Le concept de loyal wingman (librement illustré par IA)
La cybersécurité défensive vit aujourd’hui une transformation comparable à celle qu’a connue l’industrie avec l’arrivée de l’automatisation, en plus rapide.
Face à des infrastructures distribuées toujours plus complexes, à une explosion du nombre de vulnérabilités et à des attaquants eux-mêmes assistés par l’intelligence artificielle, les équipes de sécurité avisées ne peuvent plus compter uniquement sur l’expertise humaine.
C’est que l’IA est devenue un multiplicateur de force capable d’analyser des volumes de données gigantesques, de détecter des comportements anormaux en temps réel et même d’identifier des vulnérabilités inédites avant qu’elles ne soient exploitées.
Cette évolution ne s’est toutefois pas produite du jour au lendemain. Elle résulte de plusieurs décennies de recherche, des premiers systèmes experts jusqu’à Claude Mythos d’Anthropic, mêlant statistiques, apprentissage automatique et intelligence artificielle générative, même si c’est cette dernière qui en a démocratisé l’usage.
Les premiers pas de l’IA en cybersécurité
Dès les années 1980 et 1990, les premiers systèmes experts apparaissent dans les centres de recherche et les grandes organisations. À cette époque, l’objectif est relativement simple : reproduire sous forme de règles les connaissances des analystes sécurité.
Ces systèmes reposent essentiellement sur une logique déterministe : lorsqu’un comportement correspond à une règle prédéfinie, une alerte est générée. Cette approche permet d’automatiser certaines tâches répétitives mais montre rapidement ses limites.
Les cyberattaques évoluent plus vite que les bases de règles, rendant les systèmes rigides et difficiles à maintenir, tout en distillant un faux sentiment de sécurité.
L’arrivée des systèmes de détection d’intrusion (IDS) au cours des années 1990 marque une première étape importante. Les solutions open source, comme Snort, aujourd’hui propriété de Cisco, analysent les flux réseau et recherchent des signatures connues d’attaques.
Bien que très efficaces contre les menaces identifiées, elles restent largement incapables de détecter des comportements nouveaux ou inconnus.
L’émergence du machine learning, le temps des EDR
Au début des années 2010, l’explosion des données de sécurité ouvre la voie à l’apprentissage automatique. Les entreprises disposent désormais de volumes considérables de journaux système, d’événements réseau et d’informations provenant des postes de travail.
Le machine learning permet alors de dépasser les simples signatures. Au lieu de rechercher uniquement un comportement connu, les algorithmes apprennent à reconnaître ce qui constitue une activité normale au sein d’un environnement informatique.
Cette évolution change profondément la détection des menaces. Une connexion inhabituelle à deux heures du matin, un déplacement latéral anormal dans le réseau ou un transfert massif de données peuvent être signalés même si aucun indicateur de compromission connu n’est présent.
Des éditeurs comme Darktrace, CrowdStrike, SentinelOne ou Microsoft développent progressivement des plateformes capables d’utiliser ces modèles d’apprentissage pour analyser le comportement des utilisateurs, des appareils et des applications.
L’essor des SOC augmentés par l’IA
À partir de 2015, les centres opérationnels de sécurité (SOC) commencent à intégrer massivement l’intelligence artificielle.
L’objectif n’est plus uniquement de détecter mais également d’assister les analystes, car ces plateformes modernes utilisent l’IA pour corréler des milliers d’événements provenant de multiples sources, prioriser les alertes et réduire les faux positifs.
Les analystes qui recevaient autrefois plusieurs milliers d’alertes par jour, voire des centaines de milliers pour une grande entreprise, peuvent désormais se concentrer sur les incidents critiques au lieu de traiter manuellement chaque alerte, ou plutôt d’en éliminer la plupart à l’instinct, ouvrant la porte à l’erreur.
Dans nos audits, nous avons connu cette période où, exactement comme un joueur d’échecs humain, l’analyste expérimenté ignorait empiriquement 90 % des alertes sur un grand réseau qu’il connaissait, et ce avec un succès certain…
Pourtant, même le meilleur des joueurs humains perd aux échecs face à l’IA, et ce depuis 1997 déjà, quand l’IBM Deep Blue terrassa Garry Kasparov, pour exactement les mêmes raisons : l’IA est exhaustive, l’humain instinctif et face à une multitude de raisonnements possibles, c’est l’exhaustivité qui finit par l’emporter !
