Claude Mythos s'ouvre à l'Europe : ce que l'ouverture mondiale du détecteur de failles d'Anthropic change pour les DPO

Anthropic ouvre son détecteur de vulnérabilités Claude Mythos à 150 organisations dans plus de 15 pays — la France comprise. Derrière cette extension de Project Glasswing se cache un calcul stratégique : diffuser vite une technologie défensive avant que des modèles équivalents, sans garde-fous, ne tombent entre de mauvaises mains. Pour les DPO et les RSSI, l'événement est moins une nouveauté qu'une accélération d'une tendance déjà identifiée.

Ce qui s'est passé

Au lendemain du dépôt de son dossier d'introduction en Bourse, Anthropic a annoncé l'extension massive de son programme Project Glasswing. Initialement réservé à une cinquantaine d'entreprises majoritairement américaines, l'accès à Claude Mythos Preview — un modèle capable de détecter des vulnérabilités logicielles de façon autonome — s'élargit désormais à 150 organisations réparties dans plus de 15 pays, dont la France.

Les chiffres avancés donnent la mesure de l'enjeu : depuis le lancement du modèle en avril 2026, les partenaires du programme ont mis au jour plus de 10 000 failles de sécurité de niveau élevé ou critique. L'AI Security Institute britannique, qui a évalué Mythos, a conclu que le modèle pouvait exécuter des cyberattaques sophistiquées nécessitant normalement plusieurs jours de travail à des professionnels aguerris. C'est précisément cette double nature — outil défensif et arme potentielle — qui avait justifié, jusqu'ici, une diffusion prudente.

Pourquoi c'est important

Anthropic justifie cette ouverture accélérée par une logique d'urgence : selon l'éditeur, de nombreuses sociétés d'IA disposeront de modèles comparables à Mythos d'ici six à douze mois, avec le risque qu'elles les déploient sans les garde-fous nécessaires. Autrement dit, l'avance technologique d'aujourd'hui sera l'arme banalisée de demain.

Cette perspective n'est pas neuve pour qui suit la doctrine française et européenne. Une analyse juridique consacrée à l'IA attaquante rappelait déjà que le cas Claude Mythos ramène les DPO aux fondamentaux de l'article 32 du RGPD : la sécurité du traitement s'apprécie au regard de « l'état de l'art », et quand l'état de l'art des attaquants progresse, le curseur des mesures attendues se déplace mécaniquement. Le rapport du Campus Cyber sur les modèles-frontière avait posé le cadre français en croisant souveraineté IA, AI Act et Cyber Resilience Act, là où le Conseil français de l'intelligence artificielle et du numérique tempérait l'alarmisme en rappelant que le risque ne réside pas dans le modèle lui-même, mais dans son intégration sans gouvernance dans les systèmes d'information.

L'ouverture à l'Europe ne change donc pas la nature du risque, mais sa temporalité : la fenêtre pour mettre à niveau ses défenses se referme plus vite que prévu.

Ce que ça change pour les organisations

Pour les responsables conformité et sécurité, trois chantiers concrets s'imposent. D'abord, réévaluer l'analyse de risque en intégrant explicitement l'hypothèse d'un attaquant équipé d'IA capable de scanner et d'exploiter des failles à grande échelle ; pour les traitements sensibles ou les outils IA à haut risque, cela passe souvent par une analyse d'impact (AIPD) actualisée. Ensuite, accélérer le patching et la cartographie des actifs : si un modèle défensif identifie 10 000 failles critiques chez ses partenaires, les mêmes vulnérabilités existent ailleurs et le délai de correction devient un facteur de risque juridique autant que technique.

Enfin, durcir la chaîne de sous-traitance. Les questionnaires sécurité doivent désormais interroger les fournisseurs sur leur exposition aux outils d'attaque automatisés et sur leur capacité de réaction. Cette exigence rejoint la grille d'analyse déjà documentée par les régulateurs : le plan en cinq étapes de l'ICO contre les cyberattaques boostées à l'IA offre un mode d'emploi directement transposable à l'article 32.

Ce que Leto pense de cette décision

L'ouverture mondiale de Claude Mythos illustre un paradoxe désormais familier : la même technologie sert la défense et l'attaque, et c'est la vitesse de diffusion qui arbitre le rapport de force. Plutôt que de céder à la panique, les organisations européennes ont tout intérêt à traiter cette annonce comme un signal d'agenda : ce qui relevait du chantier « important » devient un chantier « urgent ». La bonne réponse n'est pas de redouter le modèle, mais de remettre à niveau ses fondamentaux — cartographie, patching, gouvernance des accès, sensibilisation. L'article 32 n'a pas changé ; ce sont les attaquants qui montent en gamme.

Sources : Silicon.fr — « Claude Mythos s'ouvre au Monde…et à la France »