L'ère des agents est arrivée plus tôt que prévu : ne vous laissez pas surprendre

Bien que ces bouleversements dans le développement logiciel et la sécurité semblent être monnaie courante en 2026, l'arrivée du dernier modèle de codage par IA d'Anthropic, Claude Mythos, présenté comme le « plus dangereux » à ce jour, marque un tournant fondamental et permanent dans la façon dont chaque responsable de la sécurité doit concevoir son programme, notamment pour la gestion des correctifs des systèmes hérités.

La plupart des entreprises sont encore en train de s'adapter au passage du code écrit par des humains au développement assisté par IA, mettant en place de nouveaux processus, apprenant à examiner ce que génèrent leurs copilotes IA, développant de nouvelles compétences et établissant de nouvelles garde-fous pour un usage en entreprise approprié.

Mais la phase suivante de la création logicielle pilotée par l'IA n'a pas attendu.

Cette semaine, Anthropic a publié une évaluation technique détaillée de Claude Mythos Preview, un nouveau modèle d'IA de pointe doté d'une capacité qui devrait interpeller tous les responsables de la sécurité et de l'ingénierie. Il peut identifier et exploiter de manière autonome des vulnérabilités « zero-day » sur tous les principaux systèmes d'exploitation et navigateurs, sans intervention humaine après une requête initiale. Des ingénieurs sans formation spécifique en sécurité ont dirigé le modèle pendant la nuit et ont découvert, au réveil, des exploits complets et fonctionnels.

Ces conclusions sont stupéfiantes et ne sont pas théoriques. Mythos Preview a trouvé une vulnérabilité vieille de 27 ans dans OpenBSD, l'un des systèmes d'exploitation les plus sécurisés au monde, permettant à un attaquant de faire planter n'importe quelle machine à distance simplement en s'y connectant. Il a découvert une faille vieille de 16 ans dans FFmpeg que les outils de test automatisés avaient rencontrée cinq millions de fois sans jamais la détecter. Il a enchaîné plusieurs vulnérabilités du noyau Linux de manière autonome pour obtenir un contrôle total de la machine. Il ne s'agissait pas de découvertes assistées par l'homme ; aucun praticien n'a guidé le processus après la requête initiale.

En réponse, Anthropic a annoncé le projet Glasswing, une coalition intersectorielle réunissant AWS, Microsoft, Google, Cisco, CrowdStrike, Palo Alto Networks, JPMorgan Chase, NVIDIA, Apple, Broadcom et la Linux Foundation. La conclusion partagée par tous est claire : les anciennes approches de sécurisation des logiciels ne suffisent plus, et il est temps d'agir. Comme l'a souligné le CTO de CrowdStrike, le délai entre la découverte d'une vulnérabilité et son exploitation s'est effondré ; ce qui prenait autrefois des mois se produit désormais en quelques minutes.

Les trois problèmes viennent de se complexifier

À chaque étape de la transition vers le développement par IA, les entreprises font face aux trois mêmes défis. Mythos Preview les accentue tous simultanément, à une vitesse jamais vue auparavant.

Apprendre à développer de manière sécurisée devient plus difficile lorsque l'IA peut générer et modifier du code plus rapidement que les équipes ne peuvent l'examiner. Les compétences requises pour gouverner le code généré par l'IA diffèrent de celles nécessaires pour écrire du code manuellement, et ces compétences doivent évoluer au même rythme que les outils.

Gouverner ce que l'IA peut ou ne peut pas toucher devient critique lorsque des agents autonomes écrivent et révisent du code sans intervention humaine. En général, nous posons encore la mauvaise question. Il ne s'agit plus tant de savoir « ce que nos développeurs ont construit », mais plutôt « ce que notre IA a construit, et en avait-elle l'autorisation ? »

Tracer quelle IA a fait quoi, où et pour qui est désormais un impératif de conformité et de réponse aux incidents. Lorsqu'un problème survient dans un pipeline agentique, les organisations doivent pouvoir répondre immédiatement à cette question. La plupart en sont incapables.

En tant que praticiens, nous avions prédit depuis longtemps que cette technologie finirait par être exploitée par des acteurs malveillants, démultipliant ainsi leurs capacités d'attaque. Nous savons déjà que les cybercriminels disposent d'un avantage offensif net sur la plupart des équipes de sécurité en entreprise, et un outil comme Mythos rationalise encore davantage leurs processus malveillants.

