Ce que Mythos a vraiment trouvé

« L’IA trouve des bugs » est une abstraction, et une abstraction ne fait changer personne de comportement. Alors voici les bugs réels, ce qu’ils auraient signifié si quelqu’un de malveillant les avait trouvés en premier, et pourquoi certains ont survécu si longtemps.

Une vulnérabilité vieille de 27 ans dans OpenBSD. OpenBSD est le système d’exploitation que les spécialistes de la sécurité citent en exemple quand ils veulent dire « fait dans les règles de l’art » : une petite équipe obsessionnelle qui audite son propre code depuis des décennies. Mythos a trouvé une faille antérieure à l’essentiel de ces audits, en moins de mille exécutions autonomes, pour moins de 20 000 dollars de calcul. Un chercheur humain sérieux aurait passé plus de temps que cela rien qu’à lire le code concerné.

Un bug dans FFmpeg – la bibliothèque qui décode la vidéo pour à peu près tout – vieux de 16 ans, qui avait survécu à plus de cinq millions d’exécutions de fuzzing automatisé. Le fuzzing bombarde le code d’entrées aléatoires jusqu’à ce qu’il casse. Cinq millions de tentatives ne l’avaient pas trouvé. Le modèle, lui, l’a trouvé, ce qui montre qu’il raisonnait sur le code au lieu de le bombarder à l’aveugle.

Une faille dans wolfSSL (CVE-2026-5194), une bibliothèque de cryptographie embarquée utilisée dans des appareils trop petits pour faire tourner OpenSSL, qui permettait de falsifier des certificats : on pouvait faire croire à un appareil qu’il dialoguait avec une banque légitime alors que ce n’était pas le cas. Et un bug de corruption mémoire vieux de 17 ans dans le client NFS de FreeBSD (CVE-2026-4747) : un serveur de fichiers malveillant situé sur le même segment réseau pouvait exécuter du code sur n’importe quel client qui s’y connectait, sans interception ni attaque de l’homme du milieu ; il suffisait d’un serveur qui mentait dans ses réponses.

Au-delà des bugs pris un à un, deux données institutionnelles. L’AI Security Institute britannique a indiqué que Mythos Preview était le premier modèle à venir à bout des deux cyber ranges de l’institut, des exercices d’intrusion réalistes en plusieurs étapes, pas des casse-têtes. Et Mozilla a trouvé et corrigé 271 vulnérabilités de Firefox pendant sa période de test.

Trois de ces bugs étaient plus vieux que certains des ingénieurs qui maintiennent le code. Tous se trouvaient dans des logiciels passés au fuzzing, audités et livrés dans des milliards d’appareils. Voilà la version concrète d’une affirmation abstraite : le modèle est réel. La question difficile, c’est ce que le monde fait d’un modèle réel.