Projet Glasswing : quand un modèle trouve trop de bugs

Il y a deux semaines, Nicholas Carlini a démontré que Claude Code pouvait trouver une vulnérabilité vieille de 23 ans dans le kernel Linux à l’aide d’un script bash de 10 lignes. Aujourd’hui, Anthropic a annoncé ce qui s’est passé lorsqu’ils ont mis cette approche à l’échelle : un nouveau modèle baptisé Claude Mythos qui a découvert des milliers de vulnérabilités zero-day de sévérité haute et critique, puis ils ont décidé de ne pas le rendre public.¹

Le Projet Glasswing est le déploiement restreint par Anthropic de Claude Mythos, un modèle frontier qui a découvert des milliers de vulnérabilités zero-day dans tous les principaux systèmes d’exploitation et navigateurs web. Mythos a trouvé des bugs critiques, notamment une faille TCP SACK d’OpenBSD vieille de 27 ans et une vulnérabilité d’exécution de code à distance dans NFS sur FreeBSD. Anthropic a restreint l’accès à 12 organisations partenaires pour des travaux de sécurité défensive uniquement, s’est engagé à hauteur de 100 M$ en crédits d’usage, et a ouvert le formulaire de candidature du Cyber Verification Program à claude.com/form/cyber-use-case pour les chercheurs qualifiés.

Le Projet Glasswing est la réponse d’Anthropic à la question que les praticiens se posent depuis la conférence [un]prompted de Carlini : que se passe-t-il quand cette capacité est déployée à l’échelle ? La réponse : on la restreint.

TL;DR

Claude Mythos Preview est un modèle frontier dont les capacités en cybersécurité, selon Anthropic, « ont émergé comme une conséquence en aval d’améliorations générales en matière de code, de raisonnement et d’autonomie. »¹ Anthropic le positionne comme plus cyber-capable que n’importe quel modèle Opus généralement disponible (y compris la sortie d’Opus 4.7 du 16 avril 2026), et restreint l’accès à 12 organisations partenaires (Apple, Amazon, Microsoft, Google, la Linux Foundation, et d’autres) pour des travaux de sécurité défensive uniquement. Le modèle a trouvé des milliers de zero-days, dont un bug TCP SACK vieux de 27 ans dans OpenBSD, une vulnérabilité vieille de 16 ans dans FFmpeg, et un RCE NFS dans FreeBSD (CVE-2026-4747).¹ Anthropic s’est engagé à hauteur de 100 M$ en crédits d’usage et 4 M$ auprès d’organisations de sécurité open-source. Le formulaire de candidature du Cyber Verification Program est désormais actif pour les chercheurs en sécurité légitimes cherchant à obtenir un accès.¹ La mise à jour du 1er octobre 2026, plus bas, porte sur GLM-5.3, un modèle à poids ouverts qui, selon Anthropic, développe des exploits de bout en bout pour des bugs V8 connus à un taux proche de celui de Mythos Preview sur ExploitBench.⁷

Points clés à retenir

• Ingénieurs en sécurité : le seuil de capacité que Carlini a démontré à [un]prompted est réel, et il passe à l’échelle. Mythos a trouvé des vulnérabilités dans « tous les principaux systèmes d’exploitation et navigateurs web. »² Les équipes de sécurité défensive des 12 organisations partenaires y ont désormais accès. Tous les autres devraient se préparer à ce qui arrivera lorsque ces capacités atteindront les modèles généralement disponibles. (En septembre 2026, Anthropic faisait état d’un modèle à poids ouverts proche du taux de Mythos Preview sur ExploitBench, 50 contre 56 tentatives réussies sur 410 ; voir la mise à jour du 1er octobre.)
• Constructeurs de scaffolds : Mythos fonctionne via Claude Code dans des conteneurs isolés.¹ Le pattern de scaffold (CLI d’agent + exécution en sandbox + triage automatisé) sert désormais d’architecture de production pour la recherche en sécurité frontier chez Anthropic elle-même. Les patterns d’orchestration que les praticiens ont construits indépendamment tiennent au plus haut niveau.
• Tous les autres : Anthropic a choisi la restriction plutôt que la sortie publique. C’est une véritable décision de gouvernance avec de véritables compromis. Le modèle existe. Anthropic a démontré les capacités. La question n’est plus de savoir si une IA peut trouver des zero-days, mais qui y accède et sous quelles contraintes.

