Campus Cyber : le rapport qui fixe la doctrine française face aux modèles-frontière IA

Un rapport, trois axes, un changement de paradigme

Début mai 2026, le Campus Cyber a publié sa note d'analyse officielle sur les implications de Mythos, le modèle d'IA frontier d'Anthropic lancé en avril, pour la cybersécurité française et européenne. Le titre du rapport résume l'intention : « Mythos et autres modèles-frontière : implications des progrès de l'IA pour la cyber en France et en Europe ». L'organisation, qui fédère DSI, RSSI, spécialistes IA, pentesters et juristes, ne cède pas à l'alarmisme — mais elle n'appelle pas non plus à la sérénité.

La conclusion centrale est sobre et lourde de conséquences : nous sommes face à un changement irréversible, tant au niveau de la sécurité des systèmes d'information que du paysage industriel de la cybersécurité en Europe. Pour les DPO et RSSI qui n'ont pas encore intégré Mythos dans leur analyse de risque, ce rapport est un signal clair : le délai de grâce est terminé.

Ce que Mythos change vraiment — au-delà du buzz

Depuis l'annonce d'Anthropic le 7 avril 2026 et le lancement de l'alliance Glasswing (réservée aux membres triés sur le volet), les équipes IT du monde entier ont été mises sous pression pour expliquer ce que le modèle change concrètement. Le Campus Cyber apporte ici une réponse structurée, s'appuyant notamment sur les évaluations de l'UK AISI (l'autorité britannique d'évaluation de la sécurité des IA).

Ce qui distingue Mythos des outils précédents, c'est la combinaison inédite de cinq capacités simultanées : détection de vulnérabilités, exploitation, raisonnement multi-étapes, priorisation des cibles et passage à l'échelle. Là où un outil classique analysait une faille connue, Mythos enchaîne détection, construction du chemin d'attaque et exploitation en mode autonome. Des entreprises membres de Glasswing affirment déjà détecter avec lui des vulnérabilités présentes depuis des années dans des logiciels testés des millions de fois par des outils automatisés traditionnels.

Le scénario qui inquiète le plus les experts du Campus Cyber n'est pas l'utilisation directe de Mythos par des acteurs malveillants — le modèle est aujourd'hui restreint aux membres Glasswing. C'est l'émergence imminente de modèles open source équivalents, potentiellement d'origine chinoise, disponibles en accès libre d'ici fin 2026. À ce moment-là, la barrière à l'entrée pour exploiter des zero-days à grande échelle disparaît.

Cela recoupe directement ce que notre analyse précédente de la note Campus Cyber décrivait : une vague de correctifs massive à anticiper dans les 3 à 6 mois à venir. Le rapport de mai confirme cette trajectoire et la précise avec trois axes d'action.

Les trois axes du Campus Cyber — et ce qu'ils impliquent concrètement

Face à ce changement de paradigme, le Campus Cyber articule sa réponse autour de trois leviers :

1. Renforcer les capacités d'anticipation françaises et européennes. Il s'agit de ne pas laisser les États-Unis et la Chine être les seuls à maîtriser ces outils. Cela passe par des investissements soutenus dans la détection, la veille et la recherche offensive défensive — au niveau national et via des coopérations européennes renforcées.

2. Positionner les acteurs IA européens sur les cas d'usage cyber. Mistral AI est cité explicitement. L'idée est de développer des alternatives souveraines à Mythos pour les équipes cyber européennes, réduisant la dépendance aux outils américains dont les conditions d'accès peuvent changer.

3. Appliquer pleinement l'AI Act et le Cyber Resilience Act. C'est probablement l'axe le plus concret pour les DPO et juristes. Le Campus Cyber va jusqu'à préconiser de restreindre la commercialisation des modèles qui ne répondraient pas aux exigences les plus élevées de transparence et de sécurité. Autrement dit : l'AI Act n'est pas une formalité administrative, c'est un levier de régulation du risque systémique.

Pour les organisations, le rapport dessine quatre chantiers opérationnels immédiats : cartographier les actifs critiques, simuler des vagues massives de patchs, durcir l'architecture réseau, et déployer des défenses augmentées par l'IA. C'est exactement ce que prescrit l'article 32 du RGPD sur la sécurité du traitement — sauf que le niveau d'exigence de « l'état de l'art » vient de monter d'un cran.

Ce que ça change pour votre organisation

Le rapport du Campus Cyber n'est pas un document de politique générale destiné aux cabinets ministériels. C'est une feuille de route pour les praticiens. Pour les DPO et RSSI, voici ce qui change concrètement :

Votre analyse de risque est probablement obsolète. Si votre dernière AIPD ou revue de risque SI n'intègre pas l'hypothèse d'un attaquant équipé d'un outil de découverte de vulnérabilités automatisé et à grande échelle, elle ne reflète plus l'état de la menace. Notre guide sur la sécurité des données donne les bases pour reconstruire cette évaluation.

Le délai entre découverte et exploitation va se comprimer. Aujourd'hui, il s'écoule en moyenne plusieurs semaines entre la publication d'un CVE et son exploitation à grande échelle. Avec des modèles comme Mythos — ou leurs équivalents open source à venir — ce délai pourrait tomber à quelques heures. Les plans de gestion des patchs doivent être repensés en conséquence.

La doctrine du Conseil français de l'IA est complémentaire, pas contradictoire. Comme le relevait notre analyse du Conseil IA numérique, le risque ne vient pas de Mythos en soi mais de son intégration sans gouvernance. Le rapport du Campus Cyber confirme cette lecture tout en haussant le niveau d'urgence : il ne s'agit pas de paniquer, mais d'agir structurellement.

NIS 2 et le Cyber Resilience Act deviennent des alliés réglementaires. Les organisations soumises à NIS 2 ont désormais une raison supplémentaire d'accélérer leurs plans de mise en conformité : les obligations du CRA (reporting dès septembre 2026, security-by-design en décembre 2027) arrivent exactement au moment où la pression sur les vulnérabilités va s'intensifier. Voir aussi : notre analyse sur Mythos et les fondamentaux de l'article 32.

Ce que Leto pense de cette analyse

Le rapport du Campus Cyber est, à notre sens, le document le plus équilibré produit en France sur l'impact de Mythos depuis son lancement. Il évite les deux écueils symétriques : la minimisation (« Mythos est surévalué, pas de panique ») et le catastrophisme (« tout va s'effondrer dans six mois »). La nuance — changement irréversible mais gérable si on agit maintenant — est exactement le cadre que les DPO et RSSI ont besoin d'entendre pour construire des plans d'action crédibles devant leur direction.

Ce qui manque, en revanche, c'est une grille de priorisation selon la taille et la maturité des organisations. Toutes les PME ne peuvent pas simuler des vagues massives de patchs dès demain. Pour elles, l'enjeu est d'identifier les actifs les plus critiques et d'y concentrer les efforts en priorité — ce qui est, précisément, l'approche basée sur les risques que le RGPD impose depuis 2018.

Sources : Silicon.fr — Comment le Campus Cyber juge l'impact de Mythos (6 mai 2026) · Le Monde Informatique — Le Campus Cyber décortique les menaces liées à Mythos