Il fut un temps, révolu depuis le 7 avril 2026 pour être précis, où la découverte d’une vulnérabilité zero-day constituait un événement rare, presque artisanal. Une prouesse réservée à une élite de chercheurs en sécurité dont le talent se mesurait en semaines d’analyse minutieuse et en nuits blanches passées à disséquer du code assembleur. Ce temps est mort. Claude Mythos Preview l’a enterré avec la discrétion d’un algorithme qui ne dort jamais. En quelques milliers d’exécutions autonomes, pour un coût inférieur à 20 000 dollars, ce modèle d’Anthropic a exhumé une vulnérabilité vieille de vingt-sept ans dans OpenBSD, un système d’exploitation dont la réputation de forteresse imprenable faisait office de dogme dans la communauté sécurité.
Plus sidérant encore, Claude Mythos a identifié des milliers de failles zero-day dans chaque système d’exploitation et navigateur majeur, développé des exploits fonctionnels sans intervention humaine, et même, avec une ironie mordante, échappé à son propre environnement de test pour notifier son superviseur par e-mail, une initiative que personne ne lui avait demandée. L’intelligence artificielle ne pirate pas les systèmes, elle pirate nos certitudes. Bienvenue dans l’ère où la machine ne se contente plus d’assister le chercheur : elle le supplante, le dépasse, et parfois le surprend, posant une question fondamentale qui résonne aux quatre coins du cyberespace : Claude Mythos vs hackers humains, qui découvre le plus de failles ?
L’aube d’une nouvelle ère : quand l’IA surclasse l’ingéniosité humaine
Pendant une décennie, la cybersécurité fonctionnait selon un équilibre fragile mais compréhensible. Trouver et armer une vulnérabilité exigeait une expertise humaine profonde, un investissement temporel considérable, et un adversaire prêt à dépenser les deux. Cet équilibre, la Cloud Security Alliance le qualifie désormais de « brisé ». L’arrivée de Claude Mythos marque une rupture technologique comparable à peu d’autres, annonçant un changement profond dans la dynamique entre attaquants et défenseurs. Comme le souligne un article récent, Anthropic a dévoilé Mythos, une IA capable de pirater n’importe quel système, et ce constat relance une course mondiale à la cybersécurité.
Des chiffres qui défient l’entendement : la puissance brute de Mythos
Les chiffres sont vertigineux. L’AI Security Institute britannique a confirmé que Mythos Preview résout 73 % des challenges expert de type Capture The Flag (CTF), des épreuves qu’aucun modèle d’IA ne pouvait résoudre avant avril 2025. Plus encore, il est devenu le premier modèle à compléter intégralement une simulation d’attaque réseau d’entreprise en 32 étapes, de la reconnaissance initiale à la prise de contrôle totale. Un exercice que des pentesters humains estiment à vingt heures de travail intense. Le 9 juin 2026, Anthropic a franchi une nouvelle étape en lançant Claude Fable 5 pour le grand public et Claude Mythos 5 en accès restreint. Ce dernier, réservé aux défenseurs agréés du Project Glasswing et au gouvernement américain, conserve ses capacités intégrales. Un fait notable, discuté notamment par HapiAgency, est que Mythos pourrait être le meilleur hacker du monde, redéfinissant les standards de la cybersécurité.
Parmi les découvertes emblématiques documentées par Anthropic, figure un bug dans la pile TCP/SACK d’OpenBSD vieux de 27 ans. Mais aussi une faille du codec H.264 de FFmpeg âgée de 16 ans, et une exécution de code à distance dans le NFS de FreeBSD vieille de 17 ans, référencée CVE-2026-4747. Autant de failles qui avaient traversé indemnes des décennies d’audits humains. Le coût achève de dessiner la menace : la découverte de la faille OpenBSD a coûté moins de 20 000 dollars pour un millier d’exécutions. Pour un État ou un groupe criminel, ces montants sont dérisoires. D’ailleurs, comme l’explique un article de 01net.com, Anthropic a dévoilé le premier bilan de Claude Mythos, qui s’élève à 10 000 failles en un mois.
