Claude Mythos 5 et Project Glasswing : 7 vérités sur l’IA cyber que je révèle aux PME françaises

— Ce qu’Anthropic a réellement annoncé le 9 juin 2026

Le 9 juin 2026, Anthropic a publié sur son site officiel l’annonce conjointe de Claude Fable 5 et de Claude Mythos 5. C’est, selon l’éditeur, la première fois qu’un modèle de classe « Mythos » devient accessible au grand public. Fable 5 est présenté comme l’état de l’art sur la quasi-totalité des benchmarks de capacité — ingénierie logicielle, raisonnement, vision, recherche scientifique — avec un avantage d’autant plus marqué que les tâches sont longues et complexes.

Mais le point qui doit retenir l’attention de tout dirigeant de PME et de tout RSSI, c’est le volet cybersécurité. Mythos 5 et Fable 5 reposent sur le même modèle sous-jacent. La différence ? Sur Mythos 5, certains garde-fous sont levés. Et Anthropic est clair : Mythos 5 possède les capacités de cybersécurité les plus puissantes de tous les modèles au monde à ce jour.

Cette annonce arrive, comme l’a souligné TechCrunch, « quelques jours après qu’Anthropic a averti que l’IA devenait trop dangereuse ». L’éditeur avait en effet appelé les grands laboratoires à instaurer un « frein coordonné » sur le développement de l’IA de frontière, évoquant le risque d’auto-amélioration récursive. Lancer le modèle le plus puissant du marché dans la foulée de cet avertissement n’est pas une contradiction : c’est précisément la logique qui sous-tend l’architecture en deux versions que nous allons décortiquer.

— Project Glasswing : 10 000 vulnérabilités trouvées en quelques semaines

Project Glasswing est le programme par lequel Anthropic déploie Mythos 5 (et auparavant Mythos Preview) auprès d’un nombre limité de partenaires triés sur le volet : agences gouvernementales, cyberdéfenseurs et fournisseurs d’infrastructures systémiquement importantes. L’objectif affiché est défensif : utiliser la puissance offensive du modèle pour découvrir et corriger les failles avant que des acteurs malveillants ne les exploitent.

Le chiffre qui circule dans la couverture presse est saisissant : lors des premières semaines de Project Glasswing, Anthropic et environ 50 partenaires ont identifié plus de dix mille vulnérabilités de sévérité haute ou critique dans des logiciels d’importance systémique. Pour mettre cela en perspective : une équipe humaine de pentesteurs chevronnés découvre quelques dizaines à quelques centaines de failles critiques par an. On parle ici d’un facteur d’échelle qui change la nature même du métier.

Cette asymétrie est le cœur du sujet. Tant que ces capacités restent dans les mains des défenseurs, le bilan net est positif : les logiciels que vous utilisez tous les jours (systèmes d’exploitation, bibliothèques open source, équipements réseau) sont audités à une cadence inédite. Mais l’histoire de la cybersécurité nous a appris une chose : aucune capacité offensive ne reste éternellement confinée. La question n’est pas si des capacités comparables atteindront les attaquants, mais quand.

— Les garde-fous de Fable 5 et le repli sur Opus 4.8

Pour la version grand public, Anthropic a conçu un mécanisme de sécurité élégant. Lorsqu’une requête touche un domaine jugé à haut risque — cybersécurité offensive, biologie, chimie, distillation de modèles — Fable 5 ne répond pas avec ses pleines capacités : il bloque et bascule sur Claude Opus 4.8, un modèle plus ancien et moins capable dans ces domaines sensibles. D’après les données initiales communiquées par Anthropic, ce repli concerne au plus 5 % des sessions : autrement dit, au moins 95 % des échanges tournent intégralement sur Fable 5.

Anthropic a également imposé une rétention de 30 jours sur l’ensemble du trafic Fable 5 et Mythos 5. L’éditeur précise que ces données ne servent pas à l’entraînement, mais à « se défendre contre des attaques complexes et inédites, y compris de nouveaux jailbreaks » et à réduire les faux positifs. Pour une PME française soucieuse du RGPD, ce point mérite attention : si vos collaborateurs utilisent Fable 5 sur des données métier, vous devez tracer cet usage dans votre registre de traitements.

Ce dispositif n’est pas parfait, et la communauté de la recherche en sécurité l’a fait savoir. Dès le 10 juin, TechCrunch rapportait le mécontentement de chercheurs estimant que ces garde-fous freinent le travail défensif légitime — un pentesteur qui veut comprendre une chaîne d’exploitation se heurte aux mêmes blocages qu’un attaquant. Et, comme toujours, des tentatives de contournement (jailbreaks) sont apparues très vite. La leçon est limpide : un garde-fou logiciel n’est jamais une garantie absolue, c’est une couche de défense parmi d’autres.

— Ce que ça change concrètement pour la cybersécurité des PME françaises

Sortons de l’actualité pour parler de votre quotidien. Vous dirigez une PME de 20, 80 ou 250 personnes en France. Vous n’aurez jamais accès à Mythos 5, et c’est très bien ainsi. Pourtant, ce lancement vous concerne directement, à travers trois mécanismes concrets.

1. L’asymétrie offensive-défensive se rééquilibre — temporairement

Tant que les capacités cyber les plus avancées restent réservées aux défenseurs via Project Glasswing, les éditeurs de logiciels que vous utilisez corrigent leurs failles plus vite. C’est une bonne nouvelle. Mais le revers, c’est le rythme des correctifs : on l’a vu avec les 206 CVE du Patch Tuesday de juin 2026. Si l’IA accélère la découverte de failles, elle accélère aussi le flux de correctifs que vous devez appliquer. Une PME sans processus de patch management structuré se retrouvera vite submergée.

