Ne vous demandez plus quel outil acheter... Demandez-vous plutôt ce que Mythos a révélé
Plus de 10 000 vulnérabilités critiques détectées en un mois : ce que le Projet Glasswing d'Anthropic vient de révéler devrait changer la feuille de route de tous les RSSI.
Depuis avril, tous les RSSI que je rencontre me posent la même question : quel outil de sécurité IA acheter pour répondre à Mythos ? C'est la mauvaise question. La bonne serait de savoir si les fondations sur lesquelles reposent ces outils peuvent supporter ce qui arrive.
Le Projet Glasswing d'Anthropic, qui a donné à ses partenaires un accès anticipé à Mythos, a mis au jour plus de 10 000 vulnérabilités de sévérité élevée ou critique en un mois. Anthropic prévient que des laboratoires concurrents pourraient publier des modèles comparables d'ici six à douze mois, sans nécessairement les mêmes garde-fous.
On ne pourra pas se contenter de corriger au fil de l'eau. Les entreprises qui survivront à cette période compliquée seront celles qui auront mis en place ce qui aurait dû exister depuis longtemps : une surface d'attaque réduite, une visibilité en temps réel, une remédiation automatisée et une source de vérité unique partagée entre sécurité et IT.
Réduire la surface d'attaque
Mythos détecte des failles dans du code parfois inchangé depuis des décennies. Chaque application, chaque port, chaque service qui tourne sans que l'entreprise en ait réellement besoin est une cible gratuite. Réduire le risque, ce n'est pas corriger davantage de vulnérabilités, c'est avoir moins de choses à exploiter.
La plupart des environnements traînent une surface inutile considérable : logiciels installés pour des projets terminés, ports restés ouverts faute de certitude sur ce dont ils dépendent, extensions et outils d'administration sans propriétaire identifié. Mythos trouvera la faille dans ce qui tourne réellement, pas dans ce que votre inventaire d'actifs prétend faire tourner.
Il faut effectuer un inventaire en temps réel de chaque terminal, attribuer un propriétaire métier pour chaque application, établir une dépendance clairement établie pour chaque port ouvert. Supprimer ce qui n'est pas nécessaire, verrouiller ce qui l'est, segmenter le reste. Ce n'est pas une recommandation nouvelle, elle n'est simplement plus optionnelle.
Le patch management fait partie de la réponse, il n'est pas toute la réponse
Bien avant Mythos, le rapport Edgescan 2025 indiquait que 45 % des failles des grandes entreprises dans le monde restaient non corrigées après douze mois. Ce n'est pas un problème de goulot d'étranglement, c'est un choix. Les résultats du Projet Glasswing le confirment : sur 1 094 failles critiques confirmées dans des projets open source, seules 97 ont été corrigées.
La plupart des programmes de correction reposent sur des étapes séquentielles longues : préparation, déploiement test, attente des résultats, revue, planification de la vague suivante, déploiement, validation. Chaque étape est manuelle et repose sur des données d'inventaire vieilles de plusieurs jours ou semaines.
L'IA va aggraver la situation. Les partenaires du Projet Glasswing utilisent déjà Mythos pour écrire des patchs, ce qui accélère leur rédaction mais amplifie le problème du déploiement : plus de correctifs générés plus vite signifie une file d'attente plus longue vers un pipeline resté, lui, inchangé. Le goulot d'étranglement se déplace vers la plateforme chargée de les pousser et d'en apporter la preuve sur chaque terminal.
De nombreux systèmes ne pourront simplement pas être corrigés : fin de vie, OT, firmware embarqué, logiciels tiers en attente d'un correctif éditeur. La réponse reste la même : visibilité, segmentation, mesures compensatoires. Il faut faire passer les SLA de patching de trente jours à quelques heures, réserver la validation humaine aux changements à fort impact, automatiser le reste.
Ne plus se noyer sous les alertes
Les outils de défense dopés à l'IA vont eux aussi inonder vos files d'alertes. La vraie question est de savoir si vous pouvez identifier ce qui compte réellement cette semaine. Le score CVSS seul n'y suffira pas : une faille critique dans un environnement de test isolé n'a pas le même poids qu'une faille moyenne sur votre système de paiement. Traiter les deux de la même façon, c'est épuiser ses équipes à courir après du bruit pendant que les vrais risques prospèrent.
Il faut prioriser selon la criticité des actifs, le contexte métier, la disponibilité d'un exploit et le chemin d'exposition réel, en s'appuyant sur une source de données unique et faisant autorité plutôt que reconstituée entre une dizaine de consoles, où la donnée se périme ou se contredit silencieusement.
Les éditeurs vous diront que la réponse à Mythos, c'est encore plus d'IA superposée aux outils existants. C’est parfois vrai. Mais le plus souvent, ce n'est qu'une couche de plus sur des fondations jamais conçues pour la supporter.
Mythos n'a pas inventé de nouveaux problèmes. Il a rendu impossible de continuer à reporter les anciens. Les entreprises qui traverseront cette période intactes auront utilisé les douze prochains mois pour finir ce qu'elles avaient commencé : surface d'attaque réduite, visibilité en temps réel, remédiation automatisée, et source de vérité unique partagée entre sécurité et IT.