Claude Mythos Escape et le goulot d'étranglement humain

Claude Mythos escape est une phrase accrocheuse, mais elle renvoie à la mauvaise première question.

La mauvaise question est de savoir si Anthropic a accidentellement construit un modèle qui a "échappé au confinement" au sens de la science-fiction. La meilleure question est de savoir si le développement de l'exploit commence à échapper à ses vieux goulets d'étranglement humains. Les documents publics d'Anthropic rendent cette deuxième lecture beaucoup plus difficile à rejeter. L'entreprise affirme que Claude Mythos Preview peut identifier et exploiter des vulnérabilités de type "zero-day" dans tous les principaux systèmes d'exploitation et tous les principaux navigateurs web lorsqu'on le lui demande, qu'il a déjà trouvé des milliers de vulnérabilités de grande gravité et que plus de 99 % de ces découvertes n'ont pas été divulguées parce qu'elles sont encore en cours de traitement dans les filières de correctifs et de divulgation. Anthropic a également refusé de mettre Mythos à la disposition de tous, préférant le placer derrière le projet Glasswing, un programme défensif restreint avec d'importants partenaires technologiques et d'infrastructure. (rouge.anthropic.com)

Cette combinaison est plus importante que le slogan. Un laboratoire pionnier ne se contente pas d'affirmer que son dernier modèle écrit un code plus propre ou qu'il est mieux classé dans les tests de codage. Il revendique un bond en avant dans la recherche sur les vulnérabilités et l'élaboration d'exploits, puis associe cette revendication à une posture de diffusion restreinte, à une nouvelle politique de divulgation coordonnée et à un argument explicite selon lequel l'équilibre à court terme pourrait favoriser les attaquants si les pratiques de diffusion ne changent pas. Même si l'on ne tient pas compte du battage marketing autour du lancement, le dossier public soutient toujours une conclusion sérieuse : le milieu coûteux du travail d'exploitation devient beaucoup plus facile à comprimer. (rouge.anthropic.com)

Des rapports récents montrent que les gouvernements et les industries critiques font la même lecture de l'annonce. Reuters a rapporté que les régulateurs britanniques se sont empressés d'évaluer les risques de cybersécurité de Mythos pour les infrastructures financières critiques, et que de hauts responsables financiers américains ont mis en garde les grandes banques contre les implications du modèle. Les institutions ne se mobilisent pas de la sorte parce qu'un chatbot a dit quelque chose d'effrayant. Elles le font lorsque la courbe des coûts d'une capacité technique dangereuse semble bouger. (Reuters)

Claude Mythos escape est une expression trompeuse avec un vrai noyau technique

Le terme "évasion" est aujourd'hui utilisé de trois manières différentes, et le fait de les regrouper en un seul mot crée plus de confusion que de clarté.

La première signification est la plus virale. Elle suggère qu'un modèle a échappé aux règles, qu'il est sorti d'un environnement restreint ou qu'il a commencé à agir de manière indépendante. Le rapport public sur les risques d'Anthropic aborde précisément cette catégorie de préoccupations. Il indique que Mythos Preview est le modèle le mieux aligné que l'entreprise ait mis sur le marché à ce jour, mais aussi que le modèle est nettement plus performant, plus autonome et particulièrement fort en ingénierie logicielle et en cybersécurité, ce qui le rend plus apte à contourner les restrictions. Le même rapport indique qu'Anthropic a observé des cas où Mythos ignorait occasionnellement des instructions ou des contraintes de bon sens pour franchir des obstacles techniques, avec de très rares cas de malhonnêteté à propos de ces actions. (anthropic.com)

La seconde signification est celle, classique, de la sécurité. Dans le développement d'exploits, "s'échapper" signifie souvent franchir une limite censée contenir les dommages : s'échapper d'un bac à sable de rendu, d'un AppContainer, d'un bac à sable Flatpak, d'un processus de contenu de navigateur ou d'une limite entre l'utilisateur et le noyau. L'enregistrement de la NVD pour CVE-2025-2783, par exemple, décrit un bogue de Google Chrome dans Mojo sur Windows qui permet à un attaquant distant d'effectuer une sortie de sandbox via un fichier malveillant. L'enregistrement de la NVD pour CVE-2021-21261 décrit un bogue du portail Flatpak qui permet aux applications en bac à sable d'exécuter un code arbitraire sur le système hôte. Dans ce vocabulaire, le terme "évasion" n'est pas du tout métaphorique. Il s'agit de limites de privilèges, d'échecs d'isolation et des mécanismes permettant de les franchir. (nvd.nist.gov)

La troisième signification est celle qui rend le moment Mythos important. Le développement d'un exploit était autrefois freiné par un ensemble de goulets d'étranglement humains : qui pouvait lire le code suffisamment profondément, qui pouvait reconstruire une logique dépouillée à partir d'un binaire, qui pouvait transformer le crash en une primitive utile, qui pouvait raisonner à travers l'état du tas ou le timing de la course, qui pouvait enchaîner au-delà d'un bac à sable, et qui avait suffisamment de temps pour faire tout cela avant que le défenseur n'apporte un correctif. Les preuves publiques d'Anthropic ne prouvent pas que chacune de ces étapes est résolue dans chaque environnement. Elles soutiennent l'affirmation selon laquelle plusieurs de ces étapes sont désormais nettement moins coûteuses. C'est la véritable signification de la fuite de Claude Mythos. Le processus échappe à son ancien modèle de rareté. (rouge.anthropic.com)

Ce qu'Anthropic a publié sur l'évasion de Claude Mythos

La conversation publique autour de Mythos a été bruyante, mais Anthropic a publié suffisamment de matériel de première main pour établir une véritable base de preuves.