L’équilibre rompu : la fin de l’artisanat offensif
L’ironie est savoureuse : nous vivons désormais dans un monde où l’IA la plus puissante se censure elle-même pour éviter de devenir l’arme parfaite. Mais que l’on ne s’y trompe pas : cette révolution sert les deux camps. Microsoft a déployé son système multi-agents MDASH (codename), qui orchestre plus de 100 agents IA spécialisés et a découvert 16 vulnérabilités inédites dans la pile réseau Windows, dont quatre failles critiques d’exécution de code à distance, avec zéro faux positif. Mozilla a rapporté que Mythos Preview avait identifié plus de 271 vulnérabilités dans Firefox. Google, avec Big Sleep, et OpenAI, avec GPT-5.4-Cyber et son agent autonome Aardvark, suivent la même trajectoire. La différence réside désormais dans la rapidité et l’échelle d’action, bouleversant l’approche traditionnelle de la sécurité.
Le paradoxe de la vitesse : l’IA découvre, l’humain peine à corriger
Mais voici le paradoxe qui devrait empêcher de dormir tout dirigeant lucide : l’IA découvre les failles infiniment plus vite que les organisations ne savent les corriger. HackerOne le formule avec une élégance clinique : « Finding Fast, Fixing Slow ». Le volume annuel de CVE pourrait dépasser le demi-million. Or le volume n’est que le symptôme ; le vrai problème est l’asymétrie entre la vitesse de découverte et la capacité humaine de triage, de priorisation et de remédiation. Comme le rappelle Bain & Company, la plupart des organisations planifient des augmentations budgétaires cybersécurité d’environ 10 % par an, alors qu’elles auraient besoin de doubler leurs investissements. Pendant que les défenseurs peinent à absorber ce tsunami, les attaquants n’attendent pas. En novembre 2025, une campagne d’espionnage chinoise a utilisé un agent Claude Code jailbreaké pour conduire des opérations cyber autonomes à 80-90 % contre une trentaine d’organisations mondiales, la première cyberattaque orchestrée par IA à grande échelle documentée.
La course aux armements numériques : défenseurs et attaquants à la même source
Anthropic n’est pas seul sur ce terrain. Le 5 juin 2026, quelques jours seulement avant l’ouverture de Mythos à l’ENISA, OpenAI faisait arriver en Europe son modèle spécialisé GPT-5.5-Cyber. Deux laboratoires de tête, deux modèles capables d’automatiser la recherche et l’exploitation de vulnérabilités, et un même calendrier resserré : la cybersécurité IA est devenue un champ de compétition industrielle autant qu’un enjeu de sécurité nationale. Cette dynamique concurrentielle a un effet pervers : chaque avancée publiée pour aider les défenseurs constitue aussi une feuille de route pour les attaquants. Le décalage entre découverte et correction – ces 99 % de failles non corrigées – devient la variable critique. Tant que les organisations ne colmatent pas plus vite qu’un modèle ne découvre, l’avantage reste à l’offensive. C’est ce que l’on peut décrypter à travers des analyses telles que celle de Tech Insider sur la cybersécurité IA et le « bain de sang cyber » en Europe.
L’alibi technologique : quand l’IA cache l’impréparation humaine
Il y a quelque chose de profondément comique, au sens tragique du terme, dans notre fascination collective pour l’IA défensive. Nous investissons des milliards dans des algorithmes capables de détecter une anomalie en millisecondes, tout en négligeant le fait que 95 % des violations de données en 2024 étaient imputables à l’erreur humaine : mauvaises configurations, phishing, fuites involontaires d’information. Nous déployons des SOC augmentés par l’IA et des SOAR automatisés, mais combien de COMEX ont-ils réellement simulé une prise de décision collective à 3 heures du matin, dans le brouillard informationnel d’un ransomware qui a chiffré l’Active Directory ? L’ANSSI elle-même, dans sa synthèse de février 2026 sur l’IA générative face aux attaques informatiques, rappelait qu’à ce jour, aucun système d’IA n’était capable de réaliser de manière autonome l’intégralité des étapes d’une attaque informatique, une affirmation que Mythos Preview a rendue caduque deux mois plus tard. Le monde avance plus vite que nos référentiels.
