Claude Mythos : l’IA trop puissante pour être commercialisée

Le 7 avril 2026, Anthropic annonce la création d’une IA baptisée Claude Mythos Preview — et renonce immédiatement à la commercialiser. La raison ? Le modèle est jugé trop dangereux pour être mis entre toutes les mains. En quelques semaines de tests, il a découvert des milliers de failles critiques dans chaque grand système d’exploitation et chaque navigateur web du monde. Depuis, régulateurs financiers, agences de renseignement et experts en cybersécurité ne parlent plus que de ça. Et le 22 avril, un groupe non autorisé a réussi à y accéder. 

Lire plus : Tout savoir sur l’IA agentique !

Ce qu’est Mythos et pourquoi ça n’existait pas avant

Claude Mythos Preview est le modèle le plus puissant jamais développé par Anthropic. Pas une mise à jour de Claude Opus. Anthropic parle d’un « changement radical » par rapport à tout ce qu’ils ont construit jusque-là. Techniquement, il dispose d’une fenêtre de contexte d’1 million de tokens, soit la capacité de traiter l’équivalent de plusieurs romans en une seule session, et d’une base de connaissance arrêtée à décembre 2025.

Ce qui le distingue vraiment, c’est une capacité qui a émergé presque par accident. En améliorant ses compétences de raisonnement et de codage, Anthropic a découvert que le modèle était devenu extraordinairement doué pour identifier et exploiter des failles de sécurité informatique. Pas des failles connues : des vulnérabilités zero-day, des bugs inédits que personne n’avait encore trouvés.

Les chiffres parlent d’eux-mêmes. Lors des évaluations menées par l’AI Security Institute (AISI) britannique, Mythos a réussi des tâches de hacking de niveau expert 73 % du temps. Avant avril 2025, aucun modèle d’IA n’était capable d’en accomplir une seule. Il a aussi résolu « The Last Ones » — une simulation d’attaque en 32 étapes, prise de contrôle complète d’un réseau d’entreprise, 20 heures de travail pour un expert humain — dans 3 tentatives sur 10. Et il a surpassé son prédécesseur Claude Opus 4.6 de 31 points de pourcentage aux Olympiades de Mathématiques américaines 2026.

Ce n’est pas seulement un outil de hacking. C’est un modèle de raisonnement général d’une puissance hors norme.

Project Glasswing : quand Anthropic décide de ne pas vendre sa bombe

Face à ces résultats, Anthropic prend une décision rarissime dans l’industrie : ne pas commercialiser son modèle. Le seul précédent comparable remonte à 2019, quand OpenAI avait temporairement retenu GPT-2 pour des raisons bien moins graves.

À la place, Anthropic lance le Project Glasswing, une coalition défensive à accès fermé. L’idée : donner à un groupe sélectionné d’acteurs le temps d’utiliser Mythos pour identifier et corriger leurs propres vulnérabilités, avant que des acteurs malveillants ne développent des outils similaires. Anthropic investit 100 millions de dollars de crédits d’usage dans cette initiative, plus 4 millions de dons directs à des organisations de sécurité open source.

Les 12 partenaires officiels donnent le ton : Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, Nvidia, Palo Alto Networks. Onze entités américaines. Aucune européenne. L’ANSSI française, le BSI allemand, l’ENISA à Bruxelles — tous exclus. La Commission européenne a salué la décision de ne pas commercialiser le modèle, mais n’a aucun levier formel pour exiger un accès à Mythos ou à ses données.

La logique d’Anthropic tient sur le papier : sécuriser en priorité les systèmes d’exploitation, les navigateurs, l’infrastructure cloud et le secteur financier couvre la majorité de la surface d’attaque mondiale. Mais politiquement, ça crée deux vitesses. Et l’Europe est dans la mauvaise file.

Lire plus : Qui est Sam Altman ?

Les inquiétudes autour de Claude Mythos : entre risque et course aux armements

L’annonce de Mythos a déclenché une réaction en chaîne. Le secrétaire au Trésor américain Scott Bessent a réuni en urgence les dirigeants des grandes banques de Wall Street à Washington. Goldman Sachs, Citigroup, Bank of America et Morgan Stanley ont depuis rejoint Project Glasswing pour tester leurs systèmes. Au Royaume-Uni, la Bank of England, la FCA et le Trésor britannique ont enclenché des discussions d’urgence avec le National Cyber Security Centre.

La raison de cette panique est simple. Le temps entre la découverte d’une vulnérabilité et son exploitation par un attaquant, qui se mesurait en mois, se compte désormais en minutes avec l’IA. Mythos accélère encore ce calendrier. Le piratage assisté par l’IA avait déjà bondi de 89 % en 2025 selon CrowdStrike, partenaire fondateur de Project Glasswing. Le temps moyen pour qu’un attaquant agisse après avoir accédé à un système est tombé à 29 minutes — 65 % plus vite qu’en 2024.

La dimension géopolitique est explosive. Si une puissance adverse développe un outil similaire avant que les défenseurs aient pu corriger leurs systèmes, la fenêtre d’avantage se referme brutalement. La NSA, l’armée américaine et le GCHQ britannique auraient reçu un accès. Washington se retrouve dans une position inconfortable : retenir Mythos fragilise la défense américaine, le diffuser crée un risque mondial.

Mais tous les experts ne partagent pas la lecture apocalyptique. Peter Swire, professeur à Georgia Tech et ancien conseiller de Clinton et Obama, estime qu’une grande partie de la communauté académique en cybersécurité considère ça comme « à peu près ce qui était attendu ». Ciaran Martin, ancien directeur du National Cyber Security Centre britannique, juge que c’est un événement sérieux, mais peu probable d’être la fin du monde. Bruce Schneier, chercheur reconnu dans le domaine, a franchement questionné si Anthropic ne menait pas avant tout une stratégie de communication.

Le coup de théâtre : un accès non autorisé à Mythos confirmé

Le 22 avril 2026, l’affaire prend un tour encore plus sombre. Selon Bloomberg, un groupe d’utilisateurs non autorisés aurait accédé à Mythos via un prestataire tiers. Anthropic a confirmé ouvrir une enquête, tout en précisant qu’il n’existe à ce stade aucune preuve que ses propres systèmes aient été affectés.

L’ironie est cinglante. L’IA conçue pour trouver les failles des autres vient de voir son propre périmètre de sécurité percé — au moins partiellement. L’incident illustre le paradoxe central de Mythos : vouloir contrôler l’accès à un outil aussi puissant suppose une chaîne de sécurité parfaite à chaque maillon, prestataires inclus. Or la cybersécurité enseigne qu’une telle perfection n’existe pas.