Ce que Mythos a vraiment trouvé

Les cas

Une remarque sur la CVE-2026-4747 : VulnCheck a relevé que la seule CVE mise en avant par Anthropic elle-même était, du moins au départ, absente du propre registre de divulgation d’Anthropic. Une incohérence mineure mais révélatrice, pour un projet dont la crédibilité repose sur le fait que ce registre fasse foi.

Là où le modèle bat le fuzzing, et là où il ne le bat pas

Le cas FFmpeg est le plus instructif. Le fuzzing guidé par la couverture excelle à débusquer les plantages superficiels, mais peine face aux bugs qui exigent de satisfaire successivement plusieurs préconditions sémantiques, ou de comprendre à quoi sert le code. Un bug de 16 ans qui a survécu à cinq millions d’itérations en fait, presque par définition, partie.

Catégories de bugs pour lesquelles la découverte par un modèle semble surpasser le fuzzing, d’après les éléments publics de Glasswing et de Black Hat :

• Erreurs de logique dans la validation (la catégorie wolfSSL) : le code s’exécute correctement et renvoie la mauvaise réponse. Les fuzzers n’ont aucun oracle pour savoir que « ce certificat aurait dû être rejeté ».
• Corruption mémoire dépendante de l’état (la catégorie NFS de FreeBSD) : atteindre le chemin vulnérable suppose un échange protocolaire, ce que la mutation aléatoire produit rarement.
• Bugs anciens dans du code massivement fuzzé : biais du survivant oblige, ce qui reste après des années de fuzzing, c’est précisément ce que le fuzzing ne peut pas atteindre.
• Raisonnement inter-fonctions : des bugs où une précondition est établie dans une fonction et violée dans une autre, ce que les métriques de couverture ne captent pas.

Là où le fuzzing garde l’avantage : le rendement par dollar sur les bugs superficiels d’analyse des entrées, et la reproductibilité. La keynote de Shoshitaishvili à Black Hat (voir Black Hat 2026 : ce qu’ont défendu les keynotes) décrivait une compétence humaine qui s’est déplacée vers la construction de stratégies de recherche, de chaînes de validation et de vérifications d’exploitabilité autour du modèle, plutôt que vers la recherche manuelle de bugs.

Le fossé de l’exploitation : tenir les deux faits à la fois

Les articles publiés en juillet par The Register apportent un contrepoids nécessaire : fin juillet, seuls 126 signalements de Glasswing avaient une CVE publiée, et un seul avait été confirmé comme activement exploité. Le résumé sans détour de VulnCheck : « La découverte de vulnérabilités assistée par l’IA et les capacités des modèles de pointe ont été surestimées au regard des éléments disponibles aujourd’hui… l’impact a été réel mais modeste. »

Les données de Microsoft vont dans l’autre sens. Un système interne a transformé 182 vulnérabilités du noyau Linux sur 200 en preuves de concept provoquant un plantage, dont beaucoup sous forme d’exploits root fonctionnels, pour un coût moyen de 3,61 $ et 21 minutes chacune (voir Black Hat 2026 : ce qu’ont défendu les keynotes). Les deux faits sont vrais simultanément :

• L’exploitation des signalements de Glasswing par des attaquants reste, pour l’instant, rare.
• Le coût de l’exploitation s’est effondré.

L’écart entre les deux, c’est la fenêtre dont disposent aujourd’hui les défenseurs. Rien ne garantit qu’elle reste ouverte.

Le benchmark de redécouverte de l’UCL

Des chercheurs de l’University College London ont proposé un benchmark qui teste si d’autres modèles peuvent redécouvrir de manière indépendante les signalements de Glasswing à partir du code non corrigé. C’est important pour deux raisons :

1. Le risque lié à l’embargo devient une estimation d’ingénierie. Si un modèle de second rang redécouvre une vulnérabilité en N exécutions, l’embargo sur celle-ci vaut, pour un attaquant, environ N exécutions de calcul. C’est la version quantitative de la crainte exprimée par VulnCheck : « en vieillissant, les signalements deviennent des passifs » (voir Vingt-six mille signalements, deux cents correctifs).
2. Une mesure plus propre des capacités. Un taux de redécouverte rapporté à une vérité terrain connue vaut mieux que le simple décompte des signalements, gonflé par les doublons et les retraits (souvenez-vous du cas curl, 5→1).

Au moment de la rédaction, aucun résultat préliminaire n’avait été publié ; surveillez les publications des auteurs sur arXiv.

Évaluations institutionnelles

• UK AI Security Institute : Mythos Preview a été le premier modèle à venir à bout des deux cyber ranges de l’AISI, des scénarios d’intrusion multi-machines et en plusieurs étapes qui exigent reconnaissance, exploitation, mouvement latéral et atteinte de l’objectif, et non la découverte d’un bug isolé. C’est cette capacité qui relie Mythos à l’incident Hugging Face : un modèle capable de venir à bout d’un cyber range fait, dans un environnement autorisé, ce que les agents de l’affaire Hugging Face ont fait dans un environnement qui ne l’était pas.
• Mozilla : 271 vulnérabilités de Firefox trouvées et corrigées pendant la période de test, soit l’exemple le plus clair du modèle envisagé par Glasswing : un mainteneur doté de moyens solides, capable d’absorber des signalements en grand nombre. C’est aussi la référence implicite à l’aune de laquelle il faut lire le problème des projets tenus par deux personnes (voir Vingt-six mille signalements, deux cents correctifs) : Mozilla incarne la capacité d’absorption, et la plupart des mainteneurs ne sont pas Mozilla.

Sources

• Anthropic, system card de Claude Mythos Preview + annonce du Project Glasswing, avril 2026 ; mise à jour de Glasswing, mai 2026 – anthropic.com
• UK AI Security Institute, évaluation préalable au déploiement de Mythos Preview – aisi.gov.uk
• Avis de sécurité de Mozilla, période de test de Glasswing – mozilla.org/security
• VulnCheck, Observations on Anthropic’s Vulnerability Disclosure Ledger – https://www.vulncheck.com/blog/anthropic-ledger (omission de la CVE-2026-4747)
• The Register, AI-found bugs aren’t proving any easier to exploit despite the hype, 28 juillet 2026 – https://www.theregister.com/security/2026/07/28/ai-found-bugs-arent-proving-any-easier-to-exploit-despite-the-hype/5279637
• Security Point Break, Black Hat 2026: Fighting an Adversarial Tsunami, 6 août 2026 – https://securitypointbreak.com/2026/08/06/black-hat-2026-fighting-an-adversarial-tsunami/ (chiffres de Microsoft sur la génération de PoC)
• CSO Online, Microsoft wants you to rethink your approach to cyber defense, août 2026 – csoonline.com
• Benchmark de redécouverte de l’UCL – prépublication à venir ; consulter arXiv

Note de la rédaction : OpenBSD (27 ans, <1 000 exécutions, <20 000 $), FFmpeg (16 ans, >5 millions d’itérations de fuzzing), wolfSSL CVE-2026-5194, « les deux ranges » de l’AISI, Mozilla 271 – données issues du brief de commande, non revérifiées de manière indépendante. À recouper avec la system card de Mythos et les avis de sécurité des éditeurs ; vérifier les numéros de CVE sur cve.org.