Mise à jour (1er octobre 2026) : la capacité a atteint les poids ouverts

Dans le récit qu’en fait Anthropic elle-même, Glasswing était un pari sur une avance : restreindre le modèle, laisser les défenseurs s’en servir en premier, et s’attendre à ce que la capacité se diffuse malgré tout. Le 29 septembre, la Frontier Red Team d’Anthropic a déclaré que cette diffusion avait eu lieu : « those models have now arrived » (ces modèles sont désormais là).⁷ GLM-5.3, un modèle à poids ouverts de Zhipu AI (Z.ai), « develops end-to-end exploits in 50 of 410 attempts » (développe des exploits de bout en bout dans 50 tentatives sur 410) sur ExploitBench, un ensemble de vulnérabilités V8 connues, là où Claude Mythos Preview « did so at a similar rate » (y parvenait à un taux similaire), soit 56 sur 410. Sur 100 tâches tirées au hasard du benchmark interne d’exploitation binaire d’Anthropic, il a obtenu un détournement complet du flux de contrôle dans 4 % des essais, contre 6 % pour Mythos Preview, et « earlier models, like Claude Opus 4.6 and GLM-5.2, do not succeed in any of them » (les modèles antérieurs, comme Claude Opus 4.6 et GLM-5.2, n’en réussissent aucune). Le CAISI du NIST, dans sa propre évaluation publiée le 17 septembre, a qualifié GLM-5.3 de « the most cyber-capable open-weight model released to date » (le modèle à poids ouverts le plus capable en cybersécurité publié à ce jour), tout en jugeant ses capacités « significantly lower than those of current U.S. frontier models » (nettement inférieures à celles des modèles frontier américains actuels), avec un retard d’« about four months » (environ quatre mois) ; d’après les notes du CAISI, cette frontière inclut aussi bien des modèles diffusés en accès de confiance que des modèles publics, et les modèles américains ont été testés avec les garde-fous cyber désactivés le cas échéant.⁸

Ce qui concerne cet article, ce sont les garde-fous. Les tâches de développement d’exploits ci-dessus n’ont déclenché aucun refus du modèle publié ; les chiffres qui suivent portent sur des requêtes ouvertement malveillantes. Dans les tests simulés d’Anthropic, GLM-5.3 a refusé toutes les requêtes directes et ouvertement malveillantes ; un prétexte l’a amené à s’engager, c’est-à-dire à tenter de se connecter à la cible simulée, dans 64 % des cas, un raisonnement prérempli dans 92 %, et une copie abliterated, c’est-à-dire modifiée pour ne plus refuser, dans 100 %. Cette modification, qui a fait passer les taux de refus sur trois benchmarks publics de plus de 90 % à entre 2 % et 12 %, a demandé à l’équipe d’Anthropic, qui ne l’avait jamais faite, « about 2,200 GPU hours at a computation cost of roughly $4,400 » (environ 2 200 heures GPU pour un coût de calcul d’environ $4,400) ; Anthropic estime qu’une équipe expérimentée aurait besoin d’environ $1,200, et note que des copies abliterated étaient publiques quelques jours après la sortie. Les poids sont publics : « anyone can download GLM-5.3 » (n’importe qui peut télécharger GLM-5.3). Une session en montre le prix. Un chercheur a fourni au plus petit GLM-5.3-Flash les détails publics d’une faille Chrome récemment divulguée et d’une autre, et le modèle « chained together exploits for these two flaws, building a reliable exploit chain for an ARM64 target » (a enchaîné des exploits pour ces deux failles en une chaîne fiable visant une cible ARM64), en « 20 minutes of human attention, plus eight hours of work » (20 minutes d’attention humaine, plus huit heures de travail) de sa part. Le prix qu’en donne Anthropic : « At Zhipu’s API prices, this effort would have cost $20.40. » (Aux tarifs de l’API de Zhipu, cet effort aurait coûté $20.40.)⁷

Ce que cela change à l’argumentation ci-dessous. La restriction a acheté une avance, pas une exclusivité. Selon les mots d’Anthropic : « a critical threshold in freely accessible capabilities has now been crossed » (un seuil critique a désormais été franchi dans les capacités librement accessibles). Le conseil aux praticiens devient plus urgent plutôt que différent. La couche de triage, le processus de divulgation et le rythme des correctifs portent désormais le poids, car le développement d’exploits à un taux proche de celui de Mythos Preview sur ExploitBench et, dans une session distincte menée par un chercheur avec le GLM-5.3 complet, la découverte et l’enchaînement de vulnérabilités jusque-là inconnues dans un navigateur web s’obtiennent désormais par simple téléchargement. Les résultats d’Opus 4.6 en recherche de bugs présentés plus bas restent valables ; sur les mêmes 100 tâches tirées au hasard du benchmark d’exploitation binaire d’Anthropic, il n’a obtenu aucun détournement complet du flux de contrôle. Le même article indique que des défenseurs vérifiés « can now use even more advanced models like Claude Mythos 5.1 through our trusted access programs » (peuvent désormais utiliser des modèles encore plus avancés comme Claude Mythos 5.1 via nos programmes d’accès de confiance), si bien que l’accès restreint a lui aussi évolué. L’article d’Anthropic ne dit pas si ces programmes correspondent à la voie de candidature que décrit cet article.⁷ Les noms de modèles des sections suivantes sont ceux d’avril ; lisez-les en gardant cette date à l’esprit.

