Anthropic Project Glasswing : 83,1 % de failles détectées

Lancé en avril 2026, Anthropic Project Glasswing est le programme qui donne accès à Claude Mythos Preview, un modèle capable de trouver des failles de sécurité logicielles mieux que la quasi-totalité des experts humains. Contrairement à ses autres modèles, Anthropic a choisi de ne jamais le rendre public : l'accès passe uniquement par ce programme réservé à des organisations triées sur le volet. Ce guide explique ce qu'est Glasswing, pourquoi Anthropic verrouille ce modèle plutôt que de le vendre à tous, et ce que le programme a déjà produit.

Qu'est-ce que Project Glasswing

Un modèle jamais rendu public

Claude Mythos Preview est, selon Anthropic, le premier modèle dont les capacités de détection de vulnérabilités dépassent celles de la plupart des experts humains. Sur le benchmark CyberGym, qui mesure la reproduction de vulnérabilités logicielles, Mythos Preview obtient un score de 83,1 %, contre 66,6 % pour Claude Opus 4.6, le modèle grand public le plus avancé d'Anthropic, selon les chiffres publiés par l'entreprise. Plutôt que de commercialiser ce modèle en libre accès, Anthropic a choisi de le réserver aux membres de Project Glasswing, en expliquant vouloir éviter qu'il tombe entre de mauvaises mains avant que des garde-fous suffisants existent.

Les partenaires de lancement

Le programme a démarré début avril 2026 avec une cinquantaine de partenaires, parmi lesquels Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks, selon l'annonce relayée par Cyberdaily. Ces organisations ont utilisé Mythos Preview pour scanner leurs propres bases de code, dans un but strictement défensif.

Pourquoi Anthropic verrouille l'accès à Claude Mythos Preview

Le risque d'une cyberattaque massive

Anthropic justifie ce verrouillage par l'ampleur du risque que représenterait une utilisation malveillante d'un tel modèle. L'entreprise estime qu'une cyberattaque majeure visant l'écosystème de ses partenaires pourrait toucher plus de 100 millions de personnes, selon des chiffres rapportés par CNBC et Yahoo Finance. C'est cette estimation qui justifie, aux yeux d'Anthropic, de traiter Mythos Preview comme un outil à double usage : il détecte des failles aussi efficacement qu'il pourrait, entre de mauvaises mains, les exploiter.

Le prix d'accès et les critères de sécurité

L'accès à Project Glasswing n'est pas gratuit ni automatique. Une fois la phase de recherche initiale terminée, Claude Mythos Preview sera facturé 25 dollars pour un million de tokens en entrée et 125 dollars pour un million de tokens en sortie, disponible via l'API Claude, Amazon Bedrock, Google Cloud Vertex AI ou Microsoft Foundry, selon la page officielle du projet. Mais avant même de payer, les organisations candidates doivent franchir un ensemble de critères de sécurité définis par Anthropic, rapporte Yahoo Finance : impossible de rejoindre le programme sur simple demande commerciale.

Les résultats chiffrés depuis le lancement

Plus de 10 000 vulnérabilités critiques détectées

Selon Anthropic, les partenaires de Project Glasswing ont collectivement identifié plus de dix mille vulnérabilités de sévérité haute ou critique dans les logiciels les plus systémiquement importants au monde, un chiffre confirmé par CNBC et CyberScoop lors de l'annonce de l'extension du programme en juin 2026. Plusieurs partenaires ont indiqué à Anthropic que leur rythme de détection de bugs avait été multiplié par plus de dix depuis l'adoption du modèle.

Le cas Cloudflare et une fraude bancaire évitée

Cloudflare, l'un des tout premiers partenaires, a trouvé 2 000 bugs sur ses systèmes critiques, dont 400 de sévérité haute ou critique, avec un taux de faux positifs que ses propres équipes jugent meilleur que celui obtenu par des testeurs humains, selon le bilan publié par Anthropic. Dans une banque partenaire du programme, Mythos Preview a permis de détecter et de bloquer un virement frauduleux de 1,5 million de dollars, après qu'un pirate a compromis la messagerie d'un client et usurpé son identité par téléphone, précise Anthropic dans son bilan initial. Côté logiciels open source, Anthropic a scanné plus de 1 000 projets et estime avoir détecté 6 202 vulnérabilités de sévérité haute ou critique sur un total de 23 019 failles repérées toutes sévérités confondues. Sur 1 752 de ces failles vérifiées par des cabinets de sécurité indépendants, 90,6 % (1 587) se sont révélées être de vrais positifs.

