Claude Mythos, launched in April 2026, triggered a wave of alarm in security teams: some CISOs rushed to buy new tools, while others quietly updated their CVE backlogs in the hope of buying time. But neither reaction addresses the real issue. Mythos did not reinvent cybersecurity; it exposed how many vulnerabilities had remained unpatched for far too long.

For years, the industry relied on a comforting fiction: the gap between vulnerability disclosure and real-world exploitation was long enough for defenders to patch in time. That window existed largely because attackers were constrained. Anthropic says Mythos can independently identify and exploit a vulnerability within hours, undermining one of the core assumptions behind vulnerability management programs.

The numbers are stark. Gartner says fewer than 1% of the vulnerabilities identified by Mythos have been patched. The real problem is not the model itself, but the stockpile of unremediated flaws now within reach of any attacker with comparable technology. Kenna Security and the Cyentia Institute have also found that 77% of known vulnerabilities have never been observed being exploited in the wild, reinforcing the article’s point that the “detect everything, fix everything” model has always been more theater than reality.

What Mythos does change is the urgency of prioritization. The bottleneck has never been finding vulnerabilities; it has been deciding which ones matter most. Out of thousands of CVEs in an information system, which are actually reachable from the internet, relevant to the deployed environment, and still exploitable despite compensating controls? Mythos does not answer that question, but it makes it impossible to ignore.

That is why simply multiplying scanners is not the answer. CVSS scores measure theoretical severity, not real exposure or operational impact. Weekly scans that produce CSV files are no longer enough when exploitation can happen in hours. Security teams need continuous visibility into endpoints, installed software, actual running versions, and interactions between system components. Tying that visibility to an EDR agent allows teams to quickly determine whether a critical CVE affects a component that is truly active in their environment, and to prioritize remediation based on real risk rather than abstract severity.

The implication is clear: trying to fix everything is no longer a strategy. Organizations must identify the few dozen vulnerabilities that genuinely expose them and focus remediation there.

Mythos also marks the start of a broader shift. Days after its launch, OpenAI introduced GPT-5.4-Cyber, a cybersecurity-focused model that already outperformed Mythos Preview on several benchmarks. At the same time, SC World reported that a Chinese open-weight model released under the MIT license was also beating several reference models in vulnerability detection, at roughly one-eighth the cost. Anthropic’s access controls around Mythos may buy some time, but they do not alter the underlying trend: capabilities are spreading, costs are falling, and more models are entering the field. Building a security strategy around what Mythos can do today is already looking backward.

The deeper change brought by LLMs and agentic AI is not just vulnerability discovery. It is the acceleration of every step after initial compromise: exploitation, privilege escalation, lateral movement, and data exfiltration can now happen at unprecedented speed. Traditional boundaries between workstations, browsers, servers, and applications matter less. Detection and response must evolve to observe, understand, and contain AI systems that can reason and act autonomously, while relying on existing endpoint security tools.

The next step is AIDR, or Artificial Intelligence Detection and Response—not a marketing label, but an architectural evolution. The goal is to let AI agents triage alerts, correlate signals across the information system, and handle repetitive tasks so analysts can focus on decisions requiring real expertise. In that model, VOC and SOC can no longer operate in silos: once a critical CVE is identified, signs of exploitation must be sought immediately. The delay between those two steps is now measured in minutes, not days.

Mythos therefore does not impose a new security paradigm. It forces organizations to execute long-established principles—asset visibility, contextual prioritization, automation, continuous monitoring—with a speed and precision most have not yet achieved. Those that had already invested in these fundamentals before April 2026 already know which vulnerabilities require immediate action and which can wait. The advantage is not the product; it is architectural discipline established before the issue became unavoidable.

L’arrivée de Claude Mythos en avril 2026 a suscité un emballement médiatique poussant les RSSI à réagir de deux façons : soit se précipiter pour acheter de nouveaux outils, soit mettre discrètement à jour leur backlog de CVE en espérant gagner du temps.

Pourtant, aucune de ces deux réactions ne répond véritablement au problème. Mythos n’a pas révolutionné la cybersécurité. Il a surtout mis en lumière l’ampleur des vulnérabilités qui restaient jusqu’ici non corrigées.

L’illusion de la gestion des vulnérabilités

Pendant des années, le secteur a vécu sur une fiction rassurante ; le délai entre la découverte d’une vulnérabilité et son exploitation laissait aux équipes de sécurité le temps nécessaire pour la corriger. Ce délai existait parce que les capacités des attaquants étaient limitées ; mais avec Mythos, cette limite est en train de disparaître.

Selon Anthropic, le modèle peut identifier et exploiter une vulnérabilité de manière autonome en quelques heures. Une vitesse qui remet en cause l’un des fondements des programmes de sécurité : l’idée qu’il existe encore un délai suffisant pour corriger une faille avant qu’elle ne soit exploitée.

Les chiffres confirment l’ampleur du problème.

Selon Gartner, moins de 1 % des vulnérabilités identifiées par Mythos ont été corrigées. Le véritable enjeu n’est donc pas Mythos, mais l’accumulation de vulnérabilités non corrigées, désormais à la portée de tout attaquant disposant d’une technologie comparable.

Une étude de Kenna Security et du Cyentia Institute montre par ailleurs que 77 % des vulnérabilités connues n’ont jamais fait l’objet d’une exploitation observée dans la nature. Le modèle du « tout détecter, tout corriger » a toujours relevé du théâtre. Mythos n’a fait qu’en révéler les failles.

