L’arrivée de Claude Mythos en avril 2026 a suscité un emballement médiatique poussant les RSSI à réagir de deux façons : soit se précipiter pour acheter de nouveaux outils, soit mettre discrètement à jour leur backlog de CVE en espérant gagner du temps.

Pourtant, aucune de ces deux réactions ne répond véritablement au problème. Mythos n’a pas révolutionné la cybersécurité. Il a surtout mis en lumière l’ampleur des vulnérabilités qui restaient jusqu’ici non corrigées.

L’illusion de la gestion des vulnérabilités

Pendant des années, le secteur a vécu sur une fiction rassurante ; le délai entre la découverte d’une vulnérabilité et son exploitation laissait aux équipes de sécurité le temps nécessaire pour la corriger. Ce délai existait parce que les capacités des attaquants étaient limitées ; mais avec Mythos, cette limite est en train de disparaître.

Selon Anthropic, le modèle peut identifier et exploiter une vulnérabilité de manière autonome en quelques heures. Une vitesse qui remet en cause l’un des fondements des programmes de sécurité : l’idée qu’il existe encore un délai suffisant pour corriger une faille avant qu’elle ne soit exploitée.

Les chiffres confirment l’ampleur du problème.

Selon Gartner, moins de 1 % des vulnérabilités identifiées par Mythos ont été corrigées. Le véritable enjeu n’est donc pas Mythos, mais l’accumulation de vulnérabilités non corrigées, désormais à la portée de tout attaquant disposant d’une technologie comparable.

Une étude de Kenna Security et du Cyentia Institute montre par ailleurs que 77 % des vulnérabilités connues n’ont jamais fait l’objet d’une exploitation observée dans la nature. Le modèle du « tout détecter, tout corriger » a toujours relevé du théâtre. Mythos n’a fait qu’en révéler les failles.

Pour autant, Mythos ne change pas la nature du principal obstacle. Le véritable goulot d’étranglement n’a jamais été la découverte des vulnérabilités, mais la capacité à déterminer lesquelles doivent être traitées en priorité. Parmi les milliers de CVE présentes dans un système d’information, lesquelles sont réellement exploitables depuis Internet ? Lesquelles concernent effectivement l’environnement en place ? Lesquelles restent exploitables malgré les contrôles compensatoires ?

Mythos rend cette question plus urgente, sans y apporter de réponse.

Prioriser les vulnérabilités exige plus qu’un score CVSS

La première réaction de nombreuses organisations sera de multiplier les scanners. Pourtant, le problème n’est pas là. Les scores CVSS évaluent la gravité théorique d’une vulnérabilité, sans tenir compte de son exposition réelle sur Internet ni de son impact opérationnel.

Ce qui compte désormais, c’est le contexte : savoir quelles vulnérabilités sont réellement exploitables dans l’environnement de l’entreprise et lesquelles doivent être corrigées en priorité. Un scanner hebdomadaire qui génère un fichier CSV ne peut plus répondre à cet enjeu. Lorsque le délai d’exploitation se compte en heures, il faut une visibilité continue sur les terminaux, les logiciels installés, les versions réellement exécutées et les interactions entre les composants du système.

En reliant cette détection à un agent EDR, les équipes de sécurité peuvent déterminer rapidement si une CVE critique concerne un composant réellement actif dans leur environnement. Cette visibilité permet de prioriser les actions de remédiation en fonction du risque réel, plutôt que de la seule sévérité théorique.

Chercher à tout corriger n’est plus une stratégie ; l’enjeu est d’identifier les quelques dizaines de vulnérabilités qui exposent réellement l’organisation et de concentrer les efforts de remédiation sur celles-ci.

Avec Mythos, un nouveau standard s’impose

Mythos est le début d’une nouvelle génération d’outils. Quelques jours après son lancement, OpenAI dévoilait GPT-5.4-Cyber, un modèle dédié à la recherche en cybersécurité, déjà plus performant que Mythos Preview sur plusieurs benchmarks.

Dans le même temps, SC World rapportait qu’un modèle chinois open weight, distribué sous licence MIT, surpassait lui aussi plusieurs modèles de référence en détection de vulnérabilités, pour un coût environ huit fois inférieur.

Les contrôles d’accès mis en place par Anthropic autour de Mythos offrent un répit, mais ne changent rien à la tendance de fond. Les capacités se diffusent, les coûts baissent et les modèles se multiplient. Construire une stratégie de sécurité à partir de ce que Mythos est capable de faire aujourd’hui, c’est déjà regarder dans le rétroviseur.

La découverte de vulnérabilités assistée par l’IA est désormais une réalité durable, avec laquelle devront composer aussi bien les attaquants que les défenseurs.

La gestion des vulnérabilités n’est qu’un moyen, pas une fin

Le véritable changement apporté par les LLM et l’IA agentique ne tient pas seulement à leur capacité à découvrir des vulnérabilités. Il réside surtout dans leur aptitude à accélérer chaque étape d’une attaque après la compromission initiale. Les agents IA peuvent exploiter une faille, élever leurs privilèges, se déplacer latéralement et exfiltrer des données à une vitesse inédite.

Les frontières traditionnelles entre postes de travail, navigateurs, serveurs et applications deviennent alors beaucoup moins pertinentes. Pour suivre ce rythme, les capacités de détection et de réponse devront elles aussi évoluer afin d’observer, comprendre et contenir des systèmes d’IA capables de raisonner et d’agir de manière autonome, en s’appuyant sur les les solutions de sécurité déjà déployées sur les terminaux.

L’étape suivante sera l’AIDR (Artificial Intelligence Detection and Response). Non pas un nouveau label marketing, mais une évolution de l’architecture de sécurité.

L’objectif est de confier aux agents IA le tri des alertes, la corrélation des signaux à l’échelle du système d’information et la prise en charge des tâches répétitives, afin que les analystes se concentrent sur les décisions qui requièrent une véritable expertise.

Dans cette architecture, le VOC et le SOC ne peuvent plus fonctionner en silos ; dès qu’une CVE critique est identifiée, la recherche de signes d’exploitation doit être lancée immédiatement. Le délai entre ces deux étapes se mesure désormais en minutes, et non plus en jours.

Les règles du jeu restent les mêmes

Mythos n’impose pas un nouveau paradigme de sécurité, il oblige à mettre en œuvre les principes existants avec une rapidité et une précision que la plupart des organisations n’ont pas encore atteint : visibilité sur les actifs, priorisation contextualisée, automatisation, surveillance continue, au rythme d’attaquants désormais assistés par IA.

Les organisations qui avaient investi dans ces fondamentaux avant avril 2026 savent déjà quelles vulnérabilités exigent une intervention immédiate et lesquelles peuvent attendre.

Ce n’est pas un avantage produit, mais ces sont des décisions architecturales prises bien avant que le sujet ne devienne incontournable. La question n’est plus de savoir ce que Mythos a changé, mais sur quel délai, désormais disparu, reposaient les stratégies de sécurité.

* Anouck Teiller est CEO deputy chez HarfangLab

The post Ce que Claude Mythos révèle de nos stratégies de cybersécurité appeared first on Silicon.fr.