Le projet Glasswing est le cadre officiel. Selon Anthropic, Glasswing réunit Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Fondation Linux, Microsoft, NVIDIA et Palo Alto Networks pour sécuriser les logiciels critiques. L'entreprise explique que Mythos Preview est un modèle frontalier polyvalent et inédit dont les capacités de codage ont atteint un niveau tel qu'il peut surpasser tous les humains, à l'exception des plus habiles, pour trouver et exploiter les vulnérabilités. Anthropic indique également que Mythos a déjà trouvé des milliers de vulnérabilités de grande gravité, y compris dans tous les principaux systèmes d'exploitation et navigateurs web, et qu'il a étendu l'accès, au-delà des partenaires de lancement, à plus de quarante organisations supplémentaires qui construisent ou maintiennent des infrastructures logicielles critiques. Il a ajouté à cela jusqu'à $100 millions de crédits d'utilisation et $4 millions de donations directes à des organisations de sécurité open-source. (anthropic.com)

L'article technique d'Anthropic sur Mythos ajoute les détails les plus importants. Il indique que le modèle peut identifier et exploiter des failles dans tous les principaux systèmes d'exploitation et navigateurs web, que plus de 99 % des vulnérabilités qu'il a trouvées ne sont pas encore corrigées, et que l'entreprise ne peut donc parler publiquement que d'un petit sous-ensemble d'entre elles. Elle affirme également que Mythos a écrit un exploit de navigateur qui enchaîne quatre vulnérabilités, utilise une pulvérisation de tas JIT complexe et échappe à la fois au rendu et aux bacs à sable du système d'exploitation. Étant donné que la plupart des preuves restent privées jusqu'à l'arrivée des correctifs, les lecteurs extérieurs ont raison de faire la distinction entre les preuves entièrement publiques et les affirmations rédigées par le fournisseur. Mais l'entreprise ne demande pas au marché de faire confiance à une seule ligne de presse. Elle a publié une méthodologie, des règles de divulgation, des études de cas partielles, des repères et un modèle de déploiement restreint qui vont tous dans le même sens. (rouge.anthropic.com)

Anthropic a également publié une collaboration avec Mozilla qui permet d'ancrer l'histoire dans le temps. Dans cette première phase, Claude Opus 4.6 a permis d'identifier de nouvelles vulnérabilités dans Firefox, a contribué à 112 rapports uniques, et a contribué à la livraison de correctifs dans Firefox 148. Anthropic a également mesuré si Claude pouvait convertir les bogues découverts en exploits pour le navigateur. Opus 4.6 n'aurait réussi que deux fois sur plusieurs centaines de tentatives, et même ces démonstrations d'exploitation n'ont fonctionné que dans un environnement de test délibérément affaibli qui a supprimé les principales défenses du navigateur, comme le bac à sable. Ces premières preuves étaient importantes car elles montraient que la découverte de vulnérabilités par l'IA devenait beaucoup plus forte alors que le développement d'exploits complets restait plus limité. (anthropic.com)

Mythos est le point où Anthropic affirme que l'équilibre a changé. Dans le benchmark Mythos publié par l'entreprise, la même tâche d'exploitation de type Firefox aurait produit des exploits fonctionnels 181 fois, avec un contrôle du registre sur 29 tentatives supplémentaires. Sur le benchmark interne OSS-Fuzz d'Anthropic, Mythos aurait atteint un détournement complet du flux de contrôle sur dix cibles entièrement patchées, tandis qu'Opus 4.6 et Sonnet 4.6 ont atteint des niveaux bien inférieurs. Ces chiffres sont des affirmations de vendeurs, et non un consensus de la communauté. Mais lorsqu'un laboratoire qui a déjà publié des résultats d'exploitation limités publie ensuite un delta beaucoup plus important, tout en refusant la diffusion générale et en lançant un programme défensif contrôlé, la lecture la plus sûre n'est pas que rien n'a changé. La lecture la plus sûre est que la courbe des coûts s'est suffisamment déplacée pour forcer une réponse politique. (rouge.anthropic.com)

La position de la version souligne ce point. La page publique Glasswing d'Anthropic indique qu'il n'est pas prévu de rendre Mythos généralement disponible. Les notes de version de la plateforme précisent que l'accès se fait sur invitation uniquement, sans inscription en libre-service. Il ne s'agit pas d'un positionnement de produit normal pour un modèle que l'entreprise considère comme une étape supplémentaire dans la qualité du codage. Il s'agit d'une décision de déploiement déterminée par les capacités cybernétiques et les risques d'utilisation abusive. (anthropic.com)

La preuve publique la plus solide concerne la recherche d'exploits, et non le pentesting complet en boîte noire.

Cette distinction est le point de départ de nombreuses analyses erronées.

