Claude Mythos démonte les processus de sécurité des entreprises en direct

Pendant longtemps, les équipes de sécurité disposaient d'une forme de répit : les modèles d'intelligence artificielle pouvaient exploiter des failles connues, mais pas les découvrir elles-mêmes. Cette marge de manœuvre vient de se réduire sensiblement.

Le 7 avril, Anthropic a présenté Claude Mythos Preview, un modèle capable de détecter et d'exploiter des vulnérabilités sans avoir besoin d'une description préalable. Ce changement modifie les conditions dans lesquelles les entreprises gèrent leurs correctifs de sécurité.

Ce que les chercheurs avaient établi jusqu'ici

En 2024, des chercheurs de l'université de l'Illinois avaient mesuré les capacités offensives de GPT-4 face à des vulnérabilités référencées. Lorsque le modèle recevait une description détaillée d'une faille au format CVE, il parvenait à l'exploiter dans 87 % des cas testés sur un jeu de quinze vulnérabilités de type « one-day ».

En revanche, sans cette description, le taux tombait à 7 %. Cet écart constituait ce que les chercheurs appelaient une « marge de sécurité » : tant que l'IA ne pouvait pas trouver seule une faille, les équipes conservaient le temps nécessaire pour appliquer un correctif avant qu'une exploitation automatisée ne soit possible.

Claude Mythos supprime cette fenêtre de réaction

Claude Mythos Preview modifie cette équation. Selon Anthropic, le modèle est capable d'identifier des vulnérabilités de façon autonome, sans s'appuyer sur une base de données de failles déjà documentées. La frontière entre découverte et exploitation, qui garantissait ce délai de réaction, devient donc beaucoup plus mince.

Pour les entreprises, cela signifie que le calendrier habituel de gestion des correctifs ne suffit plus comme protection. Un délai de plusieurs semaines entre la publication d'un patch et son déploiement effectif représentait déjà un risque. Avec des systèmes capables de repérer eux-mêmes les failles, ce risque augmente de façon significative.

Des processus de patching pensés pour une autre époque

Dans beaucoup d'organisations, la gestion des correctifs suit encore des cycles longs : tests de compatibilité, validations internes, fenêtres de maintenance programmées. Ce rythme était adapté à un contexte où l'exploitation d'une faille exigeait une intervention humaine spécialisée.

L'automatisation croissante des capacités offensives remet en question ce modèle. Si un système peut enchaîner détection et exploitation sans intervention humaine, le délai entre la disponibilité d'un correctif et son application devient le principal facteur de risque. Les entreprises qui maintiennent des cycles de plusieurs semaines s'exposent à une surface d'attaque plus large qu'elles ne le calculaient jusqu'à présent.

Une pression accrue sur les équipes de sécurité

La publication de Claude Mythos Preview intervient dans un contexte où les équipes de sécurité font déjà face à un volume élevé d'alertes et de mises à jour. Accélérer les cycles de patching sans dégrader la stabilité des systèmes est un défi opérationnel concret, pas seulement une question de politique interne.

Certaines organisations ont commencé à adopter des approches de déploiement continu pour les correctifs critiques, en parallèle de tests automatisés de régression. Ce type d'organisation reste cependant minoritaire dans les grandes structures, où les processus de validation restent souvent manuels.

L'annonce d'Anthropic ne change pas les fondamentaux de la sécurité informatique, mais elle déplace le curseur du risque acceptable. La question n'est plus seulement de savoir si un correctif sera appliqué, mais à quelle vitesse.

Source : VentureBeat