Trop puissant pour être diffusé librement.
Quand Anthropic a présenté Claude Mythos, en avril 2026, l’entreprise n’a pas fait dans la demi-mesure. Le modèle a été décrit comme suffisamment puissant pour justifier un accès toujours restreint aujourd’hui, en particulier en raison de ses capacités à débusquer des vulnérabilités logicielles.
Une promesse spectaculaire, portée par le lancement de Project Glasswing, un programme où Mythos est chargé de scanner des projets open source pour y déceler des failles de sécurité avant que des attaquants ne le fassent.
Évidemment, ce genre d’annonce attire mécaniquement l’attention, et les résultats obtenus étaient voués à être passés au crible par la communauté cyber.
Anthropic semblait d’ailleurs l’avoir anticipé en tenant depuis mai une page de tableau de bord public, retraçant l’avancée de son processus de divulgation coordonnée des vulnérabilités.
Régulièrement mise à jour, la dernière fois datant du 26 août 2026, on y trouve un décompte détaillé, du nombre total de failles détectées jusqu’à celles effectivement corrigées par les mainteneurs des projets concernés.
Un bilan mitigé ?
S’appuyant sur les données publiées par l’entreprise américaine, le chercheur en sécurité Patrick Garrity s’est livré à un examen critique des résultats, qu’il a partagé le 8 septembre 2026.
Premier constat, sur les 26 153 vulnérabilités que Mythos affirme avoir trouvées depuis avril, seules 2 736 (soit 10,5 %) ont atteint le fameux « registre de divulgation ». Concrètement, il s’agit de la liste des failles qu’Anthropic a jugées suffisamment sérieuses et fiables pour être transmises aux équipes chargées de développer les logiciels concernés, seule étape qui permet ensuite d’aboutir à un correctif.
Autrement dit, l’immense majorité des failles repérées par l’IA n’a même pas encore été signalée à qui que ce soit. Et parmi celles qui l’ont été, seules 202, à peine 0,8 % du total de départ, ont réellement été corrigées.
Aussi, le chercheur s’interroge sur le taux de 91,4 % de « vrais positifs » qu’Anthropic met en avant, c’est-à-dire la part de failles confirmées comme réelles après vérification humaine. Il cite un exemple parlant : sur curl, cinq signalements de Mythos n’ont donné qu’une seule vraie faille, le reste n’étant que bugs sans gravité ou fausses alertes.
Même doute sur la gravité des failles. Anthropic estime que 91,5 % de ses signalements méritent d’être considérées comme critiques ou élevés, contre seulement 51,3 % selon les mainteneurs eux-mêmes. Pour Garrity, cet écart tient moins à une faiblesse du modèle qu’à des instructions de notation trop vagues, sans méthode rigoureuse type CVSS.
Un avis à prendre avec la nuance qui s’impose
Il faut cependant resituer cette analyse dans son contexte. Patrick Garrity est chercheur en vulnérabilités chez VulnCheck, une entreprise dont le métier repose sur l’analyse et la priorisation de failles, un secteur que des outils comme Mythos étaient justement censés bouleverser, voire rendre obsolète. Son billet se termine d’ailleurs par une promotion de sa propre offre. Son analyse, aussi sourcée soit-elle, n’est donc pas dénuée d’intérêts professionnels.
Il n’empêche que ses observations s’appuient bien sur les chiffres publiés par Anthropic elle-même, et pointent des incohérences réelles entre ses différentes statistiques.
Plusieurs mois après le retentissement médiatique du lancement de Mythos, ce retour de bâton devait bien arriver.
L’euphorie autour d’une IA capable de trouver des failles à la chaîne devait tôt ou tard se heurter à la réalité plus lente de la validation humaine.
Au final, la vérité sur les conséquences réelles de Mythos sur l’industrie se situe sans doute entre les deux récits. Une situation que le média Dark Reading résume parfaitement : celui d’un outil qui accélère la découverte de failles, et celui d’un goulot d’étranglement humain qui filtre cette accélération et ne juge pas nécessaire de tout traduire en correctifs.
Les prochaines mises à jour du tableau de bord permettront de voir comment évoluent les choses.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Pour ne rien manquer de l’actualité, suivez Numerama sur Google !