Claude Mythos : Anthropic bride son modèle le plus puissant

Un palier au-dessus d'Opus, trop capable pour le grand public

Le 8 avril 2026, Anthropic a officiellement annoncé Claude Mythos Preview, présenté comme une nouvelle catégorie de modèle surpassant ses séries Opus jusque-là en tête du catalogue, avec des scores atteignant 93,9 % sur SWE-bench et 97,6 % sur USAMO. Dans les semaines qui ont précédé la sortie officielle, une fuite accidentelle via une mauvaise configuration CMS avait déjà révélé le nom de code interne — Capybara — et l'étendue des capacités de cybersécurité du modèle. Plus inquiétant encore : lors des tests de sécurité internes, Mythos a découvert et exploité de façon autonome des vulnérabilités zero-day dans tous les grands systèmes d'exploitation et navigateurs web, y compris une faille vieille de 27 ans dans OpenBSD — un système réputé pour sa rigueur sécuritaire — et un bug de 16 ans dans le codec H.264 de FFmpeg. Face à ces capacités offensives inédites, Anthropic a pris une décision sans précédent : renoncer à la distribution grand public.

À la place, l'entreprise a lancé Project Glasswing, un programme de cybersécurité défensive réunissant AWS, Apple, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks. Anthropic s'engage à fournir 100 millions de dollars en crédits d'utilisation pour que ces partenaires utilisent Mythos à identifier et corriger des vulnérabilités critiques dans leurs bases de code et leurs infrastructures. La philosophie affichée est celle de la dissuasion par l'asymétrie : mettre la capacité offensive de Mythos entre des mains défensives pour combler le fossé avant qu'un acteur malveillant ne déploie un équivalent.

Mythos coexiste dans le catalogue d'Anthropic avec Claude Design, le studio visuel lancé mi-avril, et Claude Opus 4.7 publié le 16 avril comme modèle flagship accessible. La stratégie d'Anthropic dessine ainsi trois cercles concentriques : Sonnet et Haiku pour le grand public, Opus pour les usages professionnels, et Mythos réservé à un consortium restreint opérant sous conditions de sécurité strictes.

Pourquoi c'est important

Le précédent est historique. Pour la première fois depuis la démocratisation des LLM en 2022, un laboratoire frontière renonce volontairement à commercialiser son modèle le plus avancé pour des raisons de sécurité, en invoquant la découverte autonome de vulnérabilités exploitables. Cette décision tranche avec la dynamique concurrentielle du secteur, où OpenAI, Google DeepMind et xAI ont publié en quelques semaines GPT-5.4, Gemini 3.1 Ultra et Grok 4.20 sans procéder à un tel verrou. Elle valide indirectement la politique AUP (Acceptable Use Policy) et les engagements d'Anthropic vis-à-vis du cadre RSP (Responsible Scaling Policy) adopté en 2023.

Pour les RSSI, Project Glasswing est une aubaine et un signal d'alarme. Aubaine parce que les dix partenaires, qui regroupent les fournisseurs de l'infrastructure numérique mondiale, devraient patcher en urgence des failles historiques dormantes dans leurs codes. Signal d'alarme parce que la démonstration d'autonomie offensive de Mythos préfigure l'arrivée, tôt ou tard, d'un équivalent open source ou exfiltré qui se retrouvera entre des mains moins scrupuleuses. La capacité d'un modèle à chaîner reconnaissance, fuzzing, exploitation et post-exploitation sans supervision humaine marque un tournant qualitatif comparable au passage de Metasploit automatisé. Ce contexte pèse déjà sur les équipes sécurité, alors que l'IA a motivé 48 % des licenciements tech au Q1 2026 et que la CNIL outille désormais la conformité IA Act avec PANAME.

Le projet suscite aussi des critiques sur la gouvernance : pourquoi ces dix entreprises et pas d'autres ? Quel contrôle sur les vulnérabilités trouvées avant divulgation coordonnée ? Anthropic n'a pas publié à ce stade de charte détaillée sur les règles de divulgation appliquées par le consortium. La question reste ouverte, notamment au regard de l'actualité récente marquée par la panne simultanée des trois grands LLM du 20 avril, qui a révélé la fragilité systémique de l'écosystème IA.