Cette période voit également l’émergence des technologies XDR (Extended Detection and Response) et des solutions SOAR (Security Orchestration, Automation and Response), capables d’automatiser de nombreuses actions de défense :
- isolement d’un poste compromis et blocage automatique d’une adresse IP malveillante ;
- signalement et réinitialisation d’un compte suspect ;
- déploiement accéléré de correctifs.
L’IA devient alors un véritable copilote de sécurité, mais toujours sous supervision, car elle commet parfois des erreurs.
La révolution des modèles génératifs
L’arrivée des grands modèles de langage (LLM) marque un nouveau tournant à partir de 2022, et pas seulement dans notre métier.
Des modèles comme GPT, Claude ou Gemini démontrent leur capacité à comprendre du code, analyser des configurations et expliquer des vulnérabilités complexes dans un langage naturel, et c’est ce dernier point qui les rend aussi accessibles.
Les équipes de cybersécurité découvrent rapidement plusieurs usages :
L’analyse de code devient plus rapide. Un développeur peut soumettre plusieurs milliers de lignes à un modèle d’IA afin d’identifier des erreurs potentielles, des faiblesses de configuration ou des pratiques dangereuses.
Les investigations s’accélèrent également. Lors d’un incident de sécurité, un analyste peut demander à l’IA de résumer un ensemble de journaux techniques ou de reconstituer une chronologie d’attaque, et ce en quelques dizaines de minutes.
La formation bénéficie aussi de cette révolution, et nous l’expérimentons régulièrement, notamment avec des cycles de RETEX beaucoup plus courts.
Nous disposons ainsi d’un assistant capable d’expliquer les vulnérabilités, les nouvelles techniques d’attaque et les méthodes de remédiation avec un niveau de détail et de réactivité inédit. Et surtout, c’est un deuxième avis toujours disponible, en tout temps…
Cependant, pour utiles qu’ils soient, ces modèles restent à l’origine des assistants généralistes. Leur expertise opérationnelle en cybersécurité demeure limitée par rapport à celle d’un chercheur spécialisé, même si c’est déjà précieux.
C’est précisément dans ce contexte qu’apparaît le projet Mythos d’Anthropic.
Claude Mythos : une nouvelle génération d’IA pour la cybersécurité
En 2026, Anthropic présente Claude Mythos, une classe de modèles spécifiquement orientée vers la cybersécurité et la recherche avancée.
Contrairement aux assistants conversationnels classiques, Mythos est conçu pour raisonner comme un chercheur en sécurité, avec un niveau de performance qui a conduit Anthropic à limiter volontairement son accès à des organisations vérifiées et accréditées par l’intermédiaire du strict programme CVP que nous avons récemment expérimenté.
Selon Anthropic, les capacités de Mythos dépassent largement la simple analyse de code, et selon nous aussi ! Mais c’était déjà le cas des autres modèles avancés de l’éditeur.
Lors des évaluations internes, le modèle a démontré une aptitude exceptionnelle à identifier des vulnérabilités complexes et à raisonner sur leur exploitation potentielle.
L’importance de Mythos réside dans sa capacité à comprendre un système dans son ensemble plutôt qu’à rechercher une simple erreur de programmation. Le modèle analyse les interactions entre composants, les comportements attendus et les conséquences potentielles d’une vulnérabilité.
Cette approche rapproche l’IA du travail effectué par les meilleurs experts humains en recherche de failles, la vitesse en plus.
Des capacités inédites pour la défense
L’analyse de grands projets logiciels représente habituellement des semaines, voire des mois de travail humain, et sans jamais être exhaustive.
Un modèle comme Mythos peut examiner rapidement d’immenses bases de code et mettre en évidence des zones suspectes méritant une investigation approfondie.
Anthropic indique notamment avoir développé des programmes de collaboration avec des organisations chargées de protéger des infrastructures critiques et des logiciels largement déployés. L’objectif est d’identifier des vulnérabilités particulièrement bien dissimulées avant qu’elles ne soient exploitées par des acteurs malveillants, tant étatiques que privés.