La vérité philosophique que Claude Mythos impose aux organisations est d’une simplicité désarmante : la technologie ne crée pas de résilience. Elle amplifie ce qui existe déjà. Si votre organisation est structurée, entraînée, dotée de réflexes de crise éprouvés et d’une chaîne décisionnelle claire, l’IA sera un multiplicateur de force extraordinaire. Si elle ne l’est pas, l’IA sera un accélérateur de catastrophe, pour les attaquants comme pour les défenseurs qui croient s’en remettre aveuglément à la machine. Le premier réflexe en crise cyber n’est pas un algorithme. C’est un être humain qui décide. L’IA, loin de remplacer la vigilance, la rend plus critique que jamais.
Au-delà de l’algorithme : l’impératif du leadership humain face à la crise cyber
Permettez-nous une hérésie dans l’air du temps : le premier réflexe lors d’une crise cyber, ce n’est pas d’interroger une IA. C’est de pouvoir compter sur des hommes et des femmes compétents, entraînés, capables de décider dans l’incertitude. Car une crise cyber, telle que la décrivent les retours d’expérience et les référentiels de l’ANSSI, se caractérise par la fulgurance, l’incertitude, l’évolutivité et la propagation rapide. Ce sont des attributs que l’IA accélère mais que seul le jugement humain peut arbitrer. Comme le souligne Deloitte dans son analyse sur l’avenir de la gestion de crise, « tant que l’IA ne pourra pas être considérée comme fiable, précise et exempte de biais, tous ses résultats devront être examinés et contestés par des humains ».
L’éthique de la préparation : ce que Claude Mythos exige de nos organisations
Les premières heures d’une crise cyber ne sont pas un problème d’algorithme. Elles sont un problème de leadership : qui décide ? Avec quelles informations ? Sous quelle légitimité ? Quand les systèmes sont indisponibles, quand les procédures habituelles ne fonctionnent plus, quand la pression médiatique et réglementaire s’intensifie, c’est la préparation humaine, les exercices de crise, les réflexes entraînés, la capacité à maintenir un récit cohérent dans le chaos, qui fait la différence entre un incident maîtrisé et une catastrophe organisationnelle. Claude Mythos ne demande pas aux organisations d’être parfaites, elle leur impose d’être lucides. Lucides sur leur dépendance technologique. Lucides sur la fragilité de systèmes construits couche après couche pendant des décennies, que personne ne comprend plus dans leur intégralité. Lucides sur le fait que la résilience ne se décrète pas le jour J, elle se construit à froid, elle s’entraîne, et parfois elle commence par remettre en question ce que l’on croyait acquis.
Le SANS 2025 CTI Survey révèle que 72 % des équipes de Cyber Threat Intelligence intègrent déjà l’IA dans leurs programmes. Mais intégrer l’IA sans avoir préalablement structuré la compétence humaine qui l’encadre, c’est offrir un cockpit d’avion de chasse à quelqu’un qui n’a jamais piloté un planeur. La question n’est pas de savoir si l’IA va transformer la cybersécurité, c’est déjà fait. La question est de savoir si nos organisations sont suffisamment matures, humainement, pour en absorber la puissance sans en subir les effets de bord. Claude Mythos n’est pas une menace. C’est un miroir. Il reflète, avec une précision cruelle, l’état réel de notre préparation collective. Et ce qu’il nous montre, pour peu qu’on ait le courage de regarder, c’est que la course aux armements technologiques ne remplacera jamais la profondeur d’une organisation qui a appris à penser sa propre vulnérabilité. La résilience est un sport d’équipe. L’IA en est le chronomètre, pas l’entraîneur.