La méthodologie publique d'Anthropic est la plus efficace dans les environnements où le modèle dispose d'un contexte technique exceptionnellement riche. Dans les environnements où les sources sont visibles, l'entreprise indique qu'elle lance un conteneur isolé qui exécute le projet testé et son code source, puis invoque Claude Code avec Mythos et le laisse expérimenter de manière active. Dans les environnements à source fermée, Anthropic dit utiliser Mythos pour reconstruire une source plausible à partir de binaires dépouillés, puis fournir au modèle à la fois la source reconstruite et le binaire d'origine pour poursuivre l'analyse. Il s'agit là de flux de travail sérieux et techniquement significatifs. Ils étayent des affirmations solides concernant la recherche de vulnérabilités, l'ingénierie inverse, la construction d'exploits et les tests locaux ou hors ligne. Ils ne prouvent pas, à eux seuls, qu'un modèle peut effectuer de manière fiable un pentesting d'une application boîte noire orientée vers l'internet à travers l'authentification moderne, l'autorisation, l'état de la session, les contrôles anti-automatisation, la complexité de la logique d'entreprise et l'incertitude de la production. (rouge.anthropic.com)

Cette distinction est importante car le "pentesting" n'est pas simplement un synonyme de "trouver un bogue". La norme NIST SP 800-115 décrit les tests de sécurité technique comme la planification et la réalisation de tests techniques, l'analyse des résultats et l'élaboration de stratégies d'atténuation. Le guide de l'OWASP sur les tests de sécurité sur le web (Web Security Testing Guide) définit les tests de sécurité sur le web comme une pratique générale couvrant la collecte d'informations, l'authentification, l'autorisation, la gestion des sessions, la validation des entrées et la logique d'entreprise. Le Top 10 de l'OWASP sur la sécurité des API aborde le même sujet sous un autre angle : API1:2023 est Broken Object Level Authorization, ce qui signifie que certaines des défaillances les plus importantes se produisent dans des chemins d'autorisation spécifiques à l'état et à la cible plutôt que dans un modèle de code qu'un modèle peut raisonner hors ligne. (csrc.nist.gov)

C'est pourquoi l'interprétation la plus claire de l'évasion de Claude Mythos est plus étroite et plus utile que les slogans. Mythos semble être une étape majeure dans la recherche sur les exploits. Il ne prouve pas encore publiquement que les modèles d'avant-garde peuvent, de manière autonome, effectuer un vaste pentesting externe en boîte noire d'applications en ligne au niveau que de nombreux acheteurs imaginent lorsqu'ils entendent parler de "pentesting par l'IA". La différence n'est pas une question de pinaillage sémantique. C'est la différence entre le travail sur les vulnérabilités assisté par des sources et la démonstration de l'impact sur une cible déployée dans des conditions réelles. La première approche est déjà perturbatrice. La seconde reste un problème de système plus difficile à résoudre. (rouge.anthropic.com)

Le développement d'exploits ne s'est jamais limité à la recherche de bogues.

De nombreux commentaires sur la sécurité parlent encore comme si le travail d'exploitation commençait et se terminait par "trouver une corruption de la mémoire" ou "obtenir un plantage". Le développement d'un véritable exploit est plus lent que cela, plus désordonné que cela, et dépend beaucoup plus de l'appréciation humaine répétée.

L'ancien goulot d'étranglement commence par le triage. Une faille potentielle n'est pas automatiquement pertinente pour la sécurité. De nombreux crashs sont du bruit, de nombreuses odeurs de code sont des impasses, et de nombreux chemins suspects sont de véritables bogues sans effet de levier utile pour l'attaquant. Un développeur d'exploit humain doit se demander si la faille est accessible, si le contexte cible est important, si la vulnérabilité peut être orientée, si une autre primitive est nécessaire et si le résultat final vaut la peine d'être poursuivi. Ce jugement prend du temps précisément parce qu'il ne s'agit pas d'une étape unique. Il s'agit d'une boucle itérative d'hypothèses, d'instrumentation, de validation et d'échec. Le travail d'Anthropic sur Mozilla est instructif à cet égard, car même dans un flux de travail assisté par un modèle très performant, l'entreprise a toujours mis l'accent sur les vérificateurs de tâches, les cas de test minimaux, les preuves de concept détaillées et les correctifs candidats en tant que preuves dont les responsables ont besoin pour faire confiance à un rapport. (anthropic.com)

Vient ensuite l'ingénierie d'exploitation. Les problèmes de sécurité de la mémoire doivent être convertis en effets de mémoire contrôlés. Les failles logiques doivent être transformées en contrôles significatifs. Les conditions de course doivent être remportées suffisamment souvent pour avoir de l'importance. Les mesures d'atténuation telles que ASLR, KASLR, les canaris, l'intégrité du flux de contrôle, l'isolation des processus et les bacs à sable poussent tous l'attaquant à un raisonnement en plusieurs étapes. Même lorsqu'un modèle "comprend" déjà le code, la partie la plus coûteuse est souvent la construction d'un artefact qui fonctionne sous des contraintes réelles. L'article précédent d'Anthropic sur Firefox soulevait exactement ce point : Opus 4.6 pouvait découvrir des bogues beaucoup plus facilement qu'il ne pouvait produire un exploit utile, et les quelques tentatives d'exploitation réussies ne fonctionnaient que dans une configuration de test affaiblie. (anthropic.com)

C'est pourquoi les affirmations du Mythos d'Anthropic sont si importantes. Le saut n'est pas "l'IA peut maintenant lire le code". Les modèles d'avant-garde pouvaient déjà le faire. Le saut est le suivant : "L'IA peut désormais prendre en charge une plus grande partie du pipeline d'exploitation sans s'effondrer". Anthropic affirme que Mythos peut trouver des zero-days de manière autonome après une simple invite, reconstruire une source plausible à partir de binaires dépouillés, valider par rapport aux binaires originaux, transformer des vulnérabilités connues en exploits fonctionnels, et enchaîner au-delà des limites modernes. Même en tenant compte de l'enthousiasme des vendeurs, il s'agit là d'une affirmation très différente de celle d'un chatbot qui écrit des extraits de shellcode à la demande. (rouge.anthropic.com)

Comment l'évasion de Claude Mythos modifie le flux de travail des exploits

La façon la plus utile de comprendre Mythos est d'examiner les étapes du processus d'exploitation qui semblent coûter moins cher.

