Cinq mois après le lancement de Claude Mythos, Anthropic revendique des résultats spectaculaires dans la détection automatisée des vulnérabilités informatiques. Son programme Project Glasswing aurait permis d’identifier quelque 26 000 failles dans des projets open source. Mais derrière ces chiffres impressionnants se dessine une réalité plus complexe : moins de 1 % des vulnérabilités détectées auraient finalement été corrigées.
Une IA capable de traquer les vulnérabilités à grande échelle
Lors de la présentation de Claude Mythos en avril 2026, Anthropic avait mis en avant les capacités particulièrement avancées de son modèle dans le domaine de la cybersécurité. Parmi ses applications les plus sensibles figure précisément la recherche automatisée de failles dans des logiciels.
Cette capacité est au cœur de Project Glasswing, une initiative destinée à examiner des projets open source afin d'identifier des vulnérabilités susceptibles d'être exploitées par des cyberattaquants.
L'objectif est aussi stratégique que défensif : découvrir les faiblesses d'un logiciel avant qu'elles ne soient repérées et exploitées par des acteurs malveillants. Avec l'automatisation, une tâche qui nécessitait auparavant des équipes spécialisées et un temps considérable peut être menée à une échelle beaucoup plus importante.
Mais cette accélération soulève immédiatement une question : que deviennent toutes les failles découvertes par l'IA ?
26 000 vulnérabilités identifiées, un nombre très limité de corrections
C'est précisément sur ce point que les premiers résultats de Project Glasswing doivent être relativisés. Le nombre de vulnérabilités détectées donne une idée de la puissance de détection du modèle, mais ne permet pas, à lui seul, de mesurer son efficacité en matière de sécurité.
Une faille identifiée n'est en effet qu'une première étape. Elle doit ensuite être vérifiée, évaluée, documentée puis transmise aux responsables du projet concerné. Ces derniers doivent à leur tour déterminer sa gravité et décider des mesures à prendre.
Selon le bilan présenté cinq mois après le lancement, moins de 1 % des quelque 26 000 failles repérées ont été corrigées. Un contraste qui rappelle les limites actuelles de l'automatisation : une IA peut considérablement accélérer la découverte de problèmes, sans pour autant pouvoir imposer leur résolution.
Le facteur humain reste déterminant
Cette situation met en lumière le rôle du filtrage humain dans les systèmes de recherche automatisée de vulnérabilités.
Toutes les détections produites par un modèle ne présentent pas nécessairement le même niveau de pertinence. Certaines peuvent nécessiter une analyse complémentaire, tandis que d'autres doivent être contextualisées avant d'être considérées comme suffisamment importantes pour justifier une intervention.
Les développeurs et les spécialistes de la cybersécurité restent donc indispensables pour vérifier les signalements, hiérarchiser les risques et accompagner la correction.
L'expérience de Project Glasswing montre ainsi que la performance d'un outil de cybersécurité ne se résume pas au nombre de failles qu'il est capable de trouver. La capacité à transformer ces découvertes en correctifs concrets constitue l'autre moitié du problème.
Anthropic joue la carte de la transparence
Pour suivre l'évolution du programme, Anthropic a mis en place dès le mois de mai un tableau de bord public consacré au processus de divulgation coordonnée des vulnérabilités. L'initiative permet de suivre les résultats du programme et d'observer ce qui se passe après la détection d'une faille.
Cette démarche intervient alors que les capacités des modèles d'IA dans le domaine cyber deviennent de plus en plus importantes. Plus ces systèmes sont capables d'analyser rapidement des volumes considérables de code, plus la question de leur encadrement et de leur utilisation responsable devient centrale.
Avec Claude Mythos, Anthropic démontre donc une capacité impressionnante à chercher des vulnérabilités. Les chiffres de Project Glasswing suggèrent toutefois qu'entre la découverte automatisée d'une faille et sa disparition effective d'un logiciel, le facteur humain conserve une place essentielle.