Mise à jour (19 avril 2026)

Depuis la publication de ce billet le 7 avril, deux choses ont changé :

1. Opus 4.7 a été livré le 16 avril 2026 comme nouveau modèle phare en disponibilité générale. Anthropic indique qu’Opus 4.7 est délibérément moins cyber-capable que Mythos Preview et est livré avec des garde-fous cyber en temps réel. Mythos Preview reste distinct et restreint.⁵
2. Le formulaire de candidature du Cyber Verification Program est désormais actif à claude.com/form/cyber-use-case. Ce que l’annonce originale qualifiait de programme « futur » est maintenant un parcours de candidature concret.⁵
3. Claude Code a livré deux versions d’infrastructure pertinentes : v2.1.111 a ajouté la prise en charge d’Opus 4.7 / xhigh / Auto Mode ; v2.1.113 a ajouté sandbox.network.deniedDomains, des règles de refus pour les commandes wrapper (env / sudo / watch / ionice / setsid), une gestion plus stricte de find -exec / -delete, et une protection contre la suppression de /private/{etc,var,tmp,home} sur macOS sous Bash(rm:*).⁶ Ce sont exactement le type de primitives de durcissement dont a besoin un scaffold de recherche en sécurité de style Mythos.

L’argument central ci-dessous — restriction de capacité plutôt que sortie publique, patterns de scaffold qui tiennent au plus haut niveau, tous les autres se préparant à ce qui arrivera lorsque ces capacités atteindront la GA — est inchangé. Si tant est qu’il y ait un changement, le cadrage explicite des garde-fous cyber d’Opus 4.7 le renforce.

De la conférence au produit

La conférence [un]prompted de Carlini début avril était l’aperçu public.³ Il a montré cinq vulnérabilités du kernel Linux et 22 CVE Firefox trouvées avec un simple script d’itération de fichiers. Le goulot d’étranglement, selon lui, était la validation humaine — « plusieurs centaines de crashes que je n’ai pas encore validés. »

Mythos, c’est ce qui se passe quand on supprime ce goulot d’étranglement avec un modèle plus capable et une infrastructure dédiée. La différence d’échelle est significative :¹

Le chiffre de validation professionnelle compte : 89 % de 198 rapports examinés avaient des évaluations de sévérité confirmées par des contractants indépendants en sécurité, avec 98 % à un niveau de sévérité près.¹ Ce ne sont pas des découvertes hallucinées.

La décision de restriction

La position officielle d’Anthropic : « Nous ne prévoyons pas de rendre Claude Mythos Preview généralement disponible en raison de ses capacités en cybersécurité. »⁴

Cette décision se démarque. Les entreprises de modèles se précipitent typiquement pour livrer des capacités. Anthropic a construit un modèle manifestement meilleur pour trouver des vulnérabilités que n’importe quel système publiquement disponible, puis a choisi de le restreindre à un usage défensif par des partenaires triés sur le volet. L’engagement de 100 M$ en crédits d’usage indique qu’il ne s’agit pas d’un exercice marketing.¹

Le modèle de restriction comporte trois niveaux :¹ 1. Partenaires du Projet Glasswing (12 organisations) : accès direct pour la sécurité défensive 2. Accès élargi (40 organisations au total) : déploiement supervisé 3. Cyber Verification Program (désormais actif à claude.com/form/cyber-use-case) : parcours de candidature pour les professionnels de la sécurité vérifiés⁵

Pour les praticiens, les API et Claude Code standards n’exposent pas les capacités de découverte de vulnérabilités de Mythos. Le modèle le plus puissant généralement disponible est désormais Opus 4.7 (lancé le 16 avril 2026), qu’Anthropic positionne comme délibérément moins cyber-capable que Mythos et qui est livré avec des garde-fous cyber en temps réel.⁵ Les capacités démontrées de Mythos ont déjà influencé cette sortie du 16 avril — Opus 4.7 est le premier modèle post-Glasswing d’Anthropic doté de garde-fous cyber dédiés.

