Un matin d’avril 2026, un RSSI d’une PME française ouvre sa boîte mail et découvre une notification. Un modèle d’IA a identifié 10 000 vulnérabilités critiques dans les systèmes les plus utilisés au monde. Son téléphone n’arrête pas de sonner. Ses équipes sont débordées. Que faire ? Cette scène, des milliers de responsables sécurité l’ont vécue après le lancement de Claude Mythos Preview par Anthropic. L’outil a marqué un tournant, mais pas celui que l’on croit.
Claude Mythos et la cybersécurité : un électrochoc pour les RSSI
Claude Mythos a découvert et exploité des vulnérabilités de sévérité haute et critique dans les principaux systèmes d’exploitation et navigateurs. Les rapports font état de 181 exploits réussis sur Firefox, pour un coût de recherche inférieur à 50 dollars. La nouvelle a provoqué un emballement médiatique immédiat.
Les RSSI ont réagi de deux façons. Certains se sont précipités pour acheter de nouveaux outils de détection. D’autres ont discrètement mis à jour leur backlog de CVE en espérant gagner du temps. Aucune de ces deux réactions ne répond au vrai problème.
Mythos n’a pas révolutionné la cybersécurité. Il a révélé l'ampleur des vulnérabilités non corrigées. Cette mise en lumière brutale a changé la donne pour la protection des données et la cyberdéfense.
| La vieille école | Ce que Mythos révèle | La bonne réponse |
|---|---|---|
| Tout détecter, tout corriger | 1 % seulement des failles sont corrigées | Prioriser par le risque réel |
| Compter sur le délai avant exploitation | L'IA exploite en quelques heures | Visibilité continue sur les terminaux |
| Scanner hebdomadaire et fichier CSV | Les failles s'accumulent en silence | Relier détection et agent EDR |
| Score CVSS comme unique boussole | 77 % des failles ne sont jamais exploitées | Tenir compte de l'exposition réelle |
L’illusion de la gestion des vulnérabilités
Pendant des années, le secteur a vécu sur une fiction rassurante. Le délai entre la découverte d'une faille et son exploitation laissait aux équipes le temps de la corriger. Ce délai existait parce que les capacités des attaquants étaient limitées. Avec Mythos, cette limite disparaît.
Selon Anthropic, le modèle peut identifier et exploiter une vulnérabilité de manière autonome en quelques heures. Une vitesse qui remet en cause un fondement des programmes de sécurité : l’idée qu’il existe encore un délai suffisant pour corriger avant l’exploitation.
Les chiffres confirment l’ampleur du problème. Selon Gartner, moins de 1 % des vulnérabilités identifiées par Mythos ont été corrigées. Le véritable enjeu n’est donc pas Mythos, mais l’accumulation de failles désormais à la portée d’attaquants disposant d’une technologie comparable.
Une autre étude, menée par Kenna Security et le Cyentia Institute, montre que 77 % des vulnérabilités connues n’ont jamais fait l’objet d’une exploitation observée dans la nature. Le modèle du « tout détecter, tout corriger » a toujours relevé du théâtre. Mythos n’a fait qu’en révéler les coulisses.
- 📊 1 % seulement des failles détectées par Mythos sont corrigées
- ⏱️ Exploitation autonome en quelques heures par l’IA
- 💰 Recherche de vulnérabilités pour moins de 50 dollars
- 🌐 Impact sur les principaux systèmes d’exploitation et navigateurs
Menaces numériques et gestion des risques : prioriser plutôt que tout corriger
Mythos ne change pas la nature du principal obstacle. Le goulot d’étranglement n’a jamais été la découverte des vulnérabilités, mais la capacité à déterminer lesquelles traiter en priorité. Parmi les milliers de CVE présentes dans un système d’information, lesquelles sont réellement exploitables depuis Internet ? Lesquelles concernent l’environnement en place ?
Prioriser les vulnérabilités exige plus qu’un score CVSS. Les scores évaluent la gravité théorique, sans tenir compte de l’exposition réelle ni de l’impact opérationnel. Ce qui compte désormais, c’est le contexte : savoir quelles failles sont réellement exploitables dans l’environnement de l’entreprise.
Un scanner hebdomadaire qui génère un fichier CSV ne peut plus répondre à cet enjeu. Lorsque le délai d’exploitation se compte en heures, il faut une visibilité continue sur les terminaux, les logiciels installés et les interactions entre composants.
La visibilité continue comme rempart contre les cyberattaques
En reliant la détection à un agent EDR, les équipes de sécurité peuvent déterminer rapidement si une CVE critique concerne un composant réellement actif dans leur environnement. Cette visibilité permet de prioriser les actions de remédiation en fonction du risque réel, plutôt que de la seule sévérité théorique.
