Cet article contient des liens affiliés. En savoir plus.
Project Glasswing : Claude Mythos cible la cybersécurité
En résumé
Anthropic a lancé le 5 mai 2026 Project Glasswing, une initiative cybersécurité reposant sur Claude Mythos Preview. Ce modèle excelle à identifier les failles dans le code et les configurations. Distribution restreinte à un cercle d'entreprises et d'agences. Décryptage des capacités et des garde-fous.
Points forts
- Capacité offensive contrôlée — Mythos Preview détecte les failles avec une couverture supérieure de 35 % à GPT-5.5 sur OWASP Top 10
- Programme Glasswing structuré — Onboarding rigoureux, audits réguliers, monitoring d'usage en continu
- Apport pour les équipes blue team — Identification proactive de surfaces d'attaque, génération de patches, propositions de mitigation
- Partenariats avec CISA et MITRE — Anthropic contribue au catalogue ATT&CK et à la base CVE
Points faibles
- Accès très restreint — Cercle limité, pas d'accès grand public ni développeur indépendant
- Risque de double usage — Les capacités sont symétriques : ce qui détecte peut aussi exploiter
- Questions de transparence — Liste précise des entreprises bénéficiaires non publique
Claude Pro coche toutes les cases ? Lisez notre fiche complète.
| Outil | Prix | Note | Points forts | Points faibles | Verdict |
|---|---|---|---|---|---|
| Programme privé Glasswing | 9.4/10 | Audit de code, threat modeling, patches | Accès restreint | ||
| API à l'usage | 8.5/10 | Bon en code review, large adoption | Moins ciblé OWASP/CVE | ||
|
S
Snyk
|
Plans dès 25$/mois | 8.8/10 | Intégration CI/CD, base de données vulnérabilités | Pas un LLM, capacités de raisonnement limitées | Standard de l'industrie pour CI/CD |
Project Glasswing : la cybersécurité comme nouvelle frontière
Le 5 mai 2026, Anthropic a annoncé Project Glasswing, une initiative dédiée à l'application de Claude pour la cybersécurité défensive. Au cœur du dispositif : Claude Mythos Preview, un modèle spécialisé dans l'identification de vulnérabilités, de configurations risquées et d'erreurs de design dans les logiciels et les infrastructures.
Mythos n'est pas un Claude générique. C'est une variante spécifiquement entraînée et fine-tunée sur des datasets de vulnérabilités, des bases CVE, des historiques de breach et des audits de code. Anthropic affiche des résultats de pointe sur les benchmarks de sécurité : 88 % sur SecBench (génération de patches valides), 91 % sur OWASP-eval (identification de vulnérabilités web), et 84 % sur ContainerSec (audits de configurations Kubernetes / Docker).
Ce que fait Mythos concrètement
Quatre cas d'usage principaux sont mis en avant par Anthropic :
- Audit de code à grande échelle — Ingère un repository complet, identifie les vulnérabilités potentielles avec contexte (chaîne d'appel, surface exposée, exploitabilité). Sortie sous forme de rapport priorisé par sévérité réelle.
- Audit de configurations — Analyse les fichiers Terraform, Kubernetes, Ansible, Helm pour repérer les misconfigurations. Capacité à recommander des corrections et à générer le code de remplacement.
- Threat modeling — À partir d'une description d'architecture, Mythos génère des scénarios d'attaque plausibles, mappés sur MITRE ATT&CK.
- Génération de patches — Pour une CVE donnée et un codebase, Mythos propose un patch minimal, avec tests unitaires et explication de la correction.
Sur les benchmarks publics, Mythos surpasse GPT-5.5 de 35 % en moyenne sur la couverture de vulnérabilités OWASP, et de 22 % sur la qualité des patches générés (mesurée via revue humaine experte).
Pourquoi un accès restreint
Anthropic a choisi de ne pas ouvrir Mythos en accès libre, contrairement à Claude standard. Trois raisons sont avancées dans le communiqué :
- Risque de double usage — Les capacités d'identification de failles sont, par nature, symétriques. Un modèle qui détecte peut aussi générer des exploits. Limiter l'accès limite l'usage offensif.
- Coordination responsable — Les bénéficiaires s'engagent à divulguer responsablement toute vulnérabilité critique trouvée dans des produits tiers, en suivant le protocole CVD (Coordinated Vulnerability Disclosure).
- Apprentissage progressif — Anthropic veut comprendre l'usage réel avant ouverture plus large : quels patterns d'usage, quels faux positifs, quels risques de dérive.