Ce que cela valide

Le Projet Glasswing valide plusieurs patterns que la communauté des praticiens a construits indépendamment :

Claude Code comme scaffold d’exécution. Mythos fonctionne via Claude Code dans des conteneurs isolés.¹ Le même CLI d’agent que les praticiens utilisent pour le codage quotidien sert de couche d’exécution pour la recherche en sécurité frontier. Les hooks, skills et le sandboxing que fournit Claude Code ne sont pas des fonctionnalités de confort. Ce sont les infrastructures qui rendent le scan de sécurité autonome suffisamment sûr pour être déployé.

Le goulot d’étranglement de la vérification est un problème d’orchestration. La conférence de Carlini a identifié la validation humaine comme le goulot d’étranglement. La solution du Projet Glasswing : des contractants professionnels en sécurité pour la validation, des engagements de hash SHA-3 pour la divulgation responsable, et une infrastructure de triage structurée.¹ Le même problème de triage est apparu dans Quand votre agent trouve une vulnérabilité, et la solution est l’infrastructure, pas la capacité du modèle.

Les hooks de gouvernance comptent plus que la capacité de scan. Le modèle peut trouver les vulnérabilités. Le problème difficile est de contrôler la divulgation, de gérer l’accès et de s’assurer que les découvertes atteignent les défenseurs avant les attaquants. La réponse d’Anthropic est organisationnelle (restreindre le modèle, trier les partenaires, engager des ressources). Pour les praticiens qui construisent leur propre scan de sécurité, les hooks de gouvernance qui contrôlent la sortie en sont l’équivalent.

Ce que cela signifie pour les praticiens

Vous n’aurez pas accès à Mythos. Voici ce que vous pouvez faire avec ce dont vous disposez :

Opus 4.6 est déjà capable. Les résultats de [un]prompted de Carlini (5 bugs kernel, 22 CVE Firefox) utilisaient Opus 4.6, pas Mythos.³ La méthodologie capture-the-flag, les builds instrumentés ASAN et le script d’itération de fichiers sont tous reproductibles avec le modèle généralement disponible.

Construisez la couche de triage dès maintenant. Lorsque les futurs modèles Opus hériteront d’une partie des capacités de Mythos (comme Anthropic l’a laissé entendre), le goulot d’étranglement sera le même que celui identifié par Carlini : la validation humaine. Les équipes qui ont automatisé la déduplication, la classification de sévérité et les workflows de divulgation en tireront profit en premier.

Candidatez au Cyber Verification Program. Le formulaire de candidature est actif à claude.com/form/cyber-use-case. Si vous faites de la recherche en sécurité légitime, c’est le parcours vers un accès élevé.

La trajectoire est claire : la découverte de vulnérabilités assistée par IA est réelle, elle passe à l’échelle, et la question de la gouvernance est désormais le problème central. La capacité du modèle est résolue. Le scaffold qui orchestre la découverte, le triage et la divulgation responsable ne l’est pas.

Sources

Foire aux questions

Puis-je utiliser Claude Mythos via Claude Code ?

Non. Mythos Preview est restreint aux partenaires du Projet Glasswing. Opus 4.7 (16 avril 2026) est le modèle le plus puissant disponible via Claude Code pour les utilisateurs généraux ; Anthropic indique que Mythos reste plus cyber-capable que n’importe quel modèle en GA. C’était l’offre d’avril 2026. Au 29 septembre, Anthropic indiquait que des défenseurs vérifiés pouvaient utiliser Claude Mythos 5.1 via ses programmes d’accès de confiance ; voir la mise à jour du 1er octobre plus haut.

Les capacités de Mythos arriveront-elles dans Opus ?

Opus 4.7 est la première sortie Opus post-Glasswing d’Anthropic et est livré avec des garde-fous cyber en temps réel. Le pattern suggère que les futurs modèles Opus emporteront des garde-fous supplémentaires plutôt que l’enveloppe complète des capacités de Mythos. L’annonce originale d’Anthropic indiquait qu’ils visent à « permettre un déploiement plus sûr via de nouveaux garde-fous dans les futurs modèles Claude Opus. »

Quel est le lien avec le précédent billet sur les vulnérabilités ?

La conférence [un]prompted de Carlini (couverte dans Quand votre agent trouve une vulnérabilité) utilisait Opus 4.6 et a trouvé 5 bugs kernel + 22 CVE Firefox. Mythos a mis cette approche à l’échelle jusqu’à des milliers de vulnérabilités sur toutes les principales plateformes. La méthodologie est la même ; le modèle est plus capable.