Ne vous demandez plus quel outil acheter : ce que Mythos a révélé
Plus de 10 000 vulnérabilités critiques détectées en un mois : ce que le Projet Glasswing d’Anthropic vient de révéler devrait changer la feuille de route de tous les RSSI.
Depuis avril, les responsables de la sécurité des systèmes d’information (RSSI) se posent la question : quel outil de sécurité IA acheter pour répondre à Mythos ? Cependant, cette interrogation est mal orientée. La véritable question devrait porter sur la robustesse des fondations sur lesquelles reposent ces outils face aux menaces émergentes.
Le Projet Glasswing d’Anthropic, qui a permis à ses partenaires d’accéder en avant-première à Mythos, a mis en lumière plus de 10 000 vulnérabilités de sévérité élevée ou critique en l’espace d’un mois. Anthropic avertit que des laboratoires concurrents pourraient publier des modèles similaires dans un délai de six à douze mois, sans nécessairement disposer des mêmes garde-fous.
Il est évident que les entreprises ne peuvent plus se contenter de corriger les failles au fur et à me. Celles qui sauront naviguer avec succès dans cette période difficile seront celles qui auront instauré des mes indispensables : une surface d’attaque réduite, une visibilité en temps réel, une remédiation automatisée, et une source de vérité unique partagée entre les équipes de sécurité et d’informatique.
Réduire la surface d’attaque
Mythos est capable de détecter des failles dans des codes qui n’ont pas été modifiés depuis des décennies. Chaque application, port ou service en fonctionnement sans nécessité réelle représente une cible vulnérable. Réduire le risque ne signifie pas simplement corriger davantage de vulnérabilités, mais plutôt réduire le nombre d’éléments exploitables.
De nombreux environnements informatiques présentent une surface d’attaque inutilement large : des logiciels installés pour des projets désormais achevés, des ports laissés ouverts par manque de clarté sur leurs dépendances, ou encore des outils d’administration sans propriétaire clairement identifié. Mythos sera capable de trouver des failles dans les systèmes réellement en fonctionnement, et non pas dans ceux que prétend gérer l’inventaire d’actifs.
Il est impératif de réaliser un inventaire en temps réel de chaque terminal, d’attribuer un propriétaire métier à chaque application, et d’établir clairement les dépendances pour chaque port ouvert. Il faut éliminer ce qui n’est pas nécessaire, sécuriser ce qui l’est, et segmenter le reste. Ce n’est pas une recommandation nouvelle, mais elle est désormais incontournable.
Le patch management fait partie de la réponse, mais pas toute la réponse
Avant même l’émergence de Mythos, le rapport Edgescan 2025 indiquait que 45 % des failles des grandes entreprises dans le monde restaient non corrigées après douze mois. Ce constat n’est pas dû à un goulot d’étranglement, mais à un choix stratégique. Les résultats du Projet Glasswing confirment cette tendance : parmi 1 094 failles critiques identifiées dans des projets open source, seules 97 ont été corrigées.
La plupart des programmes de correction reposent sur des processus longs et séquentiels : préparation, tests de déploiement, attente des résultats, révisions, planification des vagues suivantes, déploiement et validation. Chaque étape est manuelle et s’appuie sur des données d’inventaire obsolètes de plusieurs jours ou semaines.
L’intelligence artificielle pourrait aggraver cette situation. Les partenaires du Projet Glasswing utilisent déjà Mythos pour rédiger des correctifs, ce qui accélère leur création, mais complique le processus de déploiement : plus de correctifs générés rapidement entraîne une file d’attente plus longue vers un pipeline inchangé. Le goulot d’étranglement se déplace alors vers la plateforme chargée de déployer ces correctifs et de garantir leur application sur chaque terminal.
De nombreux systèmes ne pourront pas être corrigés, qu’il s’agisse de ceux en fin de vie, d’outils de technologie opérationnelle (OT), de firmwares embarqués ou de logiciels tiers en attente de correctifs de la part des éditeurs. La solution réside dans la visibilité, la segmentation et des mes compensatoires. Il est nécessaire de réduire les délais de patching de trente jours à quelques heures, de réserver la validation humaine aux changements à fort impact, et d’automatiser le reste.
Ne plus se noyer sous les alertes
Les outils de défense renforcés par l’IA risquent également de submerger les équipes de sécurité sous un flot d’alertes. La question cruciale est de savoir si les entreprises peuvent identifier ce qui est réellement pertinent à chaque instant. Le score CVSS à lui seul ne suffira pas : une vulnérabilité critique dans un environnement de test isolé n’a pas le même poids qu’une vulnérabilité modérée sur un système de paiement. Traiter les deux de manière identique épuiserait les équipes à poursuivre des faux positifs, tandis que les véritables risques continueraient de prospérer.
Il est essentiel de prioriser les vulnérabilités en fonction de la criticité des actifs, du contexte métier, de la disponibilité d’un exploit, et du chemin d’exposition réel. Cela nécessite une source de données unique et fiable, plutôt qu’une reconstitution à partir de multiples consoles où les données peuvent devenir obsolètes ou se contredire silencieusement.
Les éditeurs affirment souvent que la réponse à Mythos consiste en une surcouche d’IA sur les outils existants. Cela peut être vrai dans certains cas, mais souvent, il s’agit simplement d’une couche supplémentaire sur des bases inadaptées.
Mythos n’a pas créé de nouveaux problèmes, mais a rendu impossible le report des anciens. Les entreprises qui sortiront indemnes de cette période auront utilisé les douze prochains mois pour finaliser ce qu’elles avaient commencé : réduire la surface d’attaque, établir une visibilité en temps réel, automatiser la remédiation, et créer une source de vérité unique partagée entre sécurité et informatique.
Source : Projet Glasswing d’Anthropic
