Quand l’IA devient un outil de défense… et un risque d’attaque

Une question simple se pose pour beaucoup d’entreprises : faut-il confier la chasse aux failles à une IA si puissante qu’on préfère ne pas la mettre entre toutes les mains ? Le sujet n’est pas théorique. Il touche au temps de réaction, donc à la capacité de corriger un bug avant qu’il ne serve de porte d’entrée à une attaque.

Le 7 avril 2026, Anthropic a présenté Project Glasswing, une initiative de cybersécurité construite autour de son modèle Claude Mythos Preview. L’idée : donner une avance à des partenaires triés sur le volet pour trouver et corriger des vulnérabilités dans des logiciels critiques, plutôt que de publier le modèle largement. Parmi les partenaires de lancement figurent AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, Nvidia et Palo Alto Networks. Anthropic parle aussi d’un accès élargi à plus de 40 organisations et d’un soutien allant jusqu’à 100 millions de dollars en crédits d’usage.

Ce que Mythos sait faire, selon ses propres tests

Le cœur du dossier tient en une capacité : Mythos Preview peut repérer, puis exploiter, des failles zero-day, c’est-à-dire des vulnérabilités non corrigées, dans les grands systèmes d’exploitation et les principaux navigateurs. Dans son rapport technique, Anthropic explique que la quasi-totalité des failles trouvées n’étaient pas encore patchées au moment de la publication, ce qui justifie, selon l’entreprise, une divulgation très contrôlée. L’équipe de recherche dit aussi avoir observé des résultats sur des bugs vieux de plusieurs décennies, dont une faille OpenBSD âgée de 27 ans.

Le modèle ne se contente pas de signaler un problème. Anthropic décrit aussi des chaînes d’exploitation capables de conduire à des privilèges élevés, voire à un accès complet sur certains systèmes. L’enjeu est précisément là : un outil qui aide à durcir un code peut, dans les mauvaises mains, accélérer la découverte d’exploits. C’est pour cette raison que l’entreprise présente Mythos Preview comme un modèle de recherche réservé à un cercle fermé, plutôt que comme un produit grand public.

Pour les entreprises européennes, un avantage immédiat… surtout pour les plus grandes

Dans la pratique, cette nouveauté profite d’abord aux organisations qui ont déjà des équipes sécurité solides. Les grands groupes, les éditeurs de logiciels, les opérateurs de cloud et les acteurs des infrastructures critiques peuvent intégrer plus vite ce type d’outil à leurs tests, à leur code review et à leurs exercices de pentest. Les petites entreprises, elles, en tireront surtout un bénéfice indirect : des correctifs plus rapides dans les logiciels qu’elles utilisent, sans forcément avoir les moyens d’exploiter elles-mêmes ce type de modèle.

Le cadre européen renforce cette lecture. Le règlement européen sur l’IA rappelle que les modèles les plus avancés peuvent créer des risques systémiques, notamment des cyberattaques sophistiquées à grande échelle. Il impose aussi aux fournisseurs de modèles GPAI avec risque systémique d’évaluer et d’atténuer ces risques, tout en garantissant une cybersécurité adéquate de leurs modèles et de leur infrastructure. Depuis le 2 août 2025, les obligations de gouvernance pour les modèles d’IA à usage général sont déjà applicables dans l’Union.

Autrement dit, Mythos arrive dans un environnement où la prudence réglementaire n’est plus optionnelle. Pour une entreprise européenne, la promesse est claire : détecter plus vite les failles qui coûtent cher en arrêt, en données volées et en réputation. Mais le revers l’est tout autant : dès qu’un même système sait mieux chercher les bugs et mieux les exploiter, la frontière entre défense et offense se resserre.

Entre promesse de défense et risque de prolifération

Les partisans de cette approche disent qu’il faut aller plus vite que les attaquants. Anthropic, ses partenaires et plusieurs responsables sécurité chez Cisco, AWS, Microsoft, CrowdStrike ou Palo Alto Networks défendent l’idée d’une cybersécurité augmentée par l’IA. Leur logique est simple : si les assaillants automatisent l’exploration des failles, les défenseurs doivent pouvoir faire de même, sinon plus vite.

La contrepartie, elle, est déjà visible dans le paysage européen. L’ENISA Threat Landscape 2025 décrit 4 875 incidents observés sur une année et souligne que les groupes de menace réutilisent leurs outils, inventent de nouveaux modèles d’attaque et exploitent des vulnérabilités pour viser les infrastructures numériques de l’Union. Dit autrement : le terrain est déjà saturé, et tout gain d’efficacité côté attaque peut se transformer très vite en pression supplémentaire sur les entreprises, les hôpitaux, les collectivités ou les fournisseurs de services numériques.

Le désaccord réel n’est donc pas entre optimisme et catastrophisme. Il oppose deux temporalités. D’un côté, la promesse d’un gain massif pour les défenseurs. De l’autre, la certitude qu’un modèle capable de produire des exploits plus vite qu’un humain sera tôt ou tard observé, imité ou détourné. Anthropic elle-même dit qu’elle discute avec des responsables publics et qu’elle retient certaines informations précisément parce que la divulgation brute serait trop risquée.

Ce qu’il faut surveiller maintenant

Dans les prochaines semaines, trois points compteront. D’abord, l’ampleur réelle du cercle de partenaires autorisés à tester Mythos Preview. Ensuite, la vitesse à laquelle les vulnérabilités révélées seront corrigées puis rendues publiques dans le cadre de la divulgation responsable. Enfin, la façon dont les entreprises européennes soumises à NIS2 et à l’AI Act intégreront ces outils dans leur gouvernance sécurité, sans se contenter d’un effet vitrine.

Le 2 août 2026 marquera aussi une étape importante : le moment où l’AI Act entrera pleinement en application, avec un niveau d’exigence plus clair pour les fournisseurs de modèles et les déployeurs en Europe. Si Mythos annonce une nouvelle génération de cybersécurité, il rappelle surtout une chose très concrète : dans l’économie numérique, la vitesse de correction devient aussi stratégique que la vitesse d’innovation.