L'exploit était le livrable

Vendredi, Anthropic a élargi l'accès à son modèle le plus capable pour le travail de sécurité. Claude Mythos 5 était jusque-là enfermé dans Project Glasswing, un petit ensemble d'organisations qui défendent des logiciels critiques. Il tourne désormais dans Claude Security pour les clients Enterprise, il arrive dans les produits défensifs des partenaires, et le Cyber Verification Program, qui accorde des garde-fous réduits aux défenseurs validés, s'élargit lui aussi. Anthropic a également mis 35 millions de dollars de crédits derrière la sécurité open source via un nouveau Defender Advantage Fund.

Samedi, The Register couvrait la demande sur ce même marché. Rob Joyce, ancien de la NSA, à la RSAC : « Vous allez subir un red team que vous le payiez ou non. La seule différence, c'est que vous savez qui reçoit les résultats. » Evan Peña, qui a dirigé la red team mondiale de Mandiant et cofonde aujourd'hui Armadin : « Nous avons trouvé plus de 50 zero-days… qui permettent à un attaquant d'obtenir l'exécution de code à distance sur un système réel. » Les agents, ajoute-t-il, « ne dorment pas et ne prennent pas de vacances ».

Les deux articles règlent la question de savoir qui a le droit de demander une capacité offensive. Aucun ne règle celle de savoir où tourne le code qui revient, et il tourne quelque part.

Anthropic a tracé le garde-fou autour du modèle

Le billet détaille la conception, et c'est une bonne conception. Le risque qu'Anthropic gère est celui de l'accès direct au modèle : « Le comportement le plus risqué survient quand un utilisateur a un accès direct à un modèle, où un acteur malveillant peut essayer de l'orienter vers des usages nuisibles. Mais si les utilisateurs ne peuvent recevoir que des sorties précises, comme un correctif pour une vulnérabilité ou une alerte de sécurité, ce risque est bien moindre. »

Un produit partenaire fait donc tourner Mythos en arrière-plan pour une tâche définie et rend un seul artefact. Un outil de remédiation renvoie des correctifs suggérés. La personne qui tient l'outil ne peut pas se retourner et demander un exploit fonctionnel, parce qu'elle ne parle jamais au modèle. Claude Security fonctionne pareil : il analyse un dépôt qui vous appartient et renvoie chaque découverte avec une catégorie CWE, une note de confiance et de sévérité, et un correctif suggéré. Un humain relit et approuve chaque correctif.

Une phrase de l'annonce déplace l'histoire sur un portable. Une fois la découverte en main, vous « ouvrez Claude Code sur le web pour implémenter le correctif ».

C'est le bon choix produit. Analyser et corriger sont deux métiers différents, et le métier de correction veut un agent ordinaire dans un dépôt ordinaire. C'est aussi là qu'une frontière posée sur l'accès au modèle cesse de porter. Le Cyber Verification Program arrive au même endroit par l'autre côté : son objectif affiché est de « minimiser les interruptions pour les équipes acceptées qui font un travail de cybersécurité légitime sur des systèmes qu'elles sont autorisées à protéger ». Des garde-fous réduits, délibérément, pour des gens dont les agents doivent écrire du code offensif. Chaque mois, davantage de portables font tourner un agent qui écrira et exécutera une preuve de concept si on le lui demande, ce qui est tout l'intérêt de les donner aux défenseurs.

Le contrôle d'accès répond à la question de savoir qui peut demander. Il ne répond pas à celle de savoir ce que la réponse a le droit de toucher.

Vingt-six mille agents, trois jours

Les chiffres de The Register viennent d'une mission qu'Armadin a menée avec TENEX.ai, décrite dans un communiqué commun plus tôt ce mois-ci. Trois jours, une institution mondiale non nommée, en conditions de connaissance nulle : pas d'identifiants privilégiés, pas de liste blanche, pas d'accès au code source. L'essaim a indexé sa reconnaissance dans un graphe de connaissances, puis a lancé 26 000 agents et 1 300 attaques contre plus de 25 000 services, générant 17 millions d'actions offensives. Il est revenu avec 238 découvertes, dont 98 significatives, et 38 chemins d'attaque validés.

La moitié défensive a produit le chiffre le plus dur. TENEX.ai a trié 101 169 alertes et reconstruit l'ensemble à travers 231 milliards d'événements bruts, dans lesquels l'activité de l'attaquant représentait un événement sur 13 338.

Matt Hartman, ancien chef cyber par intérim de la CISA et aujourd'hui chez Merlin Group, a dit à The Register que les organisations « vont devoir traiter chaque agent comme une identité privilégiée ». Jay Bavisi, de l'EC-Council, a fourni l'autre moitié. « Personne ne fait de pentest sur toute l'organisation », dit-il, tandis que les attaquants « n'ont pas de problème de périmètre ».

Votre propre agent n'a pas de problème de périmètre non plus, à moins que vous ne lui en donniez un.

Quatre choses non fiables dans une session de sécurité ordinaire

Laissez l'essaim de côté et regardez un ingénieur faire du trouver-et-corriger un mardi. Claude Security signale quelque chose. Vous ouvrez un agent pour écrire le correctif, et pour savoir que le correctif marche vous le laissez reproduire le bug. Cette session contient quatre choses que la machine n'a aucune raison de croire, et ce sont les mêmes quatre que la découverte vienne d'un essaim ou d'un scanner.

Personne n'a commis d'erreur pour arriver à cette liste. Elle décrit les conditions normales du travail de sécurité sur un ordinateur généraliste.