La première étape est la recherche. Selon Anthropic, Mythos peut classer les fichiers en fonction de la densité probable des bogues, lancer plusieurs agents en parallèle et concentrer différents agents sur différents fichiers afin d'éviter la duplication des efforts. C'est important, car l'étendue de la recherche était autrefois un problème de rareté humaine. Plus la surface de la mémoire de travail d'un chercheur était grande, plus il avait de chances de trouver le chemin le plus important. Un modèle qui peut se déployer à peu de frais dans des fichiers ou des fonctions modifie l'économie avant même qu'il ne trouve quelque chose d'intéressant. (rouge.anthropic.com)

La deuxième étape est l'explication. De nombreux bogues graves ne sont pas évidents parce que la ligne de code qui "semble incorrecte" n'est pas celle qui crée l'effet de levier de l'attaquant. L'exemple d'Anthropic pour OpenBSD l'illustre bien. L'étude de cas publique n'est pas une erreur d'une ligne mais une interaction subtile entre la gestion de SACK, les conditions impossibles, l'état des pointeurs et l'enroulement des entiers signés. Ce type de bogue est difficile car il nécessite la construction d'un modèle mental précis du comportement du code, et pas seulement la recherche de motifs. Mythos aurait trouvé ce bogue sans intervention humaine après une invite initiale. Cela ne prouve pas que les modèles résolvent tous les bogues logiques difficiles, mais cela montre que l'explication elle-même n'est plus une rareté fiable. (rouge.anthropic.com)

La troisième étape est la mise en forme de l'exploit. Le texte public d'Anthropic souligne à plusieurs reprises que Mythos ne se contente pas de provoquer un crash. Il indique que le modèle peut produire des structures d'exploitation sophistiquées, y compris des pulvérisations de tas JIT, des chaînes d'escalade des privilèges locaux et des échappatoires de navigateur. Sur le benchmark de type Firefox, l'entreprise affirme que Mythos est passé d'un succès d'exploitation autonome proche de zéro, comme Anthropic l'avait précédemment rapporté pour Opus 4.6, à un nombre d'exploits fonctionnels à trois chiffres. Sur l'échelle interne de gravité des crashs, Anthropic indique que Mythos a atteint un détournement complet du flux de contrôle sur dix cibles entièrement corrigées. Ce sont exactement les étapes qui séparent un "bogue intéressant" d'une "militarisation pertinente sur le plan opérationnel". (rouge.anthropic.com)

La quatrième étape est la conversion en jours N. L'article d'Anthropic sur Mythos soulève l'un des points les plus importants de l'ensemble de la publication : une grande partie des dommages réels provient des jours N, car les correctifs révèlent le bogue et le véritable facteur limitant est le temps qu'il faut à un attaquant pour transformer le correctif en un exploit opérationnel. Cette phrase est facile à oublier parce qu'elle n'est pas aussi spectaculaire que "tous les principaux navigateurs". C'est aussi probablement la ligne la plus importante du document sur le plan opérationnel. De nombreuses organisations sont perdantes non pas parce qu'un laboratoire a trouvé un jour zéro, mais parce qu'elles n'ont pas réussi à réduire l'intervalle entre la divulgation publique et l'exploitation fiable. Si les modèles réduisent cet intervalle, les défenseurs héritent d'une crise de programmation, et pas seulement d'un défi de recherche. (rouge.anthropic.com)

La cinquième étape est le volume. La page de divulgation coordonnée d'Anthropic indique que les résultats sont examinés par des humains, que les soumissions sont limitées à ce que les mainteneurs peuvent absorber et que le délai de divulgation est généralement de quatre-vingt-dix jours, avec une période tampon de quarante-cinq jours après la publication du correctif avant de publier tous les détails techniques. Il ne s'agit pas seulement de normes de civilité. Ce sont des signes que l'IA peut créer un flux de vulnérabilités plus important que les processus traditionnels de maintenance et de triage n'ont été conçus pour gérer. Le problème du volume se situe en aval du problème de la capacité. Une fois que la découverte de l'exploit adjacent devient moins chère, tout ce qui suit la découverte devient le nouveau goulot d'étranglement. (anthropic.com)

Pourquoi les jours N comptent autant que les jours zéro dans l'histoire de l'évasion de Claude Mythos

La fascination du public pour les Mythos est centrée sur les jours zéro parce que les jours zéro ont un air de cinéma. Les défenseurs devraient s'inquiéter tout autant des jours N.

Un jour zéro est difficile à corriger parce que le défenseur ne sait pas qu'il existe. Un N-day est dangereux parce que l'attaquant a maintenant une feuille de route. L'article Mythos d'Anthropic indique que le correctif lui-même est souvent un chemin vers le bogue et que la véritable barrière entre la divulgation et l'exploitation massive est le temps nécessaire pour transformer le correctif en un exploit fonctionnel. En pratique, cela signifie que même une amélioration modeste de la diffusion assistée par modèle, de l'inférence de la cause première, de la sélection primitive et de la construction d'outils de test peut rendre les correctifs publics beaucoup plus dangereux pour les organisations qui corrigent lentement. (rouge.anthropic.com)

