Mythos d'Anthropic détecte des bugs SharePoint plus vite que Microsoft ne les corrige : l'alerte des Five Eyes

Introduction

Le 29 juillet 2026, des détails ont émergé autour d’une activité sans précédent dans le monde de la cybersécurité : le modèle d’intelligence artificielle Mythos (Claude Mythos Preview), développé par Anthropic et distribué à un nombre restreint d’organisations dans le cadre du Project Glasswing, identifie des vulnérabilités dans les produits Microsoft – en particulier SharePoint – à un rythme qui dépasse la capacité de correction du géant de Redmond. Rien qu’en avril, Mythos a déniché 90 bugs critiques et 141 importants ; la première quinzaine de mai a enregistré des chiffres encore plus élevés. La situation a poussé Microsoft à fixer la date butoir du 31 mai pour combler l’écart avant que des technologies analogues ne deviennent accessibles à l’échelle mondiale. L’alerte a ensuite été relayée par la coalition de renseignement Five Eyes (États-Unis, Australie, Canada, Nouvelle-Zélande, Royaume-Uni) à fin juin, qui a prévenu : le temps de patcher se réduit et le risque d’exploitation immédiate est bien réel.

Analyse technique

Mythos est une intelligence artificielle capable de mener des analyses statiques, dynamiques et du fuzzing à grande échelle, repérant des schémas de vulnérabilités à des vitesses inaccessibles aux équipes humaines. L’élément le plus critique est sa faculté à chaîner des bugs de gravité moyenne à faible pour élaborer des chaînes d’exploit à fort impact – des combinaisons qui, considérées isolément comme mineures, peuvent aboutir à des compromissions totales, de l’exfiltration de données ou des sabotages.

Microsoft classe les failles en critiques (ver, propagation automatique, crash système) et importantes (atteinte à la confidentialité, à l’intégrité ou à la disponibilité). La stratégie de triage de l’entreprise donne la priorité à ces deux catégories, repoussant les modérées et ne mentionnant pas les faibles gravités dans les plans d’urgence. Or, la capacité de chaînage de Mythos remet en question cette approche : des faiblesses apparemment inoffensives deviennent des leviers pour des attaques dévastatrices.

Les révélations sur le Project Glasswing indiquent qu’Anthropic a accordé un accès anticipé à des partenaires de confiance précisément pour éprouver la technologie en conditions réelles ; cela signifie que des capacités similaires pourraient déjà se trouver dans l’arsenal d’acteurs hostiles, comme le souligne l’avis des Five Eyes.

Impact

SharePoint est adopté par des gouvernements, des banques et de grandes entreprises pour la collaboration et la gestion documentaire. Une exploitation massive pourrait se traduire par de l’espionnage, du sabotage et l’interruption de services essentiels. La rapidité de découverte de Mythos réduit la fenêtre pour appliquer les correctifs : tandis que Microsoft lutte pour publier des corrections, les attaquants pourraient déjà disposer d’outils automatisés similaires.

La réunion interne de la mi-mai, au cours de laquelle les ingénieurs ont parlé d’une « course folle » pour répondre, et l’échéance du 31 mai montrent à quel point le décalage temporel est perçu comme critique. Si des nations adverses possèdent des IA analogues, l’actuel modèle de défense, fondé sur le triage par gravité, risque de ne pas tenir.

Mitigation

Les organisations qui utilisent SharePoint et d’autres produits Microsoft doivent agir immédiatement :

• Appliquer tous les correctifs de sécurité dès leur publication, en priorisant les critiques et importants, mais sans négliger les modérés s’ils sont exploitables en chaîne.
• Surveiller les canaux officiels pour les mises à jour hors bande, susceptibles d’arriver en réponse à l’urgence.
• Adopter des défenses en couches :
  • Segmentation du réseau pour isoler les serveurs SharePoint et limiter les déplacements latéraux.
  • Surveillance comportementale et systèmes IDS/IPS pour identifier les exploits anormaux.
  • Durcissement des systèmes (désactivation des services inutiles, contrôle d’accès strict, mise à jour des composants).
• Revoir les processus de gestion des correctifs en intégrant des évaluations de risque qui tiennent compte du chaînage de bugs.
• Intégrer des scénarios d’IA adverse dans la modélisation des menaces d’entreprise, en préparant des réponses à incident où l’attaquant exploite des capacités similaires à Mythos.

La situation impose un changement de paradigme : l’automatisation poussée par l’IA redessine les délais et les modalités de la cybersécurité, et rester immobile équivaut à s’exposer.

FAQ

1. Qu’est-ce que Mythos et comment trouve-t-il autant de vulnérabilités ?

Mythos est un modèle d’intelligence artificielle avancé d’Anthropic, membre de la famille Claude, fourni en avant-première à des partenaires sélectionnés via le Project Glasswing. Il opère en analysant du code et des binaires grâce à des techniques d’apprentissage automatique, de rétro-ingénierie et de fuzzing automatique, passant les logiciels au crible 24 heures sur 24 à une vitesse et une profondeur impossibles à égaler manuellement. Sa force distinctive est de savoir relier des points faibles apparemment mineurs pour bâtir des attaques complexes.

2. Pourquoi Microsoft n’arrive-t-elle pas à suivre le rythme des corrections ?

Développer un correctif exige analyse, conception, test et distribution : un processus qui ne peut être comprimé au-delà de certaines limites. Face à des centaines de bugs découverts en quelques semaines, l’équipe est soumise à une pression extrême. De plus, la découverte automatique de vulnérabilités modérées bouleverse les priorités traditionnelles, forçant à repenser quels bugs corriger en premier.

3. Mon entreprise utilise SharePoint uniquement en interne : quelles précautions dois-je prendre ?

Même dans un intranet apparemment isolé, un attaquant qui pénètre le réseau (par exemple via hameçonnage ou VPN compromis) pourrait exploiter des chaînes d’exploit pour atteindre les serveurs SharePoint et provoquer du vol de données, du sabotage ou un ransomware. Il est fondamental de segmenter le réseau, d’activer une surveillance comportementale et d’appliquer tous les correctifs de toute urgence – car l’isolement physique ne suffit plus.