Anthropic intègre Claude Mythos 5 aux analyses de sécurité de Claude Enterprise

Mythos 5 arrive en bêta publique dans Claude Security

Depuis le 21 août 2026, les analyses de Claude Security destinées aux clients Claude Enterprise utilisent Claude Mythos 5, un modèle de la famille Mythos jusqu’ici réservé à certains défenseurs dans le cadre du Project Glasswing.

L’accès est proposé en bêta publique et ne nécessite aucun module complémentaire distinct. La consommation est comptabilisée comme une utilisation normale de tokens incluse dans l’offre Enterprise. L’activation doit toutefois être effectuée par un administrateur depuis la console de gestion.

Une fois la fonctionnalité activée, les utilisateurs peuvent lancer des analyses depuis claude.ai/security en connectant un dépôt hébergé sur GitHub. Cette intégration n’est pas disponible dans tous les environnements de développement : le parcours basé sur Mythos 5 est limité aux organisations Enterprise dont le code est hébergé sur GitHub.

Les offres Claude Pro, Max et Team ne bénéficient pas de cette analyse. Un plugin distinct, Claude Security pour Claude Code, est également disponible en bêta pour tous les utilisateurs de Claude Code. Ce composant utilise toutefois les modèles déjà inclus dans le compte concerné, et non Mythos 5.

Une analyse qui couvre le code, l’historique et les flux de données

Claude Security ne se contente pas de rechercher des chaînes associées à des vulnérabilités connues ou d’exécuter des contrôles fondés sur des règles. Mythos 5 analyse plusieurs fichiers liés, reconstitue les flux de données et consulte l’historique Git afin de comprendre comment une partie du code a évolué.

Cette approche cible principalement les défauts qui apparaissent dans l’interaction entre différents composants. Parmi les catégories de problèmes mentionnées par Anthropic figurent les corruptions mémoire, les vulnérabilités d’injection, les contournements de l’authentification et les erreurs logiques réparties sur plusieurs fichiers.

Chaque résultat fait l’objet d’une vérification adversariale. Durant cette étape, le modèle remet en question sa propre conclusion avant de la présenter à l’utilisateur, afin de réduire les faux positifs et de distinguer un comportement suspect d’une vulnérabilité réellement exploitable.

Le résultat n’est pas une conversation libre, mais un artefact structuré. Chaque finding contient :

• la catégorie CWE ;
• le niveau de confiance ;
• le niveau de gravité ;
• une proposition de correctif.

Aucun CVE, score CVSS, vecteur CVSS, version logicielle ou build spécifique n’a été communiqué. La gravité est donc décrite à travers les champs renvoyés par l’analyse et la référence à des catégories de défauts à fort impact, et non au moyen d’une classification indépendante déjà attribuée à des vulnérabilités précises.

De l’analyse au triage opérationnel

Les organisations peuvent limiter l’analyse à un répertoire ou à un service précis, planifier des analyses récurrentes et utiliser le système lors des audits préalables à une mise en production. D’autres cas d’usage concernent la revue de code legacy, les analyses de régression et la classification d’un backlog de vulnérabilités déjà connues.

Il est possible de concentrer l’activité sur les services considérés comme les plus risqués. Les résultats peuvent également être envoyés vers Slack ou Jira via webhook, ou exportés aux formats CSV et Markdown. Cela permet de relier les findings aux processus habituels de gestion des incidents, des corrections et des revues de code.

Le principal avantage opérationnel concerne le triage. Une organisation peut obtenir une première classification des problèmes, établir des priorités et transmettre les éléments aux équipes responsables sans transformer le modèle en assistant interactif accessible à tous.

L’analyse n’applique pas automatiquement les corrections. Pour mettre en œuvre une modification, les utilisateurs doivent ouvrir Claude Code sur le web et utiliser les modèles déjà disponibles dans leur compte. Chaque correctif doit être vérifié et approuvé par une personne.

