Blog
Le moment Mythos : ce que les attaques basées sur l'IA signifient pour la cyber-résilience
5 minutes de lecture
29 avril 2026
Les modèles de pointe raccourcissent les délais des cyberattaques et redéfinissent la manière dont les dirigeants doivent évaluer les risques et y répondre.
Pendant des années, la cybersécurité a fonctionné selon une hypothèse largement implicite : les attaques véritablement sophistiquées nécessitaient des attaquants véritablement sophistiqués. Même lorsque des vulnérabilités étaient découvertes, il existait souvent une marge de manœuvre significative, laissant le temps de remédier au problème. Cette marge de manœuvre se réduit rapidement, et les modèles d'IA de pointe, les modèles à grande échelle les plus avancés de notre époque, en sont une raison majeure.
Début avril 2026, Anthropic a annoncé le lancement de Claude Mythos Preview, un modèle de pointe capable d'identifier les vulnérabilités à grande échelle, mais aussi d'exploiter ces vulnérabilités. Plutôt que de le diffuser à grande échelle, Anthropic a choisi d'évaluer les capacités du modèle et de les mettre en œuvre dans des contextes défensifs contrôlés.
Ce que nous décrivons ici ne concerne pas un modèle unique, mais un point d'inflexion plus large mis en évidence par les récentes révélations publiques sur les capacités de l'IA de pointe. Il ne s'agit pas seulement d'un nouvel outil. Cela représente un changement dans l'économie des cyber-risques : la découverte et l'exploitation des vulnérabilités deviennent moins coûteuses, plus rapides et plus évolutives, dépassant souvent la capacité de remédiation des entreprises.
MODÈLE D'IA
Qu'est-ce que Claude Mythos Preview ?
Il s'agit d'un modèle de pointe capable d'identifier et d'exploiter les vulnérabilités à grande échelle.
Trois implications que tout responsable de la sécurité doit comprendre dès maintenant
Les programmes de défense traditionnels s'articulaient autour du temps : le temps d'évaluer, le temps d'appliquer les correctifs et le temps de valider les changements. L'IA de pointe réduit considérablement cette marge. Alors que l'automatisation accélère la découverte des vulnérabilités et le développement des exploits, les entreprises qui s'appuient sur des contrôles basés sur des cycles prennent de plus en plus de retard.
La plupart des tableaux de bord d'entreprise traitent encore les vulnérabilités comme des constatations indépendantes, notées de manière isolée. Les attaquants utilisant l'IA raisonnent en termes de chemins : comment de petites faiblesses peuvent être reliées entre les couches d'identité, d'application et d'infrastructure pour mener à une compromission totale. Plusieurs vulnérabilités modérées peuvent être combinées pour créer un risque critique pour l'entreprise.
La bonne question à poser au conseil d'administration n'est plus : « Combien de vulnérabilités avons-nous ? » Mais plutôt : « Quelles vulnérabilités peuvent être reliées pour former des chemins d'attaque significatifs, et à quelle vitesse pouvons-nous neutraliser ces chemins ? »
La décision d'Anthropic de garder Mythos confidentiel témoigne de l'importance de ses capacités. Mais la restriction n'est pas un contrôle permanent. L'histoire montre que les techniques se diffusent rapidement, que les concurrents s'adaptent et que les barrières s'effondrent. Les responsables de la sécurité doivent partir du principe que des capacités comparables seront à la disposition de leurs adversaires plus tôt que ne le prévoient la plupart des programmes d'entreprise.
La bonne question à poser au conseil d'administration n'est plus : « Combien de vulnérabilités avons-nous ? » Mais plutôt : « Quelles vulnérabilités peuvent être reliées pour former des chemins d'attaque significatifs, et à quelle vitesse pouvons-nous neutraliser ces chemins ? »
Que faire maintenant : six mesures qui peuvent considérablement améliorer la résilience
1.
Redéfinissez la base de référence de l'exposition avec des données de référence réelles.
