Mythos : l'IA qui hacke plus vite que les humains - IA Codex

La semaine dernière, nous révélions la fuite accidentelle qui a dévoilé l’existence de Claude Mythos, le modèle IA le plus puissant jamais développé par Anthropic. Aujourd’hui, une nouvelle dimension du problème émerge : Mythos pourrait transformer radicalement le paysage de la cybersécurité mondiale. Et pas forcément dans le bon sens.

Selon CNN, qui qualifie ce moment de « watershed moment for cybersecurity », un seul agent IA basé sur Mythos pourrait scanner des vulnérabilités et les exploiter plus rapidement et plus obstinément que des centaines de hackers humains réunis. Shlomo Kramer, fondateur et CEO de la firme de cybersécurité Cato Networks, résume la situation en une phrase : « The agentic attackers are coming. »

Ce que Mythos change concrètement en cybersécurité

Ce qui distingue Mythos des modèles IA précédents, ce n’est pas simplement sa puissance brute. C’est sa capacité à planifier et exécuter des séquences d’actions de manière autonome, en se déplaçant entre systèmes, en prenant des décisions et en accomplissant des opérations sans attendre d’instructions humaines à chaque étape.

Concrètement, voici ce que cela signifie pour la cybersécurité :

Découverte automatisée de vulnérabilités — Mythos peut identifier des failles dans des logiciels à un rythme sans précédent, là où des équipes de pentesters mettraient des semaines
Exploitation en chaîne — Le modèle ne se contente pas de trouver une faille : il enchaîne les exploits, pivote entre systèmes et escalade les privilèges automatiquement
Campagnes massives simultanées — Un attaquant peut lancer des dizaines de campagnes en parallèle, chacune gérée par un agent autonome
Persistance surhumaine — Contrairement aux hackers humains, un agent IA ne dort pas, ne se fatigue pas et ne fait pas d’erreurs d’inattention

IA analysant les vulnérabilités d un réseau d entreprise — Un agent IA comme Mythos peut scanner et exploiter des vulnérabilités réseau en continu, sans intervention humaine.

Anthropic avertit les gouvernements en privé

Le plus inquiétant dans cette affaire : Anthropic elle-même tire la sonnette d’alarme. Selon Axios, la société avertit en privé les hauts responsables gouvernementaux américains que Mythos « rend les cyberattaques à grande échelle significativement plus probables en 2026 ».

Ce n’est pas un concurrent qui dénigre — c’est le créateur lui-même qui dit à quel point son produit est dangereux. Un aveu rare dans l’industrie tech, qui illustre la gravité de la situation.

Selon PYMNTS, les agents IA tournant sur des systèmes de ce niveau de capacité peuvent « planifier et mener des opérations complexes avec une implication humaine minimale ». En d’autres termes, un seul opérateur malveillant pourrait orchestrer ce qui nécessitait autrefois une équipe de dizaines de hackers expérimentés.

Le précédent chinois qui donne froid dans le dos

Pour comprendre l’ampleur de la menace, il faut regarder ce qui s’est déjà passé avec des modèles moins puissants que Mythos. En septembre 2025, un groupe de hackers parrainé par l’État chinois a utilisé un modèle Claude antérieur pour mener 80 à 90 % d’une campagne d’attaque coordonnée, ciblant environ 30 organisations — entreprises tech, institutions financières et agences gouvernementales.

Ce n’était qu’un modèle précédent. Avec Mythos, Anthropic elle-même estime que les capacités offensives sont d’un tout autre ordre. Le document interne fuité par Fortune décrivait Mythos comme « currently far ahead of any other AI model in cybersecurity capabilities ».

La stratégie « défenseurs d’abord » d’Anthropic

Face à ces risques, Anthropic ne reste pas les bras croisés. L’entreprise a adopté une stratégie inédite : donner un accès prioritaire aux « cyber defenders » avant toute diffusion grand public. Les équipes de sécurité d’entreprise et les organismes gouvernementaux de défense cyber bénéficient d’un accès anticipé au modèle.

