Claude Mythos déniche plus de 10 000 vulnérabilités critiques en environnement d'entreprise : Anthropic s'allie à 13 géants pour créer une coalition de sécurité IA

Anthropic vient de frapper un grand coup, mais cette fois, cela ne se résume pas à la sortie d'un nouveau modèle.

Le 7 avril, elle s'est associée à une série d'entreprises qu'on n'aurait jamais imaginées côte à côte — AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, la Fondation Linux, Microsoft, NVIDIA, Palo Alto Networks — pour annoncer la création d'une coalition appelée Project Glasswing . Sa mission tient en une phrase : utiliser l'IA pour résoudre les problèmes de sécurité des logiciels les plus critiques au monde.

Le même jour, Anthropic a révélé une autre annonce de poids : ses équipes ont utilisé les modèles de la famille Claude pour scanner massivement des bases de code d'entreprise, et y ont découvert plus de 10 000 vulnérabilités critiques.

Mises bout à bout, ces deux nouvelles ont fait trembler toute la sphère de la sécurité.

Comment plus de 10 000 vulnérabilités critiques ont-elles été dénichées ?

Tout part des travaux d'Anthropic en recherche de sécurité IA.

Claude Mythos est un modèle dédié à la recherche en sécurité qu'Anthropic peaufine en interne depuis longtemps. Contrairement aux Claude classiques, il est optimisé spécifiquement pour l'ingénierie inverse de code, la découverte de vulnérabilités et les tests d'intrusion, et sait repérer automatiquement, dans de vastes bases de code, les points vulnérables qui présentent une menace réelle.

Avant le lancement de Project Glasswing, l'équipe d'Anthropic a soumis une série de bases de code d'entreprise à un « test de résistance » avec Claude Mythos — le résultat donne des frissons : plus de 10 000 vulnérabilités critiques, allant du contournement d'authentification à la corruption mémoire en passant par les attaques de la chaîne d'approvisionnement.

Ces vulnérabilités n'ont été trouvées ni par des scanners classiques, ni manuellement par des ingénieurs sécurité : c'est le modèle IA qui les a débusquées de lui-même.

Comparez avec la méthode traditionnelle : un audit complet du code d'entreprise par une équipe spécialisée prend généralement des mois et coûte facilement des centaines de milliers de dollars. Sur une base de code de taille équivalente, Claude Mythos ramène ce délai à quelques jours, voire moins.

Voilà le fossé d'échelle qu'ouvrent les outils de recherche en sécurité IA.

À quel point Claude Mythos est-il redoutable ?

Le 7 avril, The New York Times a titré sans détour : “Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning”— en clair : un modèle si puissant qu'Anthropic juge elle-même qu'il ne doit pas être publié.

La BBC a ensuite consacré un article de suivi, intitulé : “What is Anthropic’s Claude Mythos and what risks does it pose?”

En croisant les informations disponibles, les capacités centrales de Claude Mythos se concentrent sur trois axes :

– compréhension et rétro-ingénierie du code : il saisit la structure de bases de code d'entreprise complexes et en dégage les failles de sécurité
– évaluation de l'exploitabilité des vulnérabilités : il ne se contente pas de trouver les failles, il détermine si elles peuvent être exploitées dans un scénario d'attaque réel
– scan automatisé à grande échelle : une seule exécution couvre tout le dépôt, sans investigation manuelle pas à pas

Que signifie cette combinaison de capacités ?

Qu'un travail qui occupait une équipe de sécurité pendant trois mois peut désormais être bouclé par l'IA en quelques jours. Et l'IA ne fatigue pas, n'oublie rien au scan, et ne recule pas devant la complexité du code.

Project Glasswing : que pèse cette coalition de sécurité IA ?

Les capacités IA seules ne suffisent pas : Anthropic a réuni 13 géants de la tech pour lancer Project Glasswing.

Cette liste mérite à elle seule qu'on s'y attarde :

– Fournisseurs cloud : AWS, Microsoft Azure
– Cybersécurité : CrowdStrike, Palo Alto Networks
– Puces/matériel : Broadcom, NVIDIA
– Grandes entreprises utilisatrices : JPMorgan
– Infrastructure open source : la Fondation Linux
– Systèmes d'exploitation : Apple
– Équipements réseau : Cisco
– Entreprises IA : Anthropic, Google

Que dit cette composition ? Que l'objectif ne se limite pas à la recherche théorique : il s'agit de faire descendre la sécurité IA sur toute la chaîne, de la couche des puces aux systèmes d'exploitation, aux plateformes cloud et jusqu'aux applications.

Le programme central de Glasswing comprend :

– établir un référentiel d'évaluation de la sécurité du code piloté par l'IA
– promouvoir les audits de sécurité des logiciels open source critiques
– partager les renseignements sur les vulnérabilités critiques découvertes par l'IA
– protéger les infrastructures critiques mondiales grâce à la sécurité IA

En clair, l'idée est de bâtir une « coalition de cybersécurité » de l'ère IA, où l'IA sert à contrer les risques de sécurité générés par l'IA.

Le vrai problème derrière ces 10 000 vulnérabilités

Découvrir 10 000 vulnérabilités n'a rien d'une nouvelle en soi : le milieu de la sécurité en déniche chaque jour.