L'expansion du programme et ses limites

De 50 à 200 organisations en quelques mois

En juin 2026, Anthropic a annoncé l'arrivée d'environ 150 nouvelles organisations réparties dans plus de 15 pays, portant le total à près de 200 partenaires, selon CNBC et CyberScoop. Cette deuxième vague a permis de couvrir des secteurs jusque-là peu représentés, comme l'énergie, l'eau, la santé, les communications et le matériel informatique. En septembre 2026, Rockwell Automation, spécialiste des systèmes industriels critiques, a rejoint à son tour le programme, selon un communiqué publié le 15 septembre 2026 sur Businesswire.

Voici les organisations qui figuraient parmi les tout premiers partenaires du programme, selon Cyberdaily :

• Amazon Web Services
• Apple
• Broadcom
• Cisco
• CrowdStrike
• La Linux Foundation
• Microsoft
• Palo Alto Networks

Des vulnérabilités vieilles de plusieurs décennies

Le cabinet Forrester a relevé que Glasswing a permis de mettre au jour des vulnérabilités vieilles de 16 et 27 ans dans des projets maintenus par de petites équipes de bénévoles, un constat qui illustre l'ampleur de la dette de sécurité accumulée dans le logiciel open source. Anthropic a versé 4 millions de dollars de dons directs à des organisations de sécurité open source, dont 2,5 millions à Alpha-Omega et l'OpenSSF via la Linux Foundation, et 1,5 million à l'Apache Software Foundation, pour aider les mainteneurs bénévoles à répondre à ce changement de contexte.

Anthropic a par ailleurs révisé les règles de divulgation du programme ces dernières semaines, permettant désormais aux partenaires de partager leurs découvertes de vulnérabilités avec des tiers, régulateurs, groupes industriels, mainteneurs open source ou public, à condition de respecter les standards de divulgation responsable, selon Yahoo Finance. La convention habituelle du secteur reste toutefois de divulguer une faille 90 jours après sa découverte, ou 45 jours après la publication d'un correctif si celui-ci arrive plus tôt.

Questions frequentes

Qu'est-ce que Claude Mythos Preview

C'est le modèle frontière d'Anthropic qui alimente Project Glasswing. Il n'est accessible qu'aux organisations partenaires du programme, jamais au grand public, et il sert exclusivement à des tâches défensives comme la détection locale de vulnérabilités, les tests en boîte noire de binaires ou la sécurisation d'endpoints.

Comment une organisation rejoint-elle Project Glasswing

Elle doit d'abord répondre à un ensemble de critères de sécurité fixés par Anthropic. Une fois validée, elle reçoit un accès à Mythos Preview via l'API Claude ou les plateformes cloud partenaires, avec une tarification de 25 dollars par million de tokens en entrée et 125 dollars par million en sortie une fois la phase de recherche préliminaire terminée.

Pourquoi Anthropic ne vend-elle pas ce modèle à tout le monde

Parce que ses capacités de détection de failles sont aussi celles qui permettraient, en théorie, de les exploiter. Anthropic considère que le risque d'un usage malveillant, avec un impact potentiel sur plus de 100 millions de personnes en cas de cyberattaque majeure selon ses propres estimations, justifie de restreindre l'accès tant que des garde-fous suffisants ne sont pas en place.

Combien de vulnérabilités le programme a-t-il déjà trouvées

Plus de 10 000 vulnérabilités de sévérité haute ou critique ont été identifiées par l'ensemble des partenaires depuis le lancement, selon les chiffres communiqués par Anthropic et repris par CNBC. Sur le seul volet open source, l'entreprise estime avoir détecté 6 202 failles de sévérité haute ou critique sur plus de 23 000 au total.

Le programme va-t-il s'ouvrir davantage

Oui, la trajectoire va dans ce sens : d'une cinquantaine de partenaires en avril 2026, Project Glasswing est passé à environ 200 organisations dans plus de 15 pays en juin, avant l'arrivée de nouveaux acteurs comme Rockwell Automation en septembre. Anthropic ne prévoit toutefois pas de rendre Mythos Preview accessible en dehors de ce cadre contrôlé.

« Launch partners will use Mythos Preview for defensive security work and share what they learn so the whole industry can benefit », Anthropic, communiqué du 8 avril 2026.

« AI models have reached a level of coding capability where they can surpass all but the most skilled humans at finding and exploiting software vulnerabilities », Anthropic, communiqué de presse.