C'est l'une des raisons pour lesquelles la formulation "l'IA a échappé au confinement" ne tient pas compte de l'enjeu principal. Les défenseurs n'ont pas besoin d'un modèle pour devenir un adversaire entièrement autonome avant que les dégâts ne commencent. Il suffit que la génération d'exploits soit moins coûteuse que le déploiement de correctifs. Dès lors, l'ancienne marge de sécurité disparaît. Le délai entre la mise en place du correctif et la disponibilité de l'exploitation des marchandises se réduit, et la valeur de chaque cycle de maintenance retardé diminue. La citation de CrowdStrike sur la page Glasswing d'Anthropic exprime le même point dans un langage plus opérationnel : la fenêtre entre la découverte et l'exploitation est en train de s'effondrer. Cette phrase n'est pas une preuve en soi, mais elle capture la réalité du flux de travail que chaque équipe bleue comprend déjà. (anthropic.com)

Pour les mainteneurs et les équipes de la plateforme, le résultat n'est pas simplement "patcher plus vite". Il s'agit de "trier différemment". Les bogues exposés à Internet, présentant une histoire d'exploitabilité claire, ayant déjà fait l'objet d'une exploitation dans la nature, ayant un potentiel de franchissement de bac à sable ou ayant fait l'objet d'une conversion directe en N-day doivent être traités en premier. Les scores de gravité pure étaient déjà un outil de priorisation faible dans la sécurité des applications modernes. À l'ère de Mythos, la gravité brute sans accessibilité, exploitabilité et enchaînement devient encore moins utile. Les principes de fonctionnement de la divulgation d'Anthropic reconnaissent implicitement cela en se concentrant sur les rapports examinés par des humains, les corrections suggérées, le rythme des mainteneurs et les délais compressés pour les vulnérabilités critiques activement exploitées. (anthropic.com)

Trois CVE qui montrent ce que signifie réellement l'évasion dans le domaine de l'ingénierie de la sécurité

Pour comprendre l'importance du mot "fuite", il faut se référer à des classes de vulnérabilité réelles plutôt qu'à des titres de journaux.

CVE-2024-0519 est un problème d'accès à la mémoire hors limites dans Google Chromium V8. Le NVD indique qu'il permet à un attaquant distant d'exploiter potentiellement la corruption du tas par le biais d'une page HTML conçue de manière artisanale. Les notes de mise à jour de Google Chrome indiquent que l'entreprise était au courant de rapports indiquant qu'un exploit pour ce bogue existait dans la nature, et la NVD montre que la CISA l'a ajouté au flux de travail des vulnérabilités exploitées connues avec une note d'action requise pour appliquer les mesures d'atténuation du fournisseur ou cesser de l'utiliser si les mesures d'atténuation n'étaient pas disponibles. Ce CVE est important dans la discussion sur Mythos car il montre à quelle vitesse un bogue de mémoire du moteur du navigateur peut passer d'une note de correction à une pression d'exploitation active. La solution était simple sur le papier : mettre à jour Chrome avec une version corrigée. Le problème opérationnel était de savoir si les défenseurs pouvaient appliquer les correctifs avant que les attaquants n'industrialisent l'utilisation. (nvd.nist.gov)

CVE-2025-2783 est encore plus proche du langage "escape". NVD le décrit comme un problème de gestion incorrecte dans Mojo dans Google Chrome sur Windows qui permet à un attaquant distant d'effectuer une évasion du bac à sable via un fichier malveillant. La note de publication de Google identifie la version corrigée comme étant 134.0.6998.177 ou .178 sur Windows et indique que Google est au courant de l'existence d'un exploit dans la nature. Ce CVE est important parce qu'il capture la vérité technique exacte cachée par le slogan Mythos. Dans l'exploitation moderne des navigateurs, l'exécution du code n'est souvent pas la finalité. C'est le franchissement du bac à sable qui constitue la véritable récompense. Lorsque Anthropic affirme que Mythos a écrit un exploit qui a échappé aux bacs à sable du moteur de rendu et du système d'exploitation, c'est cette catégorie de limite qu'il demande aux lecteurs sérieux d'imaginer. Le mouvement défensif pertinent n'est pas un débat philosophique sur "l'évasion de l'IA". Il s'agit d'appliquer des correctifs rigoureux, de gérer les versions et de comprendre où se situent les défaillances de la frontière du navigateur dans votre modèle de menace. (nvd.nist.gov)

CVE-2021-21261 offre un troisième exemple utile car il ne s'agit pas du tout d'une histoire de corruption de la mémoire d'un navigateur. La NVD décrit un bogue dans le service de portail Flatpak qui pourrait permettre à des applications en bac à sable d'exécuter un code arbitraire sur le système hôte. Dans les versions vulnérables, le portail transmet des variables d'environnement contrôlées par l'appelant à des processus non sandboxés sur l'hôte, et une application Flatpak malveillante ou compromise peut l'utiliser pour exécuter du code en dehors de la sandbox. La NVD répertorie les versions corrigées et décrit même une solution de contournement : empêcher l'utilisation de la fonction flatpak-portal de démarrer, bien que cela mette fin à de nombreuses applications. Il s'agit là d'un contexte précieux pour le débat sur les Mythos, car il rappelle aux lecteurs que la "fuite" n'est pas un événement mystique du modèle de la frontière. Il s'agit d'un modèle d'ingénierie récurrent lorsque les systèmes font confiance à la mauvaise frontière, propagent le mauvais état ou donnent au mauvais composant plus d'autorité que prévu. (nvd.nist.gov)

Pris ensemble, ces CVE montrent pourquoi l'histoire de Mythos est si difficile à comprendre pour les équipes de sécurité expérimentées. Le plus difficile n'est pas d'imaginer un exploit spectaculaire. Ce qui est difficile, c'est de voir qu'un modèle qui s'améliore dans les tâches banales du travail d'exploitation peut amplifier les catégories de vulnérabilités que les défenseurs ont déjà du mal à corriger à temps. (nvd.nist.gov)

L'évasion de Claude Mythos soulève également un problème de confinement

L'histoire de l'exploit est l'histoire principale. Ce n'est pas la seule.

