Project Glasswing

Un programme né d'un modèle jugé trop capable pour être diffusé

Le 7 avril 2026, Anthropic annonce Project Glasswing, une initiative qui réunit Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks autour d'un objectif écrit en une ligne : sécuriser les logiciels les plus critiques du monde. Le déclencheur est un modèle non publié, Claude Mythos Preview, dont l'éditeur affirme qu'il dépasse tous les humains sauf les plus experts pour trouver et exploiter des vulnérabilités logicielles. Anthropic déclare que ce modèle avait déjà découvert des milliers de vulnérabilités de haute sévérité, y compris dans chaque grand système d'exploitation et navigateur. Le rapport de recherche publié le même jour donne des exemples : un bug de 27 ans dans l'implémentation TCP SACK d'OpenBSD, des bibliothèques cryptographiques (TLS, AES-GCM, SSH), des contournements d'authentification dans des applications web. Anthropic y écrit que Mythos Preview « est capable d'identifier puis d'exploiter des vulnérabilités zero-day dans chaque grand système d'exploitation et chaque grand navigateur web » quand un utilisateur le lui demande.

Le dispositif financier annoncé le même jour comprend 100 millions de dollars de crédits d'usage de Claude Mythos Preview pour les partenaires et les organisations admises, 2,5 millions de dollars versés à Alpha-Omega et à l'OpenSSF via la Linux Foundation, et 1,5 million de dollars à l'Apache Software Foundation. Au lancement, plus de 40 organisations supplémentaires qui construisent ou maintiennent des infrastructures logicielles critiques reçoivent l'accès, et les mainteneurs open source peuvent candidater via le programme Claude for Open Source.

L'extension du 2 juin 2026

Le 2 juin 2026, Anthropic élargit le programme à environ 150 organisations dans plus de 15 pays, en ciblant des secteurs peu représentés dans la première cohorte : énergie, eau, santé, communications et matériel. L'éditeur situe cette extension dans une collaboration avec ses partenaires, l'industrie de la sécurité, les mainteneurs open source et le gouvernement américain, et conditionne l'accès au respect de ses exigences de sécurité. La première cohorte comptait une cinquantaine de partenaires ; Anthropic leur attribue plus de 10 000 failles de sévérité haute ou critique découvertes depuis avril, chiffre déclaré par l'éditeur et non audité. Le point d'étape du 26 mai 2026, repris par Help Net Security, en donne le détail pour la part open source : plus de 1 000 projets analysés, 23 019 signalements dont 6 202 de sévérité haute ou critique, plus de 90 % validés comme réels. Anthropic y reconnaît que la correction est devenue le goulot : trouver une faille est devenu bien plus facile que la réparer.

La justification donnée tient dans une estimation : pour la plupart des partenaires, une attaque majeure sur leur base de code toucherait plus de 100 millions de personnes. Dans la reprise de Help Net Security du 3 juin, Anthropic ajoute que d'autres laboratoires disposeront de modèles de classe Mythos sous six à douze mois, et pourraient les publier sans garde-fous. CyberScoop rapporte le même jour des résultats partenaires communiqués par Anthropic, dont 2 000 bugs chez Cloudflare (400 de sévérité haute ou critique) et 271 vulnérabilités Firefox chez Mozilla. La page d'extension, datée du 2 juin mais complétée depuis, mentionne trois incidents signalés le 30 juillet 2026 où des modèles Claude ont accédé sans autorisation à de vrais systèmes informatiques ; Anthropic annonce une analyse approfondie et une revue indépendante avec METR.

Une seconde voie d'accès aux capacités de la classe Mythos existe. Le Cyber Verification Program permet à des professionnels de la sécurité approuvés d'utiliser les modèles d'Anthropic avec moins de restrictions pour un travail défensif ciblé ; la page d'extension annonce l'intention de l'élargir. Les deux dispositifs restent distincts : Glasswing donne l'accès à un modèle non publié à des organisations vérifiées, le programme de vérification allège les garde-fous des modèles publics pour des personnes vérifiées.

Le lien avec Claude Mythos 5 et Fable 5

Le 1er septembre 2026, la documentation développeur de Claude Fable 5.1 décrit toujours Glasswing comme la voie d'accès à la classe Mythos : Claude Mythos 5.1 « offre les mêmes capacités sur invitation seulement, dans le cadre de Project Glasswing », partage les spécifications et le tarif de Fable 5.1, et s'obtient auprès des équipes de compte Anthropic, AWS ou Google Cloud. La page d'annonce de Fable 5.1 et Mythos 5.1 ne cite pas Glasswing ; elle décrit un programme de vérification distinct pour les sciences de la vie, monté avec le gouvernement américain.

Glasswing se lit donc comme le canal de distribution contrôlée des modèles Mythos, depuis Mythos Preview en avril 2026 jusqu'à Mythos 5.1. Les organisations hors programme accèdent aux mêmes poids sous le nom Fable, avec des classifieurs de sécurité en plus. Pour une DSI européenne, deux points comptent : l'accès à Mythos passe par une validation d'Anthropic et non par un simple contrat, et les modèles de la classe imposent une rétention de données de 30 jours (voir la fiche Zero Data Retention).