Le programme inclut une trentaine d'entreprises pilotes, parmi lesquelles : Microsoft (équipes Azure Security), Cloudflare, JPMorgan (équipe sécurité interne), CrowdStrike, Mandiant (Google Cloud), Recorded Future, et plusieurs agences gouvernementales US (CISA, NSA Cybersecurity Directorate, Department of Treasury).
Les partenariats publics : MITRE et CISA
Au-delà du cercle privé, Anthropic a annoncé deux partenariats publics. Avec MITRE, Anthropic contribue à la mise à jour du catalogue ATT&CK : Mythos est utilisé pour analyser les rapports d'incident publics et proposer des nouvelles techniques ou variations à inclure. Avec CISA, l'agence américaine de cybersécurité, Anthropic alimente la Known Exploited Vulnerabilities (KEV) catalog avec des analyses approfondies des CVE critiques détectées par Mythos.
Ces partenariats publics offrent une transparence partielle sur les capacités : la communauté cybersécurité peut, indirectement, mesurer l'apport de Mythos via les contributions au catalogue ATT&CK et au KEV.
Comment Mythos se compare
Sur le marché des modèles spécialisés cybersécurité, trois concurrents méritent d'être cités :
- OpenAI Codex Security Edition — Modèle dérivé de GPT-5.5, fine-tuné pour le code review sécurisé. Bon mais moins performant que Mythos sur l'analyse de vulnérabilités web et infra.
- Google SecAI — Annoncé en mars 2026, basé sur Gemini 3. Solide en analyse de logs et en détection d'incident, plus faible en audit de code.
- CrowdStrike Charlotte AI — Modèle in-house, excellente intégration avec la plateforme CrowdStrike. Distribution limitée aux clients CrowdStrike.
Mythos prend l'avantage en couverture (audit code + audit config + threat modeling + génération de patches) et en qualité de raisonnement multi-document. Sa limite : la distribution restreinte.
Garde-fous et risques
Anthropic met en place plusieurs garde-fous. Tous les bénéficiaires de Mythos signent un contrat avec clauses d'usage, audit logs activés en permanence, et monitoring continu des prompts et des outputs. Anthropic peut révoquer l'accès en cas d'usage suspect. La société a également annoncé qu'aucune capacité d'exploitation pré-construite (genre « génère-moi un exploit pour CVE-XXXX-YYYY ») n'est disponible : Mythos refuse les requêtes formulées en ce sens, et les redirige vers la génération de patches.
Reste un risque structurel : un acteur malveillant qui obtiendrait l'accès au modèle (via fuite de poids, compromission de bénéficiaire, ou ingénierie sociale) disposerait d'un outil offensif puissant. Ce risque existe pour tout modèle frontière en cybersécurité, pas spécifique à Anthropic.
Impact sur le marché de la cybersécurité
L'arrivée de modèles spécialisés comme Mythos accélère une tendance déjà bien lancée : l'IA devient un outil de premier ordre pour les équipes blue team. Les SOC modernes utilisent déjà des modèles pour le triage d'alertes, l'analyse de logs, et la rédaction de rapports d'incident. Mythos pousse la barre vers l'amont : audit proactif, threat modeling, génération de patches.
Pour les RSSI : il devient stratégique de comprendre quel laboratoire fournit la stack IA cybersécurité de son écosystème (Cloudflare, Microsoft Defender, CrowdStrike, etc.). Le choix du fournisseur d'outils sécurité implique de plus en plus le choix indirect d'un modèle IA.
Verdict : Anthropic se positionne durablement
Project Glasswing et Claude Mythos s'inscrivent dans une stratégie cohérente d'Anthropic : développer des variantes verticales de Claude pour des marchés à fort enjeu (finance avec Opus 4.7, cybersécurité avec Mythos). C'est une voie distincte de celle d'OpenAI, qui pousse plutôt un modèle généraliste avec des « editions » plus légères.
Pour les acteurs cybersécurité non encore intégrés au programme : surveiller les annonces d'extension prévues pour Q3 2026, et préparer son dossier de candidature auprès d'Anthropic. Pour les développeurs et les particuliers : pas d'accès direct prévu, mais les outils de sécurité standard (Snyk, GitGuardian, etc.) intégreront probablement des capacités similaires dans les 12 prochains mois.
À lire aussi : Claude Opus 4.7 et la finance, l'engagement Google Cloud à 200 milliards, et notre couverture des menaces cyber 2026.