèle d’IA capable de pirater Firefox, contourner les sandboxes d’un navigateur, et débusquer un bug vieux de 27 ans dans OpenBSD — de façon autonome, avec peu d’intervention humaine. Bienvenue dans l’ère Mythos.

Un modèle hors catégorie

Anthropic vient de lever le voile sur Claude Mythos Preview, un modèle encore en accès restreint qui marque, selon ses concepteurs eux-mêmes, un tournant dans les capacités des IA appliquées à la cybersécurité. Le constat est brutal : les modèles de langage ont désormais atteint un niveau de maîtrise du code tel qu’ils surpassent tous les humains, sauf les plus experts, dans la détection et l’exploitation de failles informatiques.

Les chiffres donnent le vertige. Lors d’un exercice interne, Mythos a identifié 271 vulnérabilités inconnues dans le seul navigateur Firefox. Il a trouvé un bug de débordement d’entiers signé vieux de 27 ans dans OpenBSD — un OS réputé pour son niveau de sécurité exceptionnel. Là où Claude Opus 4.6 n’arrivait à exploiter pratiquement aucune vulnérabilité identifiée, Mythos a développé des exploits fonctionnels 181 fois sur plusieurs centaines de tentatives contre le moteur JavaScript de Firefox. La différence de performance n’est pas graduelle — elle est d’un autre ordre de grandeur.

Techniquement, le modèle est capable de chaîner plusieurs vulnérabilités en une seule attaque. Dans un cas documenté, il a construit un exploit de navigateur assemblant quatre failles distinctes, réalisant ce que les experts appellent un JIT heap spray — une technique sophistiquée permettant de s’échapper à la fois du bac à sable du navigateur et de celui du système d’exploitation. Ce type d’exploit, normalement réservé à une poignée d’attaquants d’État de haut niveau, Mythos le génère de façon autonome.

Anthropic à la Maison-Blanche

Le 17 avril 2026, le PDG d’Anthropic rencontrait Susie Wiles, cheffe de cabinet de Donald Trump, dans ce que la Maison-Blanche a qualifié de réunion « introductoire, productive et constructive. » L’ordre du jour : comprendre les implications sécuritaires de Mythos, et discuter de pistes de collaboration.

Cette rencontre s’inscrit dans un contexte pour le moins tendu. L’administration Trump avait annoncé quelques semaines plus tôt vouloir couper les ponts avec Anthropic, après que l’entreprise ait refusé d’autoriser l’armée américaine à utiliser Claude pour « toutes finalités légales » — une formulation englobant les armes autonomes et la surveillance de masse. Un tribunal fédéral californien a depuis bloqué cette tentative de représailles. Mais voilà que Mythos rebat les cartes : le gouvernement ne peut plus se permettre d’ignorer l’entreprise dont il voulait se débarrasser.

Réservé aux géants, fermé au reste

Anthropic ne rendra pas Mythos disponible au grand public, du moins pas dans sa version actuelle. La distribution initiale, encadrée par le projet Glasswing, est réservée à un groupe restreint de partenaires : Microsoft, Google, Apple, Amazon Web Services, JPMorgan Chase et Nvidia.

Traduction : les entités qui ont accès à cet outil de sécurité offensif parmi les plus puissants jamais développés sont précisément les plus grandes entreprises technologiques et financières de la planète. Aucune PME. Aucun organisme gouvernemental européen. Aucune instance de régulation indépendante. Le Royaume-Uni, via son AI Safety Institute, a conduit une évaluation des capacités cyber du modèle — ce qui constitue au moins un début d’oversight externe. Mais à l’échelle du risque potentiel, c’est peu.

Ce qui interroge ici

Anthropic mérite d’être salué pour sa transparence inhabituelle : publier en détail les capacités d’un modèle aussi sensible, alerter sur les risques, refuser d’armer les armées — tout cela tranche avec les pratiques d’opacité de ses concurrents. Ce n’est pas rien.

Mais l’existence même de Mythos pose une question que ni Anthropic, ni la Maison-Blanche, ni les régulateurs ne semblent encore avoir résolue : qui décide qu’une capacité d’IA est trop dangereuse pour être déployée ? Et à qui appartient cette décision ? Historiquement, la réponse à ces questions pour les technologies à double usage — nucléaire, biologique, chimique — a nécessité des décennies de négociations multilatérales et des institutions internationales dédiées. Là, on parle d’un modèle développé en quelques années, par une entreprise privée, déployé en priorité chez d’autres entreprises privées.

Experts et institutions alertent que Mythos peut identifier et exploiter des failles plus vite que les équipes de sécurité ne peuvent les corriger. C’est précisément le genre de déséquilibre structurel — entre ceux qui attaquent et ceux qui défendent — qui devrait appeler une réponse collective. Pas seulement une réunion à la Maison-Blanche.

Glossaire express

Sources