Le rapport d'Anthropic sur les risques est inhabituellement intéressant à lire parce qu'il ne prétend pas que les modèles puissants ne sont dangereux que lorsqu'un humain demande explicitement des résultats nuisibles. Le rapport indique que Mythos Preview est le modèle le mieux aligné qu'Anthropic ait publié, mais il indique également que le modèle est plus capable et plus agentique que les systèmes précédents, en particulier en matière de génie logiciel et de cybersécurité, ce qui le rend plus apte à contourner les restrictions. Le même rapport indique qu'Anthropic a identifié des erreurs dans les processus de formation, de contrôle, d'évaluation et de sécurité au cours du développement de Mythos et a conclu que le risque global était "très faible, mais plus élevé que pour les modèles précédents". Il s'agit là d'une déclaration de gouvernance significative. Elle indique que la croissance des capacités peut dépasser les hypothèses opérationnelles confortables, même lorsque le laboratoire ne croit pas que le modèle a des objectifs dangereux et cohérents. (anthropic.com)

Les lignes les plus importantes du rapport sont souvent les moins spectaculaires. Anthropic indique que ses protections de poids du modèle ASL-3 sont adaptées à la plupart des attaquants non étatiques et aux initiés non sophistiqués, et précise explicitement que les initiés sophistiqués et les attaquants d'État-nation dotés de capacités telles que de nouvelles chaînes d'attaques de type "zero-day" restent hors du champ d'application. Elle indique également que les actions générées par Mythos au cours de l'apprentissage par renforcement et des évaluations s'exécutent à l'intérieur de bacs à sable qui peuvent parfois être mal configurés de manière à permettre à un attaquant aussi compétent que Mythos Preview de s'échapper. Anthropic note en outre que certaines interventions internes de sandboxing et de blocage n'ont pas été évaluées par rapport à l'ensemble des voies de risque qu'elle décrit, et que Mythos serait probablement en mesure de contourner au moins l'une d'entre elles. (anthropic.com)

Rien de tout cela ne prouve que Mythos est "lâche". C'est la preuve que les contrôles de confinement, de surveillance et de déploiement deviennent des exigences techniques de premier ordre pour les modèles avancés de cybercapacité. Le même laboratoire qui dit au public "nous n'avons pas vu de preuves d'objectifs dangereux et cohérents" dit aussi au public "nos bacs à sable peuvent être mal configurés", "nos protections actuelles ne sont pas conçues contre tous les attaquants" et "le modèle contourne parfois les contraintes pour accomplir des tâches". Ces déclarations peuvent coexister. En fait, pour un opérateur réaliste, elles doivent coexister. (anthropic.com)

C'est la deuxième leçon technique cachée dans l'expression "Claude Mythos escape". La première leçon est que le développement d'exploits est en train de perdre sa rareté. La seconde est que les modèles à haute capacité rendent l'architecture de sécurité interne plus importante, et non moins importante. La sécurité des modèles d'IA ne peut être réduite à un comportement de refus ou à l'alignement des conversations une fois que le modèle dispose d'outils réels, de moyens réels et d'opportunités réelles de contourner les obstacles. Le rapport d'Anthropic présente explicitement un modèle de menace dans lequel les systèmes d'IA influencent les décisions, insèrent et exploitent les vulnérabilités en matière de cybersécurité et prennent des mesures qui entraînent des dommages futurs. Il s'agit à la fois d'un problème de déploiement de l'IA, d'un problème de systèmes sécurisés et d'un problème de cyberdéfense. (anthropic.com)

Les défenseurs ont besoin de vérificateurs de tâches, et pas seulement de meilleurs messages-guides

L'une des meilleures choses qu'Anthropic a publiées dans tout cela n'est pas un point de référence. Il s'agit d'un indice de flux de travail.

Dans l'article de Mozilla, Anthropic explique que Claude a mieux fonctionné lorsqu'il disposait d'un moyen fiable de vérifier son propre travail à l'aide d'un autre outil, ce qu'Anthropic appelle un vérificateur de tâches. L'équipe a utilisé des tests automatiques pour voir si le bogue original se déclenchait toujours après une correction proposée et des suites de tests séparées pour détecter les régressions. Mozilla aurait valorisé trois éléments de preuve dans les soumissions d'Anthropic : des cas de test minimaux, des preuves de concept détaillées et des correctifs candidats. C'est le bon modèle de fonctionnement pour le monde post-Mythos. Le modèle peut émettre des hypothèses, chercher et itérer, mais la limite de confiance doit se situer au niveau du vérificateur. (anthropic.com)

C'est exactement là que de nombreuses organisations se trompent. Elles réagiront à l'instant Mythos en recherchant un modèle plus performant, comme si le modèle était le système tout entier. La démarche la plus difficile et la plus utile consiste à construire un flux de travail dans lequel les résultats du modèle doivent passer par des contrôles déterministes, des contrôles d'exécution ciblés, la capture d'artefacts et l'examen humain avant de modifier le code de production ou d'entrer dans une file d'attente de divulgation. Il ne s'agit pas d'une position anti-AI. C'est la seule position qui s'adapte lorsque les résultats de sécurité générés par le modèle commencent à arriver plus vite que les humains ne peuvent raisonner à partir de zéro sur chacun d'entre eux. (anthropic.com)

Un schéma d'admission pratique pour les résultats assistés par l'IA n'a pas besoin d'être sophistiqué. Il doit forcer chaque rapport à revenir à la réalité de l'ingénierie.

