Campus Cyber alerte sur Mythos : un mur de correctifs à venir dans 3 à 6 mois

Le Campus Cyber vient de publier une note d'analyse de référence sur les implications de Claude Mythos pour la cybersécurité en France et en Europe. Verdict : ce n'est pas une rupture technologique, c'est une accélération. Et les équipes IT n'ont que quelques mois pour s'y préparer.

Ce qui s'est passé

Début avril 2026, Anthropic lançait Mythos, son modèle de frontière dédié à la cybersécurité. Les premières évaluations, notamment celles de l'UK AISI (l'autorité britannique d'évaluation de la sécurité des IA), confirmaient une amélioration significative des capacités cyber du modèle : détection de vulnérabilités, exploitation, chaînage d'informations pour construire des chemins d'attaque, passage du test ponctuel à la découverte automatisée à grande échelle.

Deux semaines après Mythos Preview, OpenAI lançait GPT 5.4 Cyber, suivi de la version 5.5 début mai. Des entreprises de cybersécurité américaines membres de l'alliance Glasswing affirmaient déjà que Mythos leur permettait de compresser un an de pentest humain en trois semaines. Des correctifs directement attribués à des découvertes assistées par IA ont été publiés, y compris pour Firefox.

Face à cette agitation, le Campus Cyber a choisi de publier une note sobre intitulée "Mythos et autres modèles-frontière : implications des progrès de l'IA pour la cyber en France et en Europe". Son objectif : séparer le signal du bruit. L'analyse mérite d'être lue attentivement par tout DPO et RSSI.

Pourquoi c'est important

Le message central de la note est clair : Mythos n'est pas une anomalie, c'est un point de plus sur la courbe de progression exponentielle de l'IA appliquée à la cyber. Ce qui change, c'est la combinaison de capacités (détection + exploitation + raisonnement + priorisation + passage à l'échelle) et l'accélération de la timeline.

Le scénario qui préoccupe le plus les experts du Campus Cyber est celui d'une découverte massive de vulnérabilités zero day par l'IA — un effet de purge, en un seul bloc, de failles anciennes logées dans des logiciels largement déployés : environnements bancaires legacy, systèmes industriels, infrastructures critiques. Ce pic est jugé possible d'ici 3 à 6 mois. Il serait suivi de plusieurs répliques, puis d'une longue traîne de divulgations au compte-gouttes.

La conséquence directe : les équipes informatiques pourraient se retrouver face à un "mur de patching en flux continus" — un volume et un rythme de correctifs sans précédent à déployer, sans dégradation de la continuité opérationnelle. Deux risques immédiats émergent : les éditeurs de logiciels ne pourront peut-être pas livrer les correctifs assez vite, et les équipes internes n'auront peut-être pas la bande passante pour les absorber, surtout si les protocoles d'implémentation des patchs ne sont pas adaptés à l'urgence.

Cette tension s'inscrit dans un contexte réglementaire déjà exigeant. La gouvernance cyber face aux intégrations tierces et à l'IA est sous pression depuis plusieurs trimestres : l'article 32 du RGPD, NIS 2 et DORA imposent des mesures techniques appropriées dont la robustesse est directement testée par ce type de scénario.

Le Campus Cyber appelle par ailleurs à maintenir une posture cartésienne : les chiffres avancés sur les performances de Mythos doivent être pris avec prudence, tant que l'asymétrie d'information avec Anthropic persiste. Il ne s'agit pas de paniquer, mais de préparer. Ce cadrage fait écho à la critique du marché de la peur en cybersécurité — un récit anxiogène qui finit par paralyser plutôt que mobiliser.

Ce que ça change pour les organisations

La note du Campus Cyber est explicite sur les priorités opérationnelles immédiates pour les RSSI :

1. Cartographier les actifs critiques. Savez-vous précisément où se trouvent vos vulnérabilités potentielles, y compris dans les dépendances open source et les composants tiers ? La supply chain logicielle et la supply chain métier sont toutes deux concernées.

2. Simuler une vague massive de zero days. Un exercice de deux à trois heures, réunissant le CTO, le RSSI et les responsables de production, simulant la découverte simultanée d'une vingtaine de vulnérabilités zero day sur une application critique exposée à Internet. L'objectif : tester la maturité de toute votre chaîne de gestion des vulnérabilités — pas seulement vulnérabilité par vulnérabilité.

3. Durcir l'architecture et déployer des cas d'usage IA défensifs. Triage automatique de vulnérabilités, priorisation CVE selon l'exposition réelle, génération et test de patchs, détection d'anomalies, assistance SOC niveaux 1 et 2 : ces cas d'usage doivent être déployés aussi vite que possible, sous supervision humaine, en privilégiant des solutions européennes ou open source.

Avant même toute attaque réelle, Mythos a déjà produit un effet concret : une surtension psychologique sur des équipes IT déjà structurellement sous pression. Le Campus Cyber décrit cette situation comme une "vraie-fausse crise larvée". Reconnaître cet état de fait et ne pas sous-estimer son impact sur les équipes est une responsabilité managériale immédiate.

Pour les organisations financières, les implications de Mythos sur les régulateurs bancaires européens — BCE, BaFin, FCA — donnent un aperçu de l'ampleur des consultations qui s'annoncent dans les prochains mois.

Ce que Leto pense de cette décision

La note du Campus Cyber est le document à lire en ce moment. Elle fait ce que peu d'acteurs osent faire : nommer clairement un horizon temporel (3 à 6 mois), définir un scénario concret (flood de zero days), et donner des actions opérationnelles immédiates sans se réfugier dans les généralités.

La recommandation d'appliquer pleinement l'AI Act et le Cyber Resilience Act — jusqu'à restreindre la commercialisation de modèles qui ne répondraient pas aux exigences les plus élevées de transparence et de sécurité — est la plus structurante. Elle signale que la réponse réglementaire à la course aux armements IA/cyber est déjà en cours de construction au niveau européen. Les DPO et RSSI ont intérêt à la suivre de près.

Sources : Note d'analyse Campus Cyber "Mythos et autres modèles-frontière : implications des progrès de l'IA pour la cyber en France et en Europe", Mai 2026 — Silicon.fr, Philippe Leroy, 6 mai 2026