La menace Mythos
Trouver les failles ne coûte plus rien. Les corriger, si.
En avril 2026, Anthropic a confié un modèle d'IA appelé Claude Mythos à quelques dizaines de défenseurs parce qu'il trouve et exploite les vulnérabilités logicielles mieux que tous les humains sauf les plus habiles. À la fin mai, le compte dépassait 10 000 failles de gravité élevée ou critique, dont une dans une bibliothèque cryptographique qui tourne sur des milliards d'appareils. Les défenseurs l'ont en premier. Personne ne promet qu'ils l'auront seuls. Cette page explique ce que cela signifie pour un réseau canadien et ce que Fabric fait pour y répondre.
CE QU'EST MYTHOS
Une machine qui lit le code comme les meilleurs attaquants, et qui ne se fatigue jamais
Le 7 avril 2026, Anthropic a annoncé Claude Mythos Preview et le projet Glasswing. Anthropic décrit le modèle comme capable de trouver et d'exploiter des vulnérabilités logicielles à un niveau qui dépasse tous les humains sauf les plus habiles, et affirme qu'il a trouvé des milliers de failles de type jour zéro dans tous les grands systèmes d'exploitation et navigateurs, dont une vulnérabilité vieille de 27 ans dans OpenBSD et des failles enchaînées du noyau Linux donnant le contrôle complet d'une machine. Le modèle n'est pas en vente. Douze partenaires de lancement (dont Cisco, Palo Alto Networks, CrowdStrike, Microsoft, Google et la Linux Foundation) et une quarantaine d'autres organisations y ont accès pour trouver et corriger les failles avant que quiconque puisse s'en servir.
Au bilan du 26 mai publié par Anthropic, les partenaires avaient relevé plus de 10 000 vulnérabilités de gravité élevée ou critique. Un balayage d'environ 1 000 projets à code source ouvert a produit 23 019 constats, dont 6 202 de gravité élevée ou critique, et des firmes indépendantes ont validé plus de 90 pour cent de l'échantillon vérifié. Un des constats visait wolfSSL, une bibliothèque cryptographique utilisée par des milliards d'appareils; l'exploit construit par le modèle aurait pu forger des certificats pour un faux site bancaire ou de courriel. Les mots d'Anthropic sur les garde-fous : aucune entreprise, Anthropic comprise, n'a mis au point des protections assez solides pour empêcher le détournement de tels modèles. Le chef de la technologie de CrowdStrike a résumé la conséquence opérationnelle : la fenêtre entre la découverte d'une vulnérabilité et son exploitation s'est effondrée.
POURQUOI UN EXPLOITANT DOIT S'EN SOUCIER
Deux horloges, un seul réseau
La première horloge est celle que Mythos vient d'accélérer. Un pare-feu, une passerelle RPV, un routeur ou une unité terminale distante tourne sur les mêmes bibliothèques cryptographiques et les mêmes classes de code que le modèle a passées au crible, et l'équipement reste en service pendant une décennie. Ce qui prenait des mois à une équipe expérimentée prend maintenant des heures à une machine, et une capacité de ce genre n'est jamais restée longtemps d'un seul côté. Les avis du Centre pour la cybersécurité de ce mois-ci se lisent déjà comme les premières pages de cette histoire : plans de gestion, appareils d'accès à distance et versions d'OpenSSL, corrigés après coup.
La seconde horloge est quantique. Le trafic capté aujourd'hui est conservé jusqu'à ce qu'on puisse l'ouvrir, et le gouvernement du Canada a déjà fixé ses dates (systèmes hautement prioritaires migrés d'ici la fin de 2031, tout le reste d'ici 2035). Les deux horloges se renforcent. Plus vite on trouve des failles dans le logiciel qui négocie vos clés, moins vous pouvez vous permettre que vos données à longue durée de vie dépendent de cette négociation. Les deux horloges pointent vers le même premier pas : on ne peut pas corriger ce qu'on ne voit pas.
COMMENT FABRIC GÈRE LA MENACE MYTHOS
Le matériel reste. Les clés changent.
Fabric ne vend pas de correctif contre Mythos; personne ne le peut. Ce que nous faisons, c'est sortir les clés qui protègent vos données à longue durée de vie du logiciel le plus susceptible d'être pris en défaut, sur les équipements Fortinet et Ciena que vous exploitez déjà, avec la plateforme d'Arqit en dessous. Trois gestes, dans l'ordre.
1. DÉTECTER : ENCRYPTION INTELLIGENCE
Des sondes passives observent chaque flux chiffré de vos réseaux TI et TO et consignent le chiffrement, la longueur de clé, le certificat et la bibliothèque derrière chacun, y compris les versions d'OpenSSL et de wolfSSL dans les pare-feu et les routeurs. Vous obtenez un inventaire qu'un auditeur acceptera, classé selon ce qu'une défaillance ferait au service transporté, avec les constats poussés dans le système de billets que vous utilisez déjà. Quand la prochaine faille de classe Mythos tombe, vous savez en quelques minutes quelles clés elle touche.
2. PROTÉGER : NETWORKSECURE SUR FORTINET ET CIENA
La plateforme SKA d'Arqit génère des clés symétriques aux points d'extrémité à partir de matériel partagé, de sorte que la clé de session ne voyage jamais et ne dépend jamais d'un échange à clé publique qu'une faille découverte pourrait défaire. Fabric livre ces clés dans les tunnels FortiGate par l'intégration validée Fortinet Fabric-Ready et dans le chiffrement de transport optique Ciena sur la dorsale, qu'un autre exploitant a déjà fait tourner à plusieurs centaines de gigabits. La rotation est une politique, pas un projet. Si une clé est un jour exposée, elle est remplacée, pas renégociée.
3. SE CONFORMER ET DÉPLOYER
Le même inventaire devient la piste de preuves que l'ITSM.40.001, les programmes du projet de loi C-8 et votre assureur demanderont, tenue à jour à mesure que les fournisseurs et les micrologiciels changent. Les nouveaux sites et la nouvelle fibre entrent en service à sécurité quantique dès la première épissure, pour que le parc cesse de grandir dans le mauvais sens. Fabric conçoit, fournit, installe et exploite tout cela au Canada, depuis Calgary, avec une portée écrite avant tout début de travaux.
Ce que cette page ne dit pas
Elle ne dit pas que Mythos a été utilisé contre qui que ce soit. Chaque chiffre ci-dessus est celui d'Anthropic, publié par Anthropic, et Fabric Networks n'est affiliée ni à Anthropic ni au projet Glasswing. Elle ne dit pas qu'un produit empêche une atteinte : une IA qui trouve des failles dans le logiciel continuera d'en trouver, et l'application des correctifs reste le premier devoir. Ce qu'elle dit est plus étroit. Les clés qui protègent des données à longue durée de vie ne devraient pas dépendre du logiciel le plus susceptible d'être pris en défaut, et un exploitant devrait savoir, par observation plutôt que par fiche technique, de quelles clés il s'agit. C'est la part que Fabric assume.