L'IA Mythos d'Anthropic détecte rapidement les nouveaux bugs. Vos anciens bugs non corrigés restent le vrai danger.

Points clés

• Anthropic a lancé Mythos, un système d'IA qui recherche automatiquement les failles de sécurité logicielle, le 7 avril 2025.
• Mythos identifie les failles en tant que CVE (Common Vulnerabilities and Exposures), les numéros d'identification uniques qui cataloguent tous les bugs logiciels connus pour que les éditeurs et les défenseurs puissent parler du même problème.
• Le code d'exploitation, c'est-à-dire le logiciel qui transforme une faille connue en attaque fonctionnelle, apparaît désormais dans les 3 à 7 jours suivant la divulgation d'un bug.
• La plupart des organisations prennent 45 jours ou plus pour appliquer un correctif critique, laissant une fenêtre d'environ six semaines où les attaquants peuvent entrer directement.
• Mesurer l'écart entre le moment où un éditeur publie un correctif et celui où il est installé sur tous les systèmes affectés est la métrique la plus importante que la plupart des entreprises ne suivent pas.

Anthropic, la société derrière la famille d'assistants IA Claude, a dévoilé un outil appelé Mythos le 7 avril 2025. Comme l'a d'abord rapporté ThreatVectr, Mythos lit le code logiciel comme le ferait un chercheur en sécurité humain, mais bien plus rapidement, et identifie automatiquement ce qu'il trouve en tant que CVE. L'industrie de la sécurité s'est immédiatement inquiétée de l'afflux de nouvelles entrées qui se déverseraient dans un catalogue déjà surchargé.

Cette inquiétude est justifiée. Elle porte aussi sur le mauvais point.

Consultez rapport de violation après rapport de violation au cours des cinq dernières années et le même schéma apparaît. Les attaquants n'ont pas trouvé un zero-day astucieux, c'est-à-dire une faille que personne ne connaissait encore. Ils sont entrés par une faille que l'éditeur avait déjà corrigée, parfois des mois ou même des années avant l'attaque, que la victime n'avait simplement pas eu le temps de corriger.

Mythos rend-il vraiment les entreprises moins sûres ?

Pas directement. Mais cela rend un problème préexistant plus difficile à ignorer. Voici le calcul. Si votre organisation prend en moyenne 45 jours pour appliquer un correctif critique, et que le code d'exploitation fonctionnelle pour un nouveau bug apparaît dans les 3 à 7 jours suivant la divulgation, vous êtes exposés pendant près de six semaines à chaque faille sérieuse. Mythos accélère la phase de découverte de cette équation. Elle ne fait rien quant au délai de l'autre côté.

Pour les gens ordinaires, cela importe de manière pratique. Les entreprises qui détiennent vos dossiers médicaux, vos données bancaires, votre historique d'achat : leur sécurité dépend non seulement de la détection des bugs, mais aussi de la correction de ceux qu'elles connaissent déjà. Un outil de découverte plus intelligent n'est utile que si le processus de correction derrière lui peut le suivre.

Alors, qu'est-ce que les défenseurs devraient vraiment changer ? Quatre choses se démarquent.

Premièrement, mesurez la fenêtre de correction. Pas le nombre total de CVE ouvertes en attente. Le nombre de jours entre la publication d'une correction par un éditeur et l'installation de cette correction sur tous les systèmes affectés, triés par la gravité de la faille. Si ce nombre n'existe pas aujourd'hui, le produire est le premier projet.

Deuxièmement, réduisez-le. Un délai de 30 jours pour les correctifs critiques n'est plus agressif ; c'est le minimum. Pour les failles disposant d'un code d'exploitation fonctionnel déjà en circulation, une cible de sept jours est plus défendable.

Troisièmement, constituez un inventaire d'actifs précis, une liste complète de tous les ordinateurs, serveurs et services que l'organisation gère réellement. Chaque agent d'intervention d'urgence a la même histoire : le serveur oublié dans un coin, les systèmes de l'entreprise acquise que personne n'a cartographiés. La découverte à l'échelle de Mythos trouvera ces machines avant que n'importe quelle équipe de correction n'ait pu le faire.

Quatrièmement, lisez les avis de sécurité des éditeurs le jour de leur publication et agissez en conséquence. Si une correction critique nécessite une réunion du comité avant d'être livrée, le processus du comité est en soi une vulnérabilité.

Mythos n'a cassé le programme de sécurité de personne. Il a accéléré l'horloge. Que cela importe dépend entièrement de la durée d'ouverture de la fenêtre jusqu'à présent.