2. Le pentest assisté par IA devient un standard, pas un gadget

Chez WebGuard Agency, nous intégrons déjà des modèles d’IA dans nos missions de test d’intrusion — pour générer des variantes de payloads, analyser des volumes de logs, ou prioriser les vulnérabilités selon leur exploitabilité réelle. L’arrivée de modèles de classe Fable change l’échelle de ce travail : un pentesteur équipé d’une IA performante couvre en deux jours ce qui en demandait cinq. Cela ne remplace pas l’expertise humaine — c’est l’humain qui valide, contextualise et écarte les faux positifs — mais cela rend le pentest régulier plus accessible financièrement pour les PME. Si vous attendiez le « bon moment » pour faire auditer votre SI, c’est maintenant.

3. Le risque IA entre de plein droit dans votre conformité NIS2

La directive NIS2, transposée en droit français, impose aux entités essentielles et importantes une gestion des risques « tous azimuts ». L’usage d’outils d’IA générative par vos équipes, l’exposition de vos applications à des attaques assistées par IA, et la sécurité de votre chaîne d’approvisionnement logicielle font désormais partie intégrante de cette analyse de risque. Concrètement, votre audit de périmètre NIS2 doit aujourd’hui cartographier vos usages de l’IA et les vecteurs d’attaque qu’ils ouvrent. C’est un chapitre qui n’existait pas il y a deux ans.

— IA offensive vs IA défensive : où se situe le vrai danger pour une PME ?

Le débat médiatique tourne souvent autour de l’IA « qui écrit des malwares ». C’est spectaculaire mais ce n’est pas là que se joue le risque réel pour une PME française. La menace concrète, immédiate, c’est l’industrialisation de l’ingénierie sociale. Une IA performante permet à un attaquant de rédiger des courriels de phishing en français impeccable, parfaitement adaptés à votre secteur, à vos fournisseurs, à vos interlocuteurs nommés — et de le faire à grande échelle, pour quelques euros.

Le deuxième front, c’est la reconnaissance automatisée. Là où un attaquant devait passer des heures à cartographier votre surface d’exposition (sous-domaines, services exposés, versions de logiciels), une IA fait ce travail en quelques minutes et identifie les points faibles à attaquer en priorité. Votre PME n’est plus « trop petite pour intéresser quelqu’un » : l’automatisation a supprimé le coût marginal de vous cibler.

La bonne nouvelle, c’est que les mêmes outils servent la défense. La détection d’anomalies dans vos logs, la corrélation d’événements dans un SOC, la priorisation des correctifs : tout cela bénéficie de l’IA. La question n’est donc pas « faut-il craindre l’IA ? » mais « ma PME utilise-t-elle l’IA pour se défendre aussi vite que mes attaquants l’utilisent pour m’attaquer ? ». Pour approfondir le sujet des fondations open source et des standards techniques qui sous-tendent ces outils, les travaux de d-open.org offrent un éclairage utile, tout comme les retours d’expérience terrain partagés par plug-tech.fr sur l’intégration de ces briques dans des stacks PME.

— Plan d’action en 4 étapes pour votre PME

1. 1
   Cartographiez vos usages d’IA

   Recensez quels collaborateurs utilisent quels outils d’IA (Fable 5, ChatGPT, Copilot, etc.) et avec quelles données. Inscrivez-les dans votre registre RGPD. Une charte d’usage de l’IA évite que des données métier sensibles ne fuitent dans des prompts.

2. 2
   Renforcez l’anti-phishing

   Face au phishing généré par IA, les filtres basés sur les fautes d’orthographe ne servent plus à rien. Déployez l’authentification forte (MFA résistant au phishing, type FIDO2), durcissez DMARC/DKIM/SPF et formez vos équipes avec des simulations réalistes.

3. 3
   Programmez un pentest régulier

   Avec le pentest assisté par IA, la fréquence annuelle minimale devient un plancher, pas un objectif. Visez au moins un test d’intrusion par an, et après chaque évolution majeure de votre SI. Le coût a baissé, l’excuse budgétaire aussi.

4. 4
   Intégrez le risque IA dans votre conformité NIS2

   Mettez à jour votre analyse de risque pour y inclure les attaques assistées par IA et la sécurité de votre chaîne logicielle. Si vous êtes une entité essentielle ou importante au sens de NIS2, c’est une exigence, pas une option.

Conclusion

Claude Mythos 5 et Project Glasswing marquent un tournant : pour la première fois, un éditeur traite ses capacités cyber comme une technologie à double usage qu’il faut diffuser avec précaution. Pour les défenseurs, c’est une opportunité — des milliers de failles corrigées avant exploitation. Pour les attaquants, c’est une course pour rattraper ces capacités. Et pour les PME françaises, c’est un rappel : la fenêtre de respiration ouverte par les garde-fous de Fable 5 ne durera pas.

La bonne stratégie n’est pas d’attendre de voir ce que l’IA offensive nous réserve. C’est de profiter de cette fenêtre pour renforcer vos fondamentaux, outiller votre défense avec l’IA disponible, et faire entrer le risque IA dans votre démarche de conformité. Les entreprises qui agissent maintenant aborderont les prochaines vagues d’attaques avec une longueur d’avance. Les autres découvriront, comme toujours, qu’il aurait fallu commencer plus tôt.