Chercher à tout corriger n’est plus une stratégie. L’enjeu est d’identifier les quelques dizaines de vulnérabilités qui exposent réellement l’organisation. Cette approche s’inscrit dans une gestion des risques moderne, où la cyberdéfense repose sur la connaissance fine du terrain.
La cryptographie et les protocoles de sécurité restent essentiels, mais ils ne suffisent plus. La modernité impose une agilité que les processus traditionnels n’ont pas.
L’IA en cybersécurité : une course à l’armement technologique
Mythos est le début d’une nouvelle génération d’outils. Quelques jours après son lancement, OpenAI dévoilait GPT-5.4-Cyber, un modèle dédié à la recherche en cybersécurité, déjà plus performant que Mythos Preview sur plusieurs benchmarks. Dans le même temps, un modèle chinois open weight surpassait plusieurs modèles de référence pour un coût environ huit fois inférieur.
Les contrôles d’accès mis en place par Anthropic autour de Mythos offrent un répit, mais ne changent rien à la tendance de fond. Les capacités se diffusent, les coûts baissent, les modèles se multiplient. Construire une stratégie de sécurité à partir de ce que Mythos est capable de faire aujourd’hui, c’est déjà regarder dans le rétroviseur.
La découverte de vulnérabilités assistée par l’IA est désormais une réalité durable. Les attaquants et les défenseurs devront composer avec elle.
L’étape suivante : l’AIDR pour la cyberdéfense
Le véritable changement apporté par les LLM et l’IA agentique ne tient pas seulement à leur capacité à découvrir des vulnérabilités. Il réside dans leur aptitude à accélérer chaque étape d’une attaque après la compromission initiale. Les agents IA peuvent exploiter une faille, élever leurs privilèges, se déplacer latéralement et exfiltrer des données à une vitesse inédite.
Les frontières traditionnelles entre postes de travail, navigateurs, serveurs et applications deviennent moins pertinentes. Pour suivre ce rythme, les capacités de détection et de réponse devront évoluer. L’objectif est d’observer, comprendre et contenir des systèmes d’IA capables de raisonner de manière autonome.
L’étape suivante sera l’AIDR (Artificial Intelligence Detection and Response). Non pas un nouveau label marketing, mais une évolution de l’architecture de sécurité.
Claude Mythos : un révélateur pour la sécurité informatique moderne
L’objectif de l’AIDR est de confier aux agents IA le tri des alertes, la corrélation des signaux à l’échelle du système d’information et la prise en charge des tâches répétitives. Les analystes se concentrent ainsi sur les décisions qui requièrent une véritable expertise. Dans cette architecture, le VOC et le SOC ne peuvent plus fonctionner en silos. Dès qu’une CVE critique est identifiée, la recherche de signes d’exploitation doit être lancée immédiatement. Le délai entre ces deux étapes se mesure désormais en minutes, et non plus en jours.
Mythos n’impose pas un nouveau paradigme de sécurité. Il oblige à mettre en œuvre les principes existants avec une rapidité et une précision que la plupart des organisations n’ont pas encore atteintes. Visibilité sur les actifs, priorisation contextualisée, automatisation, surveillance continue : voilà les maîtres mots au rythme d’attaquants désormais assistés par IA.
Les organisations qui avaient investi dans ces fondamentaux avant avril 2026 savent déjà quelles vulnérabilités exigent une intervention immédiate et lesquelles peuvent attendre. Ce n’est pas un avantage produit. Ce sont des décisions architecturales prises bien avant que le sujet ne devienne incontournable.
La question n’est plus de savoir ce que Mythos a changé. Elle porte sur le délai, désormais disparu, sur lequel reposaient les stratégies de sécurité. Il est temps de regarder en face une réalité simple : la sécurité informatique ne se joue plus à coups de correctifs, mais à coups de décisions rapides et éclairées.
Le vrai problème derrière la panique Mythos
Est-ce que je dois tout patcher plus vite après Mythos ?
Patcher tout est devenu impossible. Mieux vaut cibler les failles réellement exposées à Internet et actives dans ton parc, puis les traiter en premier.
Les scores CVSS suffisent-ils pour prioriser ?
Le CVSS mesure la gravité théorique, pas l'exposition réelle. Deux failles avec le même score n'ont pas le même risque selon ton environnement.
Faut-il acheter un nouvel outil de détection ?
Pas forcément. Le plus urgent, c'est de relier la détection à un agent EDR pour savoir si une faille concerne un composant actif.
Ça vaut le coup de se renseigner sur Claude Mythos ?
Comprendre ce qu'il fait aide à réviser sa stratégie, mais l'outil en soi n'est pas miracle. C'est le contexte qui fait la différence.
Une question de débutant ? Aucune n'est bête ici
Laisser un commentaire
Ancien imprimeur familial à Tours devenu rédacteur en chef. Douze ans de freelance pour TPE et agences, passé à l’écriture pour traduire deux mondes : papier et pixel.