Claude Mythos détecte 10 000 vulnérabilités critiques en un mois : bienvenue dans l'ère du Security Gap

Anthropoc vient de publier les premiers résultats de son Project Glasswing, et ils sont pour le moins saisissants : en l'espace d'un seul mois, le modèle Claude Mythos Preview a identifié plus de 10 000 vulnérabilités de haute ou critique sévérité dans des logiciels critiques pour l'infrastructure internet. Le chiffre impressionne. Mais c'est la conclusion qui accompagne cette annonce qui devrait nous préoccuper davantage : le rythme de découverte dépasse désormais la capacité des équipes à vérifier, divulguer et corriger ces failles.

Pour les équipes de développement déjà sous pression, ce n'est pas une bonne nouvelle. C'est une nouvelle ère.

Project Glasswing : l'IA mise au service de l'audit de sécurité à grande échelle

Lancé il y a un mois, Project Glasswing est une initiative d'Anthropic qui mobilise Claude Mythos Preview en collaboration avec une cinquantaine de partenaires — des acteurs qui opèrent ou construisent des logiciels au cœur d'infrastructures critiques. Réseau, systèmes d'exploitation, protocoles web : autant de composants dont une faille peut avoir des répercussions en cascade sur des millions d'utilisateurs.

Le résultat ? Une multiplication par dix du rythme de découverte de bugs selon les partenaires eux-mêmes. Chaque organisation participante aurait identifié des centaines de vulnérabilités critiques sur la période. Anthropic retient volontairement les détails techniques : la convention industrielle standard impose un délai de 90 jours avant toute divulgation publique, et la plupart des failles ne peuvent pas encore être décrites sans mettre les utilisateurs finaux en danger.

Ce qui est déjà visible, c'est la puissance de l'IA comme auditeur de sécurité automatisé, capable d'analyser des bases de code massives à une vitesse qu'aucune équipe humaine ne peut égaler.

Le Security Gap : quand l'IA va plus vite que vos équipes

C'est ici que le tableau devient inconfortable. Anthropic ne se contente pas de célébrer ses résultats — l'entreprise alerte explicitement sur une période de transition dangereuse.

Le raisonnement est simple :

• L'IA peut détecter des failles à une cadence industrielle.
• Les équipes humaines ont des capacités de traitement limitées : analyse, priorisation, développement du correctif, tests, déploiement.
• Le delta entre les deux crée un Security Gap — une fenêtre de vulnérabilité croissante où les failles sont connues (au moins de quelques-uns) mais pas encore corrigées.

Dans un contexte où les acteurs malveillants ont eux aussi accès à des outils d'IA de plus en plus puissants, cette fenêtre devient une cible. Si Claude Mythos peut trouver 10 000 vulnérabilités critiques en un mois dans un cadre contrôlé et bienveillant, qu'est-ce qu'un modèle équivalent aux mains d'attaquants motivés peut accomplir ?

Anthropic pose la question sans y répondre entièrement — ce qui est en soi une forme d'honnêteté intellectuelle rare dans le secteur.

Ce que ça change concrètement pour les équipes de développement

Pour une équipe PHP/Symfony ou tout autre contexte de développement web, les implications sont directes :

1. Le backlog de sécurité va exploser. Si vous n'avez pas encore de processus structuré de gestion des vulnérabilités, l'IA va le rendre indispensable — et urgent. 10 000 tickets critiques sans pipeline de triage, c'est le chaos assuré.

2. DevSecOps cesse d'être optionnel. L'intégration de la sécurité dans le cycle de développement n'est plus un « nice to have » pour les équipes qui veulent scaler. Les outils d'analyse statique, les audits automatisés et les pipelines CI/CD avec contrôles de sécurité deviennent des prérequis.

3. La priorisation devient une compétence clé. Toutes les vulnérabilités critiques ne se valent pas. Savoir distinguer ce qui est exploitable dans votre contexte de ce qui est théoriquement grave mais peu probable devient une compétence à part entière — probablement assistée par l'IA elle-même.

4. La coordination inter-équipes s'impose. Le Security Gap n'est pas un problème technique, c'est un problème organisationnel. Développeurs, ops, sécurité et management doivent parler le même langage et partager les mêmes priorités.

Conclusion : s'adapter ou subir

Les résultats de Project Glasswing illustrent une réalité que beaucoup pressentaient sans encore la mesurer : l'IA agentique appliquée à la cybersécurité change fondamentalement l'équilibre entre attaque et défense, mais aussi entre détection et remédiation.

L'enjeu pour les équipes de développement n'est pas de paniquer face à 10 000 vulnérabilités. C'est de se donner les moyens — processus, outils, organisation — de traiter un flux de signaux de sécurité qui va continuer à croître. Ceux qui auront structuré leur approche DevSecOps avant que ce flux ne devienne incontrôlable auront un avantage concurrentiel significatif.

L'IA est un super-auditeur. Reste à bâtir une organisation capable de travailler à la même vitesse qu'elle.

Source : The Decoder — Matthias Bastian, 23 mai 2026.