Pourquoi Mythos 5 n’est pas un chatbot interactif

Anthropic maintient Mythos 5 séparé de l’interface conversationnelle. L’utilisateur ne peut pas ouvrir une zone de prompt et demander directement au modèle de développer un exploit ou de modifier le comportement de l’analyse.

Le modèle travaille en arrière-plan sur le code appartenant à l’organisation et renvoie uniquement un résultat prédéfini. Selon Anthropic, cette séparation réduit le risque que des capacités avancées de recherche de vulnérabilités soient utilisées pour générer du code offensif à la demande.

La raison tient à la nature même de cette technologie. Les compétences nécessaires pour identifier un défaut complexe peuvent être proches de celles requises pour élaborer un exploit. Anthropic affirme que Mythos 5 possède les capacités de cybersécurité les plus avancées parmi les modèles de l’entreprise et considère donc qu’un accès direct et généralisé serait plus risqué.

Claude Fable 5 serait basé sur le même modèle sous-jacent, mais intégrerait des classificateurs conçus pour détourner de Mythos les demandes liées à la cybersécurité, à la biologie, à la chimie et à la distillation. Mythos 5 reste, pour sa part, limité à la fonction d’analyse.

Qui peut en bénéficier

Le service s’adresse aux organisations Enterprise qui doivent examiner des bases de code vastes ou complexes, notamment lorsqu’elles utilisent déjà des outils SAST au sein de leur pipeline CI.

Les destinataires mentionnés incluent les hôpitaux, les entreprises de services essentiels, les institutions financières, les prestataires de santé, les sociétés fintech, les sous-traitants gouvernementaux, les opérateurs d’infrastructures critiques, les chaînes d’approvisionnement logicielles et les organisations réglementées.

Le modèle peut contribuer à détecter des défauts qui traversent plusieurs fichiers ou dépendent de l’historique des modifications, des domaines dans lesquels les contrôles rigides fondés sur des motifs peuvent offrir une visibilité limitée. Il ne remplace toutefois ni les tests existants, ni la revue par les développeurs, ni les procédures de gestion des risques.

Anthropic travaille également avec des fournisseurs de solutions de cybersécurité afin d’intégrer Mythos 5 à leurs produits. Les partenaires n’ont pas été identifiés et aucun détail technique ni calendrier n’a été fourni pour ces intégrations.

Contrôles disponibles et initiatives parallèles

L’accès est soumis à plusieurs contraintes : offre Enterprise, activation par un administrateur, dépôts GitHub connectés et résultats présentés sous forme structurée. Mythos 5 n’est pas rendu disponible dans d’autres espaces du produit.

Les organisations peuvent également réduire le périmètre de l’analyse, la limiter à certains répertoires ou services et conserver un contrôle humain sur l’ensemble du cycle de correction. Les utilisateurs du service devraient vérifier les findings, examiner les correctifs proposés dans des environnements de test et approuver manuellement chaque modification avant son déploiement.

La même communication annonce le Defender Advantage Fund, qui met 35 millions de dollars de crédits Claude à la disposition des organisations engagées dans la protection des logiciels open source.

Anthropic prévoit également d’étendre le Cyber Verification Program aux capacités duales plus larges d’Opus et de Sonnet, avec un éventuel accès ultérieur à la classe Mythos.

Les catégories CWE associées aux résultats renvoient au catalogue MITRE des faiblesses logicielles et matérielles. Ce catalogue comprend 944 faiblesses et est disponible dans sa version 4.20 ; la page générale de CWE ne confirme toutefois aucune intégration spécifique avec Claude Security et ne fournit aucune information sur les versions, les solutions de contournement ou les indicateurs relatifs à Mythos 5.

Rien n’indique que cette initiative concerne une vulnérabilité spécifique, et aucun identifiant CVE associé n’a été recensé. Il ne s’agit donc pas d’une faille à corriger ou à atténuer, mais d’un outil d’analyse dont la valeur dépendra de la qualité des findings, de la vérification humaine et de son intégration aux processus de sécurité déjà en place.