Début avril, Anthropic annonçait que Mythos, son nouveau modèle en pré-lancement, avait identifié des milliers de failles de sécurité à fort impact à l’échelle mondiale, y compris sur l’ensemble des principaux navigateurs et systèmes d’exploitation. 

En revanche, ce dont personne ne parle, c’est que Mythos est déjà dépassé. Notre monde vit désormais à la vitesse de l’IA, où tout ce qui date d’un mois ou plus est relégué aux oubliettes de l’Histoire. Il est d’ailleurs plus que probable qu’à l’heure où j’écris ces lignes, d’autres labos d’IA travaillent déjà sur des modèles encore plus puissants que Mythos. Rien d’étonnant à cela, c’est le propre de ces modèles d’IA dits « de frontière ». 

Espérons que leurs développeurs agissent avec de bonnes intentions. Mais mieux vaut se préparer à un monde où ce ne serait pas le cas.

Ce qu’il faut retenir de l’arrivée annoncée de Mythos, c’est que l’IA a cassé les codes de la sécurité telle que nous la connaissons. Les modèles d’IA de frontière permettent désormais à des acteurs malveillants d’identifier et d’exploiter les vulnérabilités logicielles à vitesse machine, bien au-delà de ce que peuvent affronter les systèmes de cybersécurité traditionnels. 

• La prévention ne suffit pas. L’IA trouvera toujours des failles, et ce d’autant plus que l’explosion du code généré par IA créera inévitablement de nouvelles vulnérabilités.

• La réponse ne suffit pas. Autrefois, il fallait compter environ 60 jours entre une compromission et ses premiers impacts. Avant Mythos, ce délai était déjà tombé à 27 secondes. Après Mythos, il aura tout bonnement disparu. Aucun acteur humain n’est en mesure de réagir à une telle vitesse. La réponse doit désormais s’opérer à vitesse machine, et ce avant le déclenchement de l’attaque.

• Le Red Teaming ne suffit pas. Jusqu’ici, les entreprises s’appuyaient sur des Red Teams et des hackers éthiques pour identifier des failles dans leurs systèmes. L’IA, elle, met au jour des vulnérabilités qu’un humain ne détectera sans doute jamais. 

• L’analyse système ne suffit pas. Des vulnérabilités apparaissent désormais dans les interactions entre les logiciels. Sans compter que chaque minute, l’IA génère davantage de code, d’agents et d’interactions, avec les failles qui s’ensuivent.

• La formation ne suffit pas. Les deepfakes prennent facilement les humains au piège, tandis que les agents logiciels peuvent aussi être compromis. En résultent des attaques internes d’une ampleur et d’une nature inédites.

   

Mythos a agi comme un électrochoc sur une réalité déjà bien établie : toutes les entreprises doivent désormais adopter une cybersécurité préventive. Et chacune doit se confronter à la question centrale de notre époque : « Combien de temps nous faudra-t-il pour sortir d’une crise et rétablir nos opérations ? » 

Nouveau mot d’ordre : la prévention

Dans un rapport récent, Gartner® met en garde : «  La cyber-résilience n’est plus une question de choix, et des capacités de cybersécurité préventive  –threat intelligence prédictive, Automated Moving Target Defense (AMTD), techniques avancées de cyber-déception, etc. – sont désormais indispensables pour faire face aux menaces boostées à l’IA¹. »

L’évaluation proactive des risques et la remédiation système constituent désormais le socle de la cyber-résilience. 

Ces exercices commencent par des questions fondamentales, celles qui engagent directement la continuité de votre activité : Que risquez-vous réellement de perdre ? Quel est le degré de sensibilité de vos données ? Et où sont-elles situées ? Qui sont vos utilisateurs ? Et où se travaillent-ils ? Et si vos opérations venaient à être interrompues, comment redémarrer vos services – notamment les plus critiques – dans les délais les plus courts possibles ?

Cyber-restauration à vitesse machine : comment se préparer dans la stabilité

Quand les cyberattaques frappent à vitesse machine, la cyber-restauration doit s’effectuer aux mêmes cadences. Dans cette optique, chaque structure aura son propre cahier des charges. Ce qui est sûr, en revanche, c’est que la résilience impose des préparatifs couvrant a minima les services essentiels. C’est en période de stabilité qu’il faut engager les actions nécessaires pour garantir une reprise à vitesse machine. Est-ce votre cas ? Une bonne préparation passe d’abord par les fondamentaux, comme l’identification de données saines et restaurables en amont, au moment de la sauvegarde. Seul ce type de mesure peut permettre une reprise instantanée des activités après une cyberattaque, que l’on soit une entreprise, un établissement d’enseignement, un hôpital ou une administration. 

Depuis des années, nous sommes en première ligne de la cyber-résilience, avec à notre actif la neutralisation d’innombrables ransomwares pour des milliers d’entreprises à travers le monde. Cette expérience nous a permis d’anticiper l’ère de l’IA et d’intégrer très en amont l’émergence de technologies de rupture comme Mythos. 

Côté agentique, nous avons conçu des infrastructures cloud capables de superviser les agents IA en temps réel pour garantir le respect strict des règles définies et déclencher un arrêt d’urgence en cas de dépassement des cadres établis. Nous faisons évidemment appel à l’IA pour gérer l’ampleur et la complexité des menaces qui succéderont à Mythos.

Peut-être ne serez-vous jamais victime d’une attaque. Mais l’espoir n’a jamais constitué une stratégie viable, et ce encore moins à l’ère de l’IA. Pas plus que l’idée selon laquelle la prévention, à elle seule, suffirait à contenir le risque. Il faut non seulement partir du principe que la compromission est inévitable, mais aussi que vos agents pourront outrepasser leurs prérogatives. 

Nous vivons dans un monde où Mythos appartient déjà au passé, et où la prochaine grande évolution est déjà en gestation. D’où l’importance de penser simultanément au risque de cyberattaque et à votre continuité opérationnelle lorsque l’inévitable se produira. 

Citations et clauses de non-responsabilité de Gartner :

1. Gartner, First Take: Claude Mythos and Project Glasswing Will Push Security Providers to Adopt Autonomous Cyber Immune Systems, Mark Wah, et al, 14 avril 2026.

Gartner® et Peer Insights™ sont des marques déposées de Gartner, Inc. et/ou de ses filiales.

Gartner ne cautionne aucun fournisseur, entreprise, produit ou service mentionné dans ses publications, ni ne recommande aux utilisateurs informatiques de faire leur choix uniquement parmi les solutions des éditeurs en tête du classement. Les publications de Gartner reposent sur les avis des équipes d’analyse business et technologies de Gartner, et ne doivent en aucun cas être considérées comme des déclarations de fait. Gartner exclut toute garantie, expresse ou tacite, concernant cette publication, y compris toute garantie de commerciabilité et d’adéquation à un usage particulier.