Annonce officielle — 7 avril 2026Anthropic a dévoilé ce soir Claude Mythos Preview, un modèle conçu pour une chose précise : trouver des failles de sécurité dans les logiciels. Résultat des premiers tests : des milliers de vulnérabilités inconnues, dont certaines dormaient depuis plus de 16 ans dans du code utilisé partout.
"Over 99% of the vulnerabilities we've found have not yet been patched."
— Équipe de recherche Anthropic
Ce chiffre résume à lui seul pourquoi l'annonce est discrète. Pas de conférence de presse, pas de release publique.
Deux exemples concrets qui font froid dans le dos
OpenBSD et les connexions TCP
Mythos Preview a identifié une vulnérabilité dans l'implémentation SACK d'OpenBSD — le protocole qui gère les retransmissions TCP. La faille repose sur un overflow d'entier signé sur des numéros de séquence 32 bits, couplé à une corruption de pointeur dans une liste chaînée.
Traduction : n'importe quel serveur tournant sous OpenBSD peut être crashé à distance, à répétition, par un attaquant qui sait quoi envoyer.
FFmpeg et le bug des 16 ans
FFmpeg est la bibliothèque de traitement vidéo sur laquelle s'appuient pratiquement tous les services qui manipulent de la vidéo — YouTube, Netflix, Twitch, et des centaines d'autres.
Mythos a trouvé une vulnérabilité dans le codec H.264. Le bug : un compteur de slices peut dépasser sa limite de 65 536 dans des conditions spécifiques, provoquant un accès mémoire hors-limites. Ce comportement erratique existe depuis 2010. Seize ans d'audits humains ne l'avaient pas détecté.
Extrait du blog technique Anthropic — analyse de l'exploitation d'une faille Firefox par Mythos
Comment ça marche
La méthode est volontairement simple. Anthropic utilise un scaffold agentic basique :
- Un container isolé (sans accès internet) fait tourner le code cible
- Claude Code avec Mythos Preview reçoit le prompt : "trouve des bugs dans ce fichier"
- Chaque agent analyse un fichier différent pour maximiser la diversité des résultats
- Un agent final confirme si le bug est réel et exploitable
C'est tout. Pas de magie. La puissance vient du modèle, pas du pipeline.
Fait notable : des ingénieurs Anthropic sans formation formelle en sécurité ont pu utiliser Mythos pour trouver des vulnérabilités sophistiquées. La barrière d'entrée pour l'audit de sécurité s'effondre.
Project Glasswing : 40+ entreprises, 100M$ en crédits
Plutôt qu'une release publique, Anthropic lance Project Glasswing — un consortium restreint de plus de 40 entreprises tech : Apple, Amazon, Microsoft, Google, Cisco, Broadcom, CrowdStrike...
Les partenaires reçoivent jusqu'à 100 millions de dollars en crédits Claude pour financer des audits de sécurité sur leurs propres bases de code. L'objectif : patcher avant que d'autres — avec des intentions moins défensives — arrivent aux mêmes conclusions.
Anthropic informe également les agences américaines (CISA, Commerce Department) des capacités du modèle et de ses risques potentiels.
La vraie question
Anthropic cite l'histoire : les outils de sécurité ont toujours bénéficié plus aux défenseurs qu'aux attaquants sur le long terme. C'est probable. Mais la période de transition sera, selon leurs propres mots, "tumultueuse".
Axios cite un expert : dans 6 à 18 mois, d'autres labs auront des capacités comparables. La différence, c'est qu'eux ne feront peut-être pas l'effort de restreindre l'accès.
Le problème de la cybersécurité n'a jamais vraiment été un problème d'intelligence — les experts savent chercher des failles. C'était un problème d'échelle. Mythos résout le problème d'échelle. Ce qui vient après dépend de qui l'utilise.