Dans un contexte défensif, les bénéfices potentiels sont considérables :
Une entreprise peut accélérer ses audits de sécurité d’un facteur deux, au minimum, et ainsi accorder plus de temps aux collaborateurs, qui sont trop souvent oubliés.
Un éditeur logiciel peut détecter des défauts passés inaperçus pendant plusieurs années (comme la récente découverte de deux vulnérabilités PHP critiques, que l’on doit largement à l’avancée de l’IA).
Une technologie à double usage
L’une des raisons pour lesquelles Mythos suscite autant d’attention est son caractère « dual use », c’est-à-dire sa capacité à servir aussi bien la défense que l’attaque, comme son pendant humain d’ailleurs, et ceci n’est une surprise pour personne.
C’est précisément pour cette raison que l’accès au modèle est encadré par des programmes de vérification spécifiques et n’est pas ouvert au grand public.
Pourtant, même accrédité, Mythos refuse certaines commandes, notamment celles ayant trait à la création d’infrastructures de commande et de contrôle (C2) et à l’attaque de certaines infrastructures. Et Anthropic garde un œil sur son usage, en conservant pendant 30 jours les données d’intervention et d’identification.
Cette prudence illustre une tendance plus large du secteur : l’émergence de modèles d’IA dont la puissance en cybersécurité atteint désormais un niveau pouvant avoir un impact stratégique.
Vers une cybersécurité pilotée par l’IA et arbitrée par l’humain ?
L’histoire de l’intelligence artificielle appliquée à la cybersécurité défensive montre une progression continue : des systèmes experts fondés sur des règles aux plateformes comportementales, puis aux modèles génératifs capables de raisonner sur des infrastructures complexes.
Claude Mythos représente aujourd’hui l’une des expressions les plus avancées de cette évolution.
Son intérêt ne réside pas uniquement dans ses performances techniques, mais dans ce qu’il annonce pour l’avenir : une cybersécurité où les défenseurs disposent d’assistants capables d’auditer, de comprendre et de sécuriser des systèmes entiers à une vitesse et une exhaustivité inaccessibles à l’être humain seul.
Ce nouveau concept n’est d’ailleurs pas confiné à la cybersécurité. On le retrouve aussi dans l’aviation militaire, sous l’appellation de loyal wingman où il consiste à faire accompagner un pilote de chasse et son avion par un drone de combat autonome qui l’assistera avec une IA embarquée.
Quelques limitations, quand même
Pourtant, et aussi performant qu’il soit, Mythos n’est pas à l’abri des défauts habituels des LLM, comme les hallucinations, mais c’est un fait désormais connu de tous ceux qui utilisent l’IA, et qui doivent conserver une expertise suffisante pour le discerner.
Ainsi et selon nous, pas question de laisser une IA, aussi performante soit-elle, décider seule des orientations et des décisions que nous prenons sur le terrain, ne serait-ce que pour comprendre le facteur humain, très souvent impliqué dans nos opérations.
Perspectives
Il n’en demeure pas moins qu’en 2026, pour les responsables de la sécurité, les RSSI et les décideurs, la véritable question n’est plus de savoir si l’intelligence artificielle transformera la cybersécurité ; cette transformation est déjà en cours et rien ne l’arrêtera, comme le progrès technique qui la sous-tend au sens large.
La question est désormais de savoir comment intégrer ces nouveaux outils tout en conservant les garde-fous nécessaires pour que leur puissance profite d’abord aux défenseurs plutôt qu’aux attaquants, mais ceci est aussi ancien que l’histoire de la lance et du bouclier : si les menaces progressent, les défenses doivent s’adapter en conséquence, et si possible avec un peu d’avance !
Conclusion
Peu avisés seraient aujourd’hui les experts en cybersécurité qui choisiraient de se passer de l’IA…
Mais l’inverse est tout aussi vrai : pour utiliser ces prodigieux assistants dans presque toutes les phases de notre travail, nous n’en avons encore trouvé aucune où ils pourraient efficacement se passer de nous…