Pour autant, Mythos ne change pas la nature du principal obstacle. Le véritable goulot d’étranglement n’a jamais été la découverte des vulnérabilités, mais la capacité à déterminer lesquelles doivent être traitées en priorité. Parmi les milliers de CVE présentes dans un système d’information, lesquelles sont réellement exploitables depuis Internet ? Lesquelles concernent effectivement l’environnement en place ? Lesquelles restent exploitables malgré les contrôles compensatoires ?

Mythos rend cette question plus urgente, sans y apporter de réponse.

Prioriser les vulnérabilités exige plus qu’un score CVSS

La première réaction de nombreuses organisations sera de multiplier les scanners. Pourtant, le problème n’est pas là. Les scores CVSS évaluent la gravité théorique d’une vulnérabilité, sans tenir compte de son exposition réelle sur Internet ni de son impact opérationnel.

Ce qui compte désormais, c’est le contexte : savoir quelles vulnérabilités sont réellement exploitables dans l’environnement de l’entreprise et lesquelles doivent être corrigées en priorité. Un scanner hebdomadaire qui génère un fichier CSV ne peut plus répondre à cet enjeu. Lorsque le délai d’exploitation se compte en heures, il faut une visibilité continue sur les terminaux, les logiciels installés, les versions réellement exécutées et les interactions entre les composants du système.

En reliant cette détection à un agent EDR, les équipes de sécurité peuvent déterminer rapidement si une CVE critique concerne un composant réellement actif dans leur environnement. Cette visibilité permet de prioriser les actions de remédiation en fonction du risque réel, plutôt que de la seule sévérité théorique.

Chercher à tout corriger n’est plus une stratégie ; l’enjeu est d’identifier les quelques dizaines de vulnérabilités qui exposent réellement l’organisation et de concentrer les efforts de remédiation sur celles-ci.

Avec Mythos, un nouveau standard s’impose

Mythos est le début d’une nouvelle génération d’outils. Quelques jours après son lancement, OpenAI dévoilait GPT-5.4-Cyber, un modèle dédié à la recherche en cybersécurité, déjà plus performant que Mythos Preview sur plusieurs benchmarks.

Dans le même temps, SC World rapportait qu’un modèle chinois open weight, distribué sous licence MIT, surpassait lui aussi plusieurs modèles de référence en détection de vulnérabilités, pour un coût environ huit fois inférieur.

Les contrôles d’accès mis en place par Anthropic autour de Mythos offrent un répit, mais ne changent rien à la tendance de fond. Les capacités se diffusent, les coûts baissent et les modèles se multiplient. Construire une stratégie de sécurité à partir de ce que Mythos est capable de faire aujourd’hui, c’est déjà regarder dans le rétroviseur.

La découverte de vulnérabilités assistée par l’IA est désormais une réalité durable, avec laquelle devront composer aussi bien les attaquants que les défenseurs.

La gestion des vulnérabilités n’est qu’un moyen, pas une fin

Le véritable changement apporté par les LLM et l’IA agentique ne tient pas seulement à leur capacité à découvrir des vulnérabilités. Il réside surtout dans leur aptitude à accélérer chaque étape d’une attaque après la compromission initiale. Les agents IA peuvent exploiter une faille, élever leurs privilèges, se déplacer latéralement et exfiltrer des données à une vitesse inédite.

Les frontières traditionnelles entre postes de travail, navigateurs, serveurs et applications deviennent alors beaucoup moins pertinentes. Pour suivre ce rythme, les capacités de détection et de réponse devront elles aussi évoluer afin d’observer, comprendre et contenir des systèmes d’IA capables de raisonner et d’agir de manière autonome, en s’appuyant sur les les solutions de sécurité déjà déployées sur les terminaux.

L’étape suivante sera l’AIDR (Artificial Intelligence Detection and Response). Non pas un nouveau label marketing, mais une évolution de l’architecture de sécurité.

L’objectif est de confier aux agents IA le tri des alertes, la corrélation des signaux à l’échelle du système d’information et la prise en charge des tâches répétitives, afin que les analystes se concentrent sur les décisions qui requièrent une véritable expertise.

Dans cette architecture, le VOC et le SOC ne peuvent plus fonctionner en silos ; dès qu’une CVE critique est identifiée, la recherche de signes d’exploitation doit être lancée immédiatement. Le délai entre ces deux étapes se mesure désormais en minutes, et non plus en jours.

Les règles du jeu restent les mêmes

Mythos n’impose pas un nouveau paradigme de sécurité, il oblige à mettre en œuvre les principes existants avec une rapidité et une précision que la plupart des organisations n’ont pas encore atteint : visibilité sur les actifs, priorisation contextualisée, automatisation, surveillance continue, au rythme d’attaquants désormais assistés par IA.

Les organisations qui avaient investi dans ces fondamentaux avant avril 2026 savent déjà quelles vulnérabilités exigent une intervention immédiate et lesquelles peuvent attendre.

Ce n’est pas un avantage produit, mais ces sont des décisions architecturales prises bien avant que le sujet ne devienne incontournable. La question n’est plus de savoir ce que Mythos a changé, mais sur quel délai, désormais disparu, reposaient les stratégies de sécurité.

* Anouck Teiller est CEO deputy chez HarfangLab

The post Ce que Claude Mythos révèle de nos stratégies de cybersécurité appeared first on Silicon.fr.