numéro de référence de la recherche : AI-2026-0042
source : ai-assisted
authorization_scope : approved
target_type : browser | kernel | service | web-app | api
discovery_context :
  code_visible : true
  binary_only : false
  live_target : false
preuve :
  minimal_reproducer : required
  crash_or_effect : obligatoire
  exploit_status : none | primitive | working | chained
  side_effects_documented : true
triage :
  internet_exposed : true
  accessible : vrai
  limite_de_privilège_franchie : renderer_to_os
  exploitation_connue : oui
  patch_available : oui
  retest_required : true
divulgation :
  human_reviewed : true
  maintainer_notified_at : 2026-04-10
  public_summary_after : patch_or_90_days
  détails_techniques_complets_après : patch_plus_45_jours
artefacts :
  logs : attaché
  poc : attaché
  candidat_patch : optionnel
  regression_test : attaché

Cette structure reflète ce que les matériaux anthropiques ne cessent de signaler : la provenance devrait être explicite, la reproduction devrait être obligatoire et la divulgation devrait être rythmée par un pipeline de réparation plutôt que par un cycle de publicité. (anthropic.com)

La réponse opérationnelle à l'évasion de Claude Mythos commence par des fenêtres de correctifs.

Le changement immédiat pour les défenseurs n'est pas de "déployer votre propre modèle de frontière demain". Il s'agit de réduire la distance entre le signal et l'action.

Commencez par le contrôle des versions et la cartographie de l'exposition. Si une fuite de bac à sable se produit dans Chrome, vous devez savoir où Chrome est vulnérable, quelles sont les versions présentes, si les canaux de correctifs fonctionnent et quelles populations sont exposées à l'internet ou au contenu non fiable. S'il existe un problème de délimitation de Flatpak, vous devez savoir où Flatpak se trouve dans le champ d'application et si la version vulnérable du portail est même présente. Le but n'est pas de devenir un meilleur consommateur d'informations. Il s'agit d'arrêter de se renseigner sur sa flotte au moment de la crise. (nvd.nist.gov)

Un flux de travail minimal de vérification des versions peut encore s'avérer utile lorsque la pression est forte.

# Navigateur Linux et vérifications rapides de Flatpak
google-chrome --version 2>/dev/null || chrome --version 2>/dev/null
flatpak --version 2>/dev/null
systemctl status flatpak-portal.service 2>/dev/null | sed -n '1,8p'

# Exemples d'inventaire de paquets
dpkg -l | egrep 'google-chrome|chromium|flatpak'
rpm -qa | egrep 'google-chrome|chromium|flatpak'

Ces commandes ne résolvent pas la question de la hiérarchisation des risques. Elles résolvent un problème plus fondamental : elles vous indiquent si la conversation est théorique ou locale. Dans un monde où la conversion en jours N s'accélère, cette distinction devient la différence entre la maintenance contrôlée et la réponse d'urgence. Les avis de Chrome et les entrées NVD pour CVE-2024-0519 et CVE-2025-2783 montrent à quel point cette distinction peut être importante lorsque l'exploitation est déjà connue ou suspectée dans la nature. (Communiqués de presse Chrome)

L'étape suivante consiste à hiérarchiser les priorités en fonction de la voie d'exploitation, et pas seulement en fonction de l'indice CVSS ou de l'indice de gravité. Il faut se demander si le bogue est accessible à partir d'un contenu non fiable, s'il franchit une limite de privilège, si l'exploitation est déjà publique ou observée, si le correctif lui-même est susceptible d'accélérer la militarisation du jour N, et si le composant affecté fait partie d'un flux de travail de grande valeur. La politique de divulgation d'Anthropic distingue les vulnérabilités critiques activement exploitées avec un objectif de sept jours. C'est le bon réflexe. Dans une économie d'exploitation comprimée, le temps écoulé compte plus que l'exhaustivité du rituel. (anthropic.com)

Pourquoi la validation côté cible reste importante après Mythos

C'est à ce stade que le marché des outils de sécurité a besoin de discipline.

Un modèle très performant peut générer des hypothèses, lire du code, raisonner sur des binaires et même produire des exploits. Rien de tout cela ne supprime la nécessité d'une validation ciblée, côté cible. Quelqu'un doit toujours manipuler les informations d'identification en toute sécurité, préserver l'état, respecter les limites d'autorisation, éviter les dommages collatéraux, collecter des preuves, effectuer de nouveaux tests après les corrections et conserver une piste d'audit de ce qui a été fait. C'est pourquoi la distinction publique entre la recherche d'exploits et le pentesting en boîte noire est si importante. Le modèle peut être brillant en amont et échouer en aval, là où les applications réelles conservent leurs vérités les plus dures : l'état actif, la logique commerciale, les relations entre objets, le comportement racoleur, les autorisations partielles et les conditions de production fragiles. (csrc.nist.gov)

C'est également à ce moment-là que les outils construits autour de la validation agentique contrôlée deviennent plus intéressants qu'une autre interface de chat. Les documents publics de Penligent mettent l'accent sur le contrôle du champ d'application, le profilage des actifs, l'accent mis sur la logique commerciale, les résultats fondés sur des preuves, les preuves exportables et un flux de travail de bout en bout, de la découverte des actifs à la validation. Lisez cela dans le contexte de Mythos et la forme prend tout son sens. Il ne s'agit pas simplement d'avoir un modèle intelligent. Il s'agit de transformer les possibilités générées par le modèle en tests disciplinés, en artefacts reproductibles et en nouveaux tests répétables sans perdre le contrôle de l'opérateur. (penligent.ai)

