Claude Mythos a trouvé un bug dans OpenBSD il y a 27 ans

Claude Mythos Preview met au jour des vulnérabilités dans OpenBSD et d'autres systèmes

Anthropic a lancé Project Glasswing — un programme pour scanner les infrastructures critiques en utilisant le modèle non public Claude Mythos Preview. En seulement quelques semaines d'exploitation, l'IA a découvert des milliers de vulnérabilités inconnues dans les principaux OS et navigateurs. Les partenaires incluent AWS, Apple, Google, Microsoft, NVIDIA, et plus de 40 organisations qui ont obtenu l'accès pour auditer leurs systèmes.

Le modèle ne sera pas publié publiquement en raison de ses capacités avancées en cybersécurité. Sur les benchmarks, Mythos Preview surpasse Opus 4.6 :

• SWE-bench Verified : 93,9 % contre 80,8 % ;
• Terminal-Bench 2.0 : 82 % contre 65,4 % ;
• CyberGym : 83,1 % contre 66,6 %.

Anthropic prévoit d'affiner les mécanismes de sécurité dans Opus avant de publier des modèles de classe Mythos.

Vulnérabilité de 27 ans dans OpenBSD

Dans OpenBSD, réputé pour sa sécurité stricte, le modèle a autonomement détecté un bogue permettant de planter à distance une machine avec une simple connexion. Cette vulnérabilité existait depuis 27 ans et a été corrigée après sa découverte.

Cela démontre l'efficacité de l'IA pour analyser du code legacy sans indice humain. OpenBSD est la référence absolue en minimalisme et audit, où de tels défauts sont rares.

Bogues dans FFmpeg et le noyau Linux

Dans FFmpeg, Mythos Preview a mis au jour un défaut de 16 ans dans une seule ligne de code qui avait échappé à 5 millions de tests automatisés. Ce bogue pouvait provoquer des plantages lors du traitement de médias.

Dans le noyau Linux, l'IA a indépendamment reconstitué une chaîne de vulnérabilités accordant à un utilisateur standard un accès root. Toutes les découvertes ont été corrigées.

De telles chaînes nécessitent une compréhension profonde des interactions entre composants — une tâche où l'IA surpasse l'audit manuel.

Financement et accès au modèle

Anthropic alloue 100 millions de dollars en crédits aux participants et 4 millions de dollars pour la sécurité open source :

• 2,5 millions de dollars — Alpha-Omega et OpenSSF via Linux Foundation ;
• 1,5 million de dollars — Apache Software Foundation.

Après la phase de preview, Mythos Preview sera disponible pour les partenaires à 25 $ par million de tokens d'entrée et 125 $ par million de tokens de sortie via Claude API, Amazon Bedrock, Google Vertex AI, et Microsoft Foundry.

Le projet tire son nom du papillon Greta oto aux ailes transparentes — une métaphore des vulnérabilités cachées et du besoin de transparence.

Enseignements clés

• Mythos Preview détecte autonomement des vulnérabilités legacy dans OpenBSD (27 ans), FFmpeg (16 ans), et le noyau Linux.
• Benchmarks : leadership sur SWE-bench (93,9 %), Terminal-Bench (82 %), CyberGym (83,1 %).
• 104 millions de dollars d'investissements pour les infrastructures et la sécurité open source.
• Le modèle s'intègre dans les plateformes API d'AWS, Google, et Microsoft pour l'audit en entreprise.
• Rapport des résultats dans 90 jours.

Perspectives pour les développeurs

Pour les spécialistes de niveau intermédiaire et senior, c'est un signal pour intégrer l'IA dans les pipelines CI/CD pour le scanning de sécurité. Le modèle excelle dans :

• Le fuzzing autonome de code legacy ;
• L'assemblage de chaînes d'exploits ;
• Le contournement des scénarios de tests existants.

Project Glasswing se concentre sur les infrastructures où l'audit manuel ne peut suivre la croissance du codebase. Le rapport attendu révélera les meilleures pratiques pour l'industrie.

— Editorial Team