L’idée est simple sur le papier : donner aux défenseurs une longueur d’avance pour qu’ils puissent utiliser Mythos afin d’identifier et corriger les failles avant que des attaquants n’y accèdent. En pratique, c’est un pari risqué. Car une fois le modèle diffusé plus largement — ou qu’un concurrent atteint un niveau similaire — cette avance temporelle disparaît.

D’après CNBC, la simple annonce de Mythos a fait chuter les actions des entreprises de cybersécurité. Le marché a compris que les outils de défense actuels risquent de devenir obsolètes face à des attaques pilotées par IA.

Que signifie Mythos pour les entreprises françaises ?

Si vous dirigez une entreprise en France ou que vous êtes responsable de sa sécurité informatique, voici ce que vous devez retenir :

1. Le temps de réaction se réduit drastiquement. Aujourd’hui, quand une vulnérabilité zero-day est découverte, les équipes de sécurité ont généralement quelques jours à quelques semaines pour déployer un correctif. Avec des agents IA de type Mythos dans les mains d’attaquants, cette fenêtre pourrait se réduire à quelques heures, voire quelques minutes.

2. Les PME sont les plus exposées. Les grandes entreprises et les administrations publiques pourront potentiellement accéder à des outils défensifs basés sur l’IA. Mais les PME françaises, qui constituent 99 % du tissu économique et qui peinent déjà à recruter des experts en cybersécurité, risquent de se retrouver totalement démunies face à des attaques automatisées.

3. L’ANSSI va devoir accélérer. L’Agence nationale de la sécurité des systèmes d’information devra intégrer ces nouvelles menaces IA dans ses recommandations et ses plans de défense. La France, via sa stratégie nationale sur l’IA, devra aussi prévoir un volet cybersécurité renforcé.

4. La formation cyber devient urgente. Les équipes de sécurité devront non seulement comprendre les menaces classiques, mais aussi savoir comment fonctionnent les agents IA offensifs pour mieux s’en protéger. Nous avions d’ailleurs abordé les implications plus larges de l’IA sur l’emploi dans notre article sur les 5 millions d’emplois menacés.

La course IA offensive vs défensive est lancée

Mythos cristallise un paradoxe fondamental de l’IA en cybersécurité. Le même outil qui peut trouver et exploiter des vulnérabilités peut aussi les détecter et les corriger. Tout dépend de qui l’utilise en premier — et de qui dispose des ressources pour le faire.

Le problème : l’attaque est structurellement avantagée. Un attaquant n’a besoin de trouver qu’une seule faille. Le défenseur doit les couvrir toutes. Ajoutez à cela la capacité d’un agent IA à tourner 24h/24 sans fatigue, et vous comprenez pourquoi les experts parlent d’un « moment charnière ».

Comme l’a rapporté Euronews, les identités humaines sont désormais plus faciles à usurper grâce à l’IA, et les employés qui utilisent des agents IA au travail créent involontairement de nouvelles portes d’entrée pour les cybercriminels.

Vidéo : l’IA et les menaces cyber en 2026

Cybersecurity in 2026: Defending Against AI-Powered Threats

Notre avis

Mythos marque un tournant. Pour la première fois, un créateur d’IA admet publiquement que son propre modèle représente une menace systémique pour la cybersécurité mondiale. Ce n’est plus de la science-fiction — c’est un avertissement officiel adressé aux gouvernements.

La stratégie « défenseurs d’abord » d’Anthropic est louable, mais elle ne résout pas le problème de fond. D’autres modèles de niveau comparable arriveront — chez OpenAI, Google, ou des acteurs étatiques. La vraie question n’est pas si les cyberattaques pilotées par IA deviendront la norme, mais quand.

Pour les entreprises françaises, le message est clair : investir dans la cybersécurité n’est plus un luxe, c’est une question de survie. Et il ne s’agit plus seulement d’embaucher des experts humains, mais de s’équiper d’outils défensifs eux-mêmes alimentés par l’IA. L’époque où un firewall et un antivirus suffisaient est définitivement révolue.

Nous suivrons de près l’évolution de Mythos et ses impacts sur la cybersécurité. En attendant, si vous n’avez pas encore lu notre article précédent sur la fuite initiale, c’est par ici : Claude Mythos : la fuite qui secoue Anthropic.

Mythos : l’IA qui hacke plus vite que les humains