Nous sommes à l'ère de la démocratisation des cyberattaques, où un niveau de destruction autrefois réservé aux acteurs les plus sophistiqués peut être atteint par un novice. Nous ne devrions pas être surpris, mais beaucoup restent largement sous-préparés. Un correctif rapide et priorisé est indispensable, mais cette gestion n'est efficace qu'à la mesure de la traçabilité de chaque outil et dépendance utilisés.

C'est un problème à l'échelle de l'industrie

Ce qui rend le projet Glasswing significatif ne tient pas seulement aux capacités révélées par Mythos Preview, mais à l'ampleur et à la puissance de la réponse. Une coalition regroupant hyperscalers, fournisseurs de sécurité, institutions financières et fondations open-source s'accorde sur la même conclusion, un constat familier qui résonne avec l'éthique de SCW. La gouvernance logicielle de l'IA n'a jamais été une option « agréable à avoir ». C'est la couche manquante que chaque organisation développant l'IA doit mettre en place avant le prochain incident. Ceux qui s'en tiennent à un manuel réactif et obsolète seront balayés de la pire des manières.

Autonomiser, ne pas restreindre

La tentation, en lisant de telles conclusions, est de freiner des quatre fers, de ralentir l'adoption de l'IA, de restreindre les outils et de durcir les contrôles. C'est une erreur, et ce n'est pas non plus ce que recommandent les partenaires de Glasswing.

Les organisations qui réussiront cette transition sont celles qui adopteront un développement piloté par l'IA avec une gouvernance en place dès le départ. Cela implique de former les développeurs à mesure que les outils évoluent, de définir des garde-fous pour l'accès des agents IA à vos dépôts et, fondamentalement, d'assurer la traçabilité exigée par vos équipes de conformité et de réponse aux incidents, sans pour autant consommer des millions de jetons.

Le moment d'agir est venu

Le conseil d'Anthropic aux défenseurs : commencez avec les outils disponibles aujourd'hui. N'attendez pas le prochain modèle. La valeur de la mise en place de vos processus, structures et cadres de gouvernance se multiplie rapidement.

Secure Code Warrior se place au cœur des trois défis majeurs que l'ère des agents crée pour les entreprises. Si votre organisation développe le recours à l'IA, la question n'est pas de savoir si vous avez besoin d'une gouvernance logicielle pour l'IA, mais si vous l'avez déjà.

Ce que cela signifie pour vous

Pour les RSSI

Vos politiques de divulgation des vulnérabilités, cycles de correctifs et plans de réponse aux incidents ont été conçus pour une époque où le développement d'exploits prenait des semaines. Cette époque est révolue. Il est temps d'établir une visibilité sur la gouvernance de l'IA dans votre environnement de développement, tout en comprenant quels agents IA accèdent à votre code, ce qu'ils produisent et si cela respecte votre seuil de risque. Si vous ne pouvez pas répondre à ces questions aujourd'hui, c'est la priorité.

Pour les CTO

Vos équipes d'ingénierie utilisent déjà l'IA pour livrer plus rapidement. La question est désormais de savoir si vous disposez des garde-fous nécessaires pour le faire en toute sécurité et à grande échelle. Régir les accès des agents IA à vos dépôts et assurer la traçabilité de leurs contributions est devenu une décision d'architecture technique, et non plus une simple question de sécurité. Les organisations qui bâtissent ces fondations dès maintenant seront celles qui déploieront l'IA avec confiance.

Pour les responsables de l'ingénierie

On demande à vos développeurs d'aller plus vite avec des outils d'IA qu'ils n'ont pas conçus et dont ils ne peuvent pas prédire le comportement. Les compétences nécessaires pour réviser du code généré par l'IA diffèrent de celles requises pour le codage manuel, et la plupart des équipes n'ont pas encore eu l'occasion de les acquérir. Combler ce fossé est la clé d'une adoption de l'IA plus sûre et durable.

Pour les PDG et les conseils d'administration

Le projet Glasswing fait peut-être la une, mais c'est un signal que nous ne pouvons ignorer. Quand AWS, Microsoft, Google, Cisco, CrowdStrike et JPMorganChase s'accordent sur une réponse coordonnée face à un risque de sécurité lié à l'IA, et qu'Anthropic investit 100 millions de dollars, le marché vous envoie un message clair. Le développement logiciel par IA accélère la découverte et l'exploitation des vulnérabilités. La gouvernance de ce processus est désormais un risque stratégique. Les organisations qui l'anticipent seront mieux armées pour déployer l'IA et prouver aux régulateurs, clients et investisseurs qu'elles agissent de manière responsable.