C’est un avertissement doublé d’un compte à rebours. La note d’analyse publiée en mai 2026 par le Campus Cyber sur le modèle Mythos d’Anthropic ne se limite pas à constater que l’IA a fait son entrée dans la cybersécurité. Elle enjoint aux entreprises de revoir, vite et en profondeur, leur gestion des risques. Tour d’horizon des implications pour les les DSI et RSSI.
Dans le flot d’analyses suscitées par la sortie du modèle Mythos d’Anthropic, un message se détache : l’urgence n’est pas de trancher qui a raison sur les performances réelles du modèle, mais d’agir maintenant.
Le scénario : le « déluge » de failles zero-day
Toute la logique de durcissement repose sur un scénario redouté : l’arrivée, à très court terme et en accès large, de modèles d’IA capables de déclencher une découverte massive et automatisée de milliers de vulnérabilités dans des logiciels très répandus et des systèmes vieillissants (environnements bancaires legacy, systèmes industriels).
Certains experts cités parlent d’un « déluge ». La note situe ce pic comme possible d’ici trois à six mois, potentiellement suivi de répliques par paquets plus petits, puis d’une longue traîne de divulgations au compte-gouttes. Point important : la note ne prétend pas que Mythos crée ce risque. Elle considère qu’il en relève la probabilité et rapproche l’échéance. C’est précisément ce qui justifie une réponse urgente.
Pourquoi la posture actuelle de sécurité ne tiendra pas
Le jour où la vague arrivera, c’est l’agenda opérationnel des équipes qui sera bouleversé. La note identifie deux goulets d’étranglement qui, aujourd’hui, ne sont pas dimensionnés pour un tel choc.
Du côté des éditeurs, d’abord, rien ne garantit qu’ils seront en mesure de produire et de livrer sans délai les correctifs.
Du côté des équipes IT, c’est la capacité à absorber, dans un plan de charge déjà saturé, ce que la note appelle un « mur de patching en flux continu » sans dégrader ni la continuité de service ni les autres actions pour assurer la sécurité des systèmes d’information. La difficulté est aggravée par deux facteurs : des ressources IT de plus en plus contraintes budgétairement, et des protocoles d’implémentation de correctifs souvent mal adaptés à l’urgence, les équipes IT restant réticentes à automatiser totalement, par crainte des incidents provoqués par des patchs expéditifs.
Le tout dans un contexte où le time-to-exploit, le délai entre la publication d’une faille et son exploitation, ne cesse de se réduire. Autrement dit, la fenêtre pour corriger diminue au moment même où le volume à corriger explose.
Effet de bord notable : la massification des vulnérabilités pourrait saturer les mécanismes de recensement des CVE. Certains spécialistes s’interrogent déjà sur la pertinence de continuer à les répertorier.
Le fond du problème : une chaîne logicielle mal cartographiée
Au-delà des tensions opérationnelles, la note pointe une dépendance critique à une chaîne de valeur logicielle insuffisamment cartographiée et maîtrisée, en particulier vis-à-vis des intégrateurs et fournisseurs.
Le rappel est utile : une vulnérabilité n’est pas toujours une CVE clairement identifiée. Elle peut provenir de dépendances open source, de packages tiers, de composants embarqués ou de mises à jour mal gouvernées. La note nuance d’ailleurs le réflexe du « toujours mettre à jour » : dans certains cas, rester temporairement sur une version antérieure mieux maîtrisée est moins risqué que d’intégrer trop vite une dépendance compromise ou insuffisamment testée. La cybersécurité, souligne le texte, compense aujourd’hui une partie des faiblesses structurelles de la qualité logicielle.
Cinq chantiers immédiats pour les DSI et les RSSI
La note ne se limite pas au constat. Elle formule des recommandations opérationnelles.
1. Remettre à jour la cartographie des actifs critiques et des dépendances (supply chain métier et supply chain logicielle). Sans visibilité sur ce qu’on expose, impossible de prioriser.
2. S’entraîner à simuler une vague massive d’attaques liées à des failles zero-day. La note suggère un format d’exercice concret : un tabletop de deux à trois heures réunissant le CTO, le RSSI et les responsables de production, simulant la découverte simultanée d’une vingtaine de failles zero-day sur une application critique exposée à Internet. L’objectif n’est pas de tester une faille après l’autre, mais d’éprouver la « kill chain » et de déterminer les arbitrages à réaliser le jour J : allocation des ressources, priorisation des patchs selon les chemins d’exploitation réels, coupures de services à assumer, impacts en cascade sur les métiers et les finances (manque-à-gagner, pénalités…).
3. Durcir l’architecture réseau pour freiner la propagation des attaques non déjouées.
4. Se doter d’un plan de défense augmentée par l’IA. Les cas d’usage défensifs sont nombreux et connus : triage automatique de vulnérabilités, priorisation des CVE selon l’exposition réelle, génération et test de patchs, analyse SBOM, modernisation du code legacy, détection d’anomalies, assistance SOC niveaux 1 et 2, sécurité OT/embarqué. La note pose toutefois deux conditions non négociables : recourir à une IA européenne ou open source et conserver systématiquement une supervision humaine.
5. Embarquer les plus petites structures. Le durcissement ne concerne pas que les grands groupes : les ETI, PME et TPE, maillons des chaînes de sous-traitance, doivent pivoter aussi mais avec des méthodes adaptées à leur réalité, les recettes des grandes entités n’étant pas transposables telles quelles. Les grands donneurs d’ordre ont ici un rôle clé pour sécuriser leurs fournisseurs de rang 1 et 2.
Ce que cela change dans les équipes en charge de la cybersécurité
Un autre aspect détaillé dans la note est de souligner qu’avant même toute commercialisation, Mythos a fait basculer des organisations dans des configurations proches de la gestion de crise. Sur des équipes DSI/RSSI déjà sous haute tension, cette « vraie-fausse crise larvée » pèse, d’autant qu’elles hésitent légitimement à réallouer de la bande passante à un risque qui n’a pas encore de forte réalité opérationnelle.
C’est tout l’enjeu du message porté par la note : ne pas dramatiser, mais ne pas non plus se réfugier dans l’immobilisme. La bonne posture décrite tient en une formule : une « leçon de prospective courte, orientée vers l’action préventive ». L’occasion de vérifier, dans chaque organisation, que les fondamentaux de l’hygiène cyber sont réellement en place : segmentation, sauvegardes robustes, capacité de réponse à incident et à assurer la continuité d’activité.
Cet article s’appuie sur la note d’analyse « Mythos et autres modèles-frontière » publiée par le Campus Cyber en mai 2026.