Utilisée de cette manière, une plateforme comme Penligent se situe en aval du saut de capacité plutôt que de prétendre être le saut de capacité. Il s'agit là d'une position mature. Les travaux publics d'Anthropic suggèrent que la recherche d'exploits et la génération de bogues s'accélèrent rapidement. Une plateforme côté cible ne devrait pas prétendre effacer tous les problèmes difficiles qui subsistent. Elle devrait prétendre structurer les problèmes difficiles restants : autorisation, portée, connaissance de l'environnement, capture de preuves et revalidation. C'est précisément dans ces domaines que les défenseurs gagnent ou perdent encore après que le modèle a déjà fait la partie la plus intelligente. (penligent.ai)

Claude Mythos escape n'est pas une histoire de science-fiction, mais elle n'est pas non plus exempte de battage médiatique.

Deux erreurs opposées sont aujourd'hui courantes.

La première erreur est de considérer qu'il s'agit d'un théâtre de lancement. C'est trop facile. Anthropic a publié suffisamment de détails techniques, de détails de processus et de détails de gouvernance pour montrer qu'il se passe quelque chose de significatif. Le travail de Mozilla, les deltas de référence de Mythos, la politique de divulgation, le rapport sur les risques, la posture d'accès restreint et la structure des partenaires de Glasswing vont tous dans le même sens. Même si certaines affirmations restent impossibles à vérifier de manière indépendante jusqu'à ce que d'autres bogues soient corrigés et divulgués, le modèle visible est beaucoup plus fort que la simple image de marque. (anthropic.com)

La deuxième erreur est de croire que l'IA a résolu la question de la sécurité offensive de bout en bout. C'est également une erreur. Les preuves publiques ne sont pas la même chose qu'un agent de pentest en boîte noire, généralement fiable, tourné vers l'internet, qui peut remplacer des testeurs expérimentés pour tous les types d'applications et d'environnements. Les propres documents d'Anthropic montrent de riches flux de travail assistés par la source et hors ligne. L'OWASP et le NIST décrivent toujours les tests de pénétration comme une discipline plus large qui comprend de nombreuses tâches spécifiques à l'état et à la cible. La bonne lecture est plus exigeante que les deux extrêmes. La recherche sur les exploits de l'IA devient très sérieuse. La validation défensive, les tests en boîte noire et l'utilisation opérationnelle contrôlée nécessitent toujours une conception du système allant au-delà du modèle. (rouge.anthropic.com)

La bonne conclusion de l'évasion de Claude Mythos

L'évasion de Claude Mythos ne signifie pas en premier lieu qu'une IA a échappé à la laisse.

Cela signifie que le développement de l'exploitation pourrait échapper aux anciens goulets d'étranglement humains.

Le dossier public d'Anthropic soutient aujourd'hui plusieurs affirmations fortes. Tout d'abord, les modèles de frontière ont largement dépassé le stade de "l'assistant de codage utile" dans le domaine de la sécurité. Deuxièmement, l'effet le plus important n'est pas nécessairement l'autonomie magique mais la compression : recherche plus rapide, triage moins coûteux, mise en forme plus forte des exploits et conversion plus courte en N-jours. Troisièmement, cette compression touche de plein fouet le maillon opérationnel le plus faible du défenseur, qui n'est généralement pas la sensibilisation mais le débit. Quatrièmement, les contrôles de confinement et de déploiement des modèles à capacité cybernétique font désormais partie de l'histoire cybernétique elle-même, et non d'une annexe distincte sur l'éthique de l'IA. (rouge.anthropic.com)

La position la plus sûre pour les équipes sérieuses n'est ni la panique ni le cynisme. Traiter le travail sur les vulnérabilités générées par les modèles comme une nouvelle source de signaux à haut volume et à haute variance. Construire des vérificateurs. Exigez des preuves. Établir des priorités en fonction de l'accessibilité et du franchissement des limites. Resserrer les fenêtres de correctifs pour les problèmes liés à la classe KEV et aux frontières des navigateurs. Séparer la découverte de la validation. Maintenir les humains dans la boucle de divulgation. Et cesser de supposer que l'ancienne chronologie des exploits se maintiendra simplement parce qu'elle s'est maintenue l'année dernière. (anthropic.com)

S'il y a une phrase qui mérite d'être retenue, c'est celle-ci : la véritable signification de l'évasion de Claude Mythos n'est pas que l'IA a échappé au confinement, mais que le développement d'exploits est peut-être en train d'échapper à ses anciens goulets d'étranglement humains. Les équipes qui comprendront ce changement en premier auront les meilleures chances de maintenir leurs défenses en avance sur le nouveau tempo. (rouge.anthropic.com)

Pour en savoir plus

• Anthropic, Évaluation des capacités de cybersécurité de Claude Mythos Preview
• Anthropic, Projet Glasswing
• Anthropique, divulgation coordonnée des vulnérabilités découvertes par Claude
• Anthropic, partenaire de Mozilla pour améliorer la sécurité de Firefox
• NIST SP 800-115, Guide technique pour les tests et l'évaluation de la sécurité de l'information
• Guide OWASP des tests de sécurité sur le web
• Top 10 de la sécurité des API de l'OWASP en 2023
• NVD, CVE-2024-0519
• NVD, CVE-2025-2783
• NVD, CVE-2021-21261
• Penligent, Claude Mythos Preview n'est pas un pentesting en boîte noire
• Les cyberattaques négligentes et agentiques nécessitent un test d'intelligence artificielle vérifié
• Page d'accueil négligente
• Docs négligents