Ce qui doit vraiment alerter, c'est ce que ce chiffre implique.

Premièrement, l'ordre de grandeur dépasse largement les attentes.

On savait déjà que les bases de code d'entreprise recelaient des failles, mais que révèle l'ordre de grandeur de « plus de 10 000 vulnérabilités critiques » ? Que les contrôles de sécurité intégrés aux processus de développement actuels sont tout simplement insuffisants. Le code est écrit, le scanner passe, tout est validé — et pourtant, ce qui devait échapper échappe encore. L'irruption de l'IA expose le problème dans toute son ampleur.

Deuxièmement, que révèle la répartition de ces vulnérabilités ?

Anthropic n'a pas précisé quels types de failles dominent, mais au vu de la composition des participants de Glasswing, on peut supposer que les vulnérabilités de la chaîne d'approvisionnement (présence de la Fondation Linux), les failles d'authentification (présence des fournisseurs cloud et d'entreprises) et les failles d'infrastructure (présence des fabricants de puces et de systèmes d'exploitation) sont les cibles prioritaires.

Troisièmement, « détecter » ne veut pas dire « corriger ».

Trouver les failles n'est que la première étape. 10 000 vulnérabilités critiques : qui les corrige, et en combien de temps ? Beaucoup de failles historiques dans les bases de code d'entreprise existent depuis cinq à dix ans, et chaque correctif doit se faire sans casser les fonctionnalités existantes.

L'arme à double tranchant des outils de sécurité IA

Puisqu'on en parle, un point s'impose : si Claude Mythos peut servir à dénicher des failles, d'autres peuvent tout aussi bien utiliser une IA similaire pour en faire autant.

Anthropic a choisi de ne pas publier Claude Mythos, au motif qu'il serait « trop dangereux ». Une continuité directe avec sa pratique à l'époque de Claude Opus 4 : évaluer le risque d'abord, décider du niveau d'ouverture ensuite.

Mais les questions restent entières :

– d'autres entreprises vont-elles produire des modèles similaires, voire plus puissants ?
– et si ces modèles tombaient entre les mains d'attaquants ?
– les entreprises arriveront-elles à colmater leurs failles avec l'IA avant les attaquants ?

Glasswing répond en quelque sorte à cette question : plutôt que de laisser les capacités de sécurité IA concentrées entre les mains de quelques entreprises, unir toute l'industrie pour bâtir un rempart défensif. Si les attaquants ont l'IA, les défenseurs doivent l'avoir aussi — et être plus rapides, plus précis, plus systématiques.

Qu'est-ce que cela change pour le développeur ordinaire ?

Si vous êtes développeur ou ingénieur sécurité, cette affaire se lit à plusieurs niveaux :

À court terme : le mécanisme de partage de vulnérabilités de Glasswing couvrira en priorité les projets open source critiques et les infrastructures. Pour votre propre gamme de produits, il faudra encore patienter. Gardez en revanche un œil sur les normes techniques et les méthodes de cotation des vulnérabilités qui seront publiées.

À moyen terme : des modèles spécialisés en sécurité comme Claude Mythos entreront progressivement dans la chaîne d'outils de sécurité des entreprises. Attendez-vous à voir ce type de capacités IA intégré dans les extensions d'IDE ou les pipelines de scan sécurité CI/CD. Mieux vaut se familiariser dès maintenant avec cette direction.

À long terme : la course aux armements entre recherche en sécurité IA et recherche en attaque IA ne fera que s'intensifier. Les capacités des défenseurs progressent, celles des attaquants évoluent en parallèle. La création de Glasswing montre que les grands acteurs traitent désormais la question comme un enjeu stratégique.

Pourquoi ce moment précis compte

En 2026, les Agents IA s'intègrent massivement aux flux de travail des entreprises — de la génération de code au traitement des données, des systèmes internes aux interactions clients. Des modèles comme Claude et GPT s'enfoncent déjà au cœur des processus métier.

Quand l'IA se met à traiter des données sensibles, écrire du code critique et se brancher sur les systèmes de production, les vulnérabilités de l'IA elle-même et celles qu'elle découvre deviennent les deux faces d'une même pièce.

Glasswing et ces 10 000 vulnérabilités sont la pierre qu'Anthropic jette dans l'étang — elle veut que toute l'industrie prenne conscience que la sécurité IA n'est pas un problème technique, mais un problème d'écosystème.

Une entreprise seule ne peut pas le résoudre : il faut que toute l'industrie s'y attelle ensemble.

Cela explique aussi pourquoi Apple, Microsoft et Google — d'habitude à couteaux tirés — parviennent à s'asseoir à la même table.

Pour finir

Ces 10 000 vulnérabilités critiques ne sont pas un chiffre destiné à semer l'anxiété.

C'est le bilan de santé à grande échelle qu'Anthropic a réalisé avec l'IA, avant d'en publier les résultats au monde entier. Le rapport est là ; la question, c'est de savoir comment vous comptez réagir.

Attendre que les normes de Glasswing se concrétisent, ou lancer dès maintenant un scan complet de vos bases de code avec des outils IA ?

Ce choix, il ne peut être que le vôtre.