Mythos d'Anthropic : le Conseil français de l'IA tempère la panique cybersécuritaire

Le Conseil de l'intelligence artificielle et du numérique français a pris position le 23 avril 2026 sur les capacités cyber-offensives du modèle Mythos d'Anthropic. Son message tranche avec l'inquiétude grandissante des régulateurs : ne pas céder à la panique. Une voix qui complète, sans la contredire totalement, celle des superviseurs bancaires européens.

Ce qui s'est passé

Saisi de l'agitation provoquée par les performances de Mythos en détection de vulnérabilités logicielles, le Conseil français de l'IA et du numérique a publié une analyse mesurée. Selon l'instance, les progrès observés relèvent d'une évolution prévisible des grands modèles de langage, non d'une rupture stratégique justifiant un changement de doctrine cybersécurité.

L'organisme rappelle que les capacités offensives d'un LLM restent encadrées par les barrières d'usage mises en place par Anthropic, par les obligations de transparence prévues par l'AI Act et par l'article 32 du RGPD pour tout responsable de traitement déployant le modèle. Selon cette lecture, le risque ne se trouve pas dans le modèle lui-même, mais dans son intégration dans les systèmes d'information sans gouvernance.

L'analyse contraste avec l'inquiétude récente des régulateurs financiers européens (BCE, BaFin, FCA), qui ont placé Mythos dans leurs priorités cyber 2026-2028 et lancé des consultations sectorielles auprès des banques.

Pourquoi c'est important — du bruit à la doctrine

L'industrie cyber est traversée par une tension narrative que la tribune Illumio dans Silicon.fr a parfaitement résumée le même jour : la peur comme moteur économique, l'incident comme seul indicateur de valeur. Dans ce contexte, l'arrivée d'un modèle aussi performant que Mythos amplifie mécaniquement les inquiétudes — y compris celles qui ne reposent sur aucun incident réel.

Le Conseil prend acte de cette dynamique et rappelle quatre points pour les DPO et RSSI :

• Les capacités offensives observées concernent essentiellement la phase de reconnaissance et de découverte de vulnérabilités, déjà couvertes par les programmes de bug bounty et de pentests.
• L'exploitation effective d'une faille reste un acte humain ou organisationnel, pas une fonctionnalité native du modèle.
• Les barrières d'usage d'Anthropic (refus de production de malwares opérationnels, contrôles de chaîne d'approvisionnement) constituent un premier rempart, sans en être suffisant.
• Un déploiement non encadré reste un risque RGPD et NIS 2, comme l'a rappelé l'ANSSI dans ses alertes successives sur OpenClaw et Claude Cowork.

Ce que ça change pour les organisations

Pour les DPO, RSSI et conseils d'administration, l'avis du Conseil français invite à un repositionnement plutôt qu'à une réaction d'urgence :

1. Cartographier l'usage réel. Toute organisation doit recenser les modèles génératifs déployés en interne (y compris dans le shadow IT) avant de spéculer sur les nouveaux risques apportés par Mythos.

2. Documenter la chaîne de gouvernance. L'article 32 du RGPD impose une approche par les risques. La sortie d'un modèle plus performant n'invalide pas vos mesures techniques et organisationnelles, mais oblige à reprendre votre analyse d'impact (AIPD) sur les traitements concernés.

3. Sensibiliser sans dramatiser. Les équipes métier sont saturées d'alertes IA. La recommandation est de leur donner des points de repère stables — un cadre structuré de sensibilisation IA peut éviter l'effet « cri du loup ».

4. Ne pas confondre AI Act et cybersécurité. L'arrivée de Mythos ne déplace pas les obligations de l'AI Act 2026. Les systèmes à haut risque restent classés selon les annexes du règlement, et non en fonction de la performance des modèles disponibles sur le marché.

Ce que Leto pense de cette décision

L'avis du Conseil français de l'IA et du numérique est un signal salutaire dans un débat saturé d'alarmisme. Il ne dit pas que Mythos est anodin : il dit que la cybersécurité n'a pas besoin d'un nouveau modèle de langage pour être défaillante. Les fondamentaux qu'il rappelle — gouvernance, AIPD, article 32, sensibilisation — étaient déjà ceux requis hier par la CNIL et l'ANSSI.

Notre lecture pour les DPO : oui, suivre Mythos. Non, ne pas en faire un événement réglementaire en soi. La question stratégique est ailleurs — quelle gouvernance unifiée pour vos déploiements IA, et quel registre de risques pour anticiper la prochaine génération de modèles, dont les capacités progresseront par paliers de plus en plus courts.

Sources : Le Monde — « Cybersécurité : face aux bouleversements de l'IA, un appel à ne pas céder à la panique » (23 avril 2026).