Maintenez des inventaires constamment mis à jour sur les ressources cloud, SaaS, d'infrastructure et d'IA. Créez des nomenclatures logicielles afin d'évaluer l'exposition en quelques minutes, et non en quelques jours, lorsque de nouvelles informations apparaissent.
2.
Réduisez la dette technique de manière agressive.
Les systèmes en fin de vie et les plateformes fragiles créent une exposition permanente. Considérez la modernisation, les mises à niveau des dépendances et l'actualisation de l'infrastructure comme des priorités de la direction, et non comme des tâches en attente.
3.
Optimisez la gestion des correctifs et des changements pour gagner en rapidité.
Automatisez les tests, les déploiements par étapes et les retours en arrière. Établissez des voies de changement d'urgence pour les vulnérabilités critiques liées à Internet. Mesurez le délai moyen de correction comme indicateur clé de performance opérationnel prioritaire et améliorez-le en permanence.
4.
Traitez les identités non humaines comme une surface d'attaque principale.
Les comptes de service, les clés d'API, les bots d'automatisation et les agents d'IA sont souvent plus nombreux que les humains et disposent fréquemment de privilèges excessifs. Supprimez les accès permanents, renouvelez les secrets de manière agressive et adoptez des modèles d'autorisation « juste à temps ».
5.
Refusez par défaut le trafic sortant provenant de la production lorsque cela est possible.
Les contrôles de sortie réduisent considérablement les risques liés au commandement et au contrôle, aux rappels de la supply chain et à l'exfiltration de données. Un accès sortant étendu doit rester l'exception et être toujours explicitement approuvé.
6.
Combattez l'IA par l'IA, en garantissant la gouvernance d'entreprise.
Les adversaires utilisent l'IA pour raccourcir les délais d'attaque et automatiser l'exploitation à une échelle que les défenses humaines ne peuvent égaler. Dans un environnement de menaces accéléré par l'IA, les équipes rouges périodiques, l'application de correctifs basée sur les cycles et la détection basée sur les signatures ne suffisent plus.
La réponse défensive doit fonctionner à la même vitesse que la menace. Cela implique une découverte des vulnérabilités augmentée par l'IA, une gestion continue de l'exposition et des contrôles d'exécution pour les agents autonomes et les identités non humaines, combinés à la gouvernance et à la surveillance requises par les grandes entreprises. C'est pourquoi Anthropic vient d'annoncer le lancement de Claude Security, qui utilise Claude Opus 4.7, l'un des modèles polyvalents les plus performants actuellement disponibles, afin de renforcer les capacités de cyberdéfense.
En tant que partenaire de Claude Security, Accenture met déjà ces capacités au service de ses clients via sa plateforme Cyber.AI, récemment annoncée et optimisée par Anthropic. Elle combine une défense à la vitesse de l'IA avec la gouvernance à l'échelle de l'entreprise, les contrôles d'identité et la résilience opérationnelle dont les systèmes autonomes ont besoin. Cyber.AI est conçue pour faire passer les opérations de sécurité d'une réponse à la vitesse humaine à une exécution continue pilotée par l'IA, sans sacrifier le contrôle, l'auditabilité ou la confiance.
Le moment Mythos est réel et exploitable
L'introduction de capacités aussi puissantes n'est pas une raison pour suspendre l'adoption de l'IA. C'est un appel à redéfinir les bases de la cybersécurité pour un environnement où attaquants et défenseurs opèrent à la vitesse des machines.
Les entreprises qui agissent dès maintenant en réduisant leur dette technique, en accélérant la transition vers la sécurité, en renforçant les identités et les frontières réseau, et en déployant une défense augmentée par l'IA avec une gouvernance solide seront mieux positionnées à mesure que les capacités de pointe se multiplieront. Celles qui attendent seront contraintes de s'adapter sous la pression.
1 Anthropic Frontier Red Team, « Claude Mythos Preview » red.anthropic.com, 7 avril 2026.