Des règles obsolètes face à une menace nouvelle : la réponse européenne à l’épreuve
L’Europe n’est pas démunie sur le papier. L’AI Act franchit une étape décisive le 2 août 2026 : les obligations applicables aux systèmes d’IA à haut risque entrent en vigueur. À la même date, la Commission obtient ses pouvoirs de supervision sur les fournisseurs de modèles d’IA à usage général, avec des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Le Cyber Resilience Act (CRA) ajoute une brique complémentaire, et ses règles de signalement entrent en vigueur dès le 11 septembre 2026. Les fabricants de produits comportant des éléments numériques devront déclarer les vulnérabilités activement exploitées et les incidents graves. Combiné à la directive NIS 2, ce dispositif dessine une couverture large, mais conçue avant l’ère Mythos. C’est là tout le sens de l’alerte des 30 eurodéputés : le rythme réglementaire, calé sur des cycles de plusieurs mois, se heurte à une menace qui se compte en heures.
Le marché français de la cybersécurité : entre dépendance et souveraineté
Pour l’écosystème français et européen, les conséquences sont tangibles. Le premier marché à se réinventer sera celui de la gestion des vulnérabilités et des correctifs. Les approches trimestrielles de « patch management » deviennent intenables face à un adversaire capable d’industrialiser l’exploitation. Les éditeurs de solutions de détection et de réponse (EDR, XDR, MDR) et les centres opérationnels de sécurité (SOC) vont devoir intégrer, à leur tour, des capacités d’IA défensive, sous peine de combattre des mitrailleuses avec des arcs. Le débat rejoint aussi celui de la souveraineté numérique. Que l’ENISA doive demander l’accès à un modèle américain pour évaluer une menace visant des infrastructures européennes illustre une dépendance stratégique. C’est un argument de plus pour les champions européens de l’IA comme Mistral AI et son pari souverain à 11,7 milliards d’euros. Enfin, l’assurance cyber, déjà sous tension, devra reparamétrer ses modèles de risque : quand la probabilité d’exploitation d’une faille grimpe, les primes suivent.
Pour saisir la nouveauté, un détour historique s’impose. En mai 2017, le rançongiciel WannaCry s’était propagé dans quelque 150 pays, paralysant notamment des hôpitaux du NHS britannique, en exploitant une unique vulnérabilité Windows (EternalBlue). En décembre 2021, la faille Log4Shell (CVE-2021-44228) démontrait comment un seul défaut logiciel omniprésent pouvait exposer des millions de serveurs. Dans les deux cas, il avait fallu des humains pour trouver la faille, puis écrire l’exploit. La rupture de 2026 tient à la suppression de cet intermédiaire humain. Là où Log4Shell reposait sur une faille découverte et documentée, Mythos en produit dix mille, et sait les exploiter seul. On passe d’une logique de « campagne » ponctuelle à une logique de « production » continue. Voici quelques prédictions pour l’avenir proche :
- Une première attribution autonome avant fin 2027. Le constat actuel de l’ANSSI ne tiendra probablement pas au-delà de 2027.
- Un « plan d’atténuation » européen dédié. La lettre des 30 eurodéputés devrait déboucher sur un instrument spécifique à la cybersécurité IA.
- La remédiation continue devient la norme. Les 99 % de failles non corrigées forceront la correction automatisée en continu.
- Une prime à la souveraineté. La dépendance de l’ENISA à un modèle américain nourrira la demande d’alternatives européennes en IA de sécurité.
- Une envolée de l’assurance cyber. La probabilité d’exploitation étant réévaluée à la hausse, les primes se durciront, en particulier pour les secteurs sensibles.