Bromure donne à chacune un contrôle

Bromure Agentic Coding fait tourner l'agent dans une VM Ubuntu jetable sur le framework Virtualization d'Apple, avec son propre noyau, seulement les dossiers du Mac que vous avez choisis montés dedans, et un proxy MITM côté hôte comme unique route vers l'extérieur. C'est la frontière qui manque à la moitié droite du schéma.

Quelque chose lit le contenu de la cible avant le modèle. Le panneau Prompt Injection note le contenu des fichiers, les pages web et les sorties d'outils que l'agent récupère, ses blocs tool_result, avec un modèle PromptGuard local. Il note les fichiers d'instructions que les agents traitent comme une autorité (CLAUDE.md, AGENTS.md, GROK.md, et leurs variantes imbriquées et globales) avec un classifieur ModernBERT affiné, aux côtés d'un scanner déterministe pour l'obfuscation en Unicode invisible que le modèle ne sait pas lire. Les deux tournent sur votre Mac et n'envoient rien nulle part. Vous choisissez ce que fait une détection : la journaliser, vous demander, ou faire échouer la requête avec un 451 avant que le modèle ne voie le texte.

Bromure vérifie l'outillage au registre. Chaque récupération de paquet passe d'abord par le proxy hôte : npm, PyPI, Cargo, RubyGems, Maven, NuGet, Go, Packagist. Une barrière d'âge est active par défaut à deux jours, si bien qu'un scanner publié ce matin ne s'installe pas. Les plages de versions flottantes se résolvent vers la version la plus récente antérieure à la coupure, et une référence épinglée vers quelque chose de trop frais revient en 451 avec une erreur Bromure dessus. Les recherches OSV bloquent les versions vulnérables connues à la sévérité que vous choisissez. Bromure retire les scripts d'installation des tarballs npm à la volée, en réécrivant le tarball et le hash des métadonnées du registre pour que la vérification propre à npm passe toujours. Le .npmrc à l'intérieur de la VM peut resserrer tout cela et ne peut pas le relâcher.

Le périmètre cesse d'être un document. Sous Guardrails, la table Outbound connections est un pare-feu par profil : une ligne par règle, chacune portant une action, un protocole (tcp, udp, web ou any), un hôte ou un CIDR, des ports, et pour web une liste de méthodes HTTP. Les règles sont évaluées de haut en bas, la première qui correspond gagne, et Unmatched traffic est un interrupteur à deux positions. Mettez-le sur Deny, ajoutez les hôtes de la mission, et le problème de périmètre de Bavisi devient un filtre de paquets. L'interception transparente est active par défaut, si bien qu'un invité qui désactive HTTPS_PROXY ne change rien aux connexions qui sortent. Chaque autorisation et chaque refus atterrissent dans le Security Log.

Les identifiants à portée ne sont pas les identifiants. Les vraies valeurs n'entrent jamais dans la VM. Le proxy échange un leurre contre le vrai jeton sur le fil, le kubeconfig dans l'invité est synthétique avec des certificats client jetables, et AWS reçoit un helper credential_process qui donne au SDK un faux secret de quarante caractères pendant que l'hôte resigne le SigV4 avec le vrai matériel. Tout ce qui contourne le proxy se prend un InvalidSignatureException d'Amazon. Chaque identifiant porte aussi une politique d'écriture Off, Block destructive ou Read-only, appliquée dans le proxy hôte où un agent compromis ne peut pas la discuter : une exécution de validation qui n'a rien à faire à supprimer un bucket S3 prend un 403 sec quand elle essaie. Require approval to use transforme un identifiant en demande de consentement avec un octroi borné dans le temps de cinq minutes, une heure, ou le reste de la session. Cela va bien pour une clé SSH pendant une mission de red team, où vous voulez que la signature ait lieu et vous voulez savoir qu'elle a eu lieu.

Le journal que vous alliez devoir écrire de toute façon

Le travail de red team produit de la paperasse. Ce que vous avez touché, quand, sous quelle identité, et ce qui est revenu. Bromure en écrit l'essentiel par effet de bord. La fenêtre Security Timeline tient une seule table chronologique de chaque échange d'identifiant et chaque signature, chaque verdict de paquet, chaque autorisation et refus du pare-feu, et chaque détection d'injection, conservée sur le Mac où rien dans la VM ne peut l'éditer. Montez le niveau de trace de session et le proxy garde aussi les corps, chiffrés en AES-GCM avec la même clé de trousseau que vos secrets de profil.

Entre deux missions, les couches de stockage se séparent. Erase home… remet le /home/ubuntu du profil dans son état d'après-clonage et emporte avec lui les clones, les charges utiles, l'historique du shell et les caches des scanners. Reset to base… jette tout ce que vous avez installé avec sudo apt install et re-clone le disque système de l'espace de travail. Les restes d'une cible ne vous suivent pas jusqu'à la suivante.

Donnez à la capacité un endroit où atterrir

Le déploiement par paliers d'Anthropic est la version responsable d'un choix difficile. Remettre au défenseur l'artefact plutôt que le modèle est la forme qui amène une capacité de pointe aux gens qui corrigent des hôpitaux et des services publics sans l'amener aussi à tout le monde, et l'étape d'approbation humaine sur les correctifs n'est pas décorative. Armadin et TENEX.ai ont fait passer leur mission par une couche de contrôle avec un modèle de sécurité superviseur et un vrai SOC qui regardait de l'autre côté. Tout le monde s'est bien tenu dans l'actualité de cette semaine.

Ce que rien de tout cela ne couvre, c'est le portable. Toute cette prudence s'arrête au moment où une découverte devient un fichier, et le fichier atterrit sur une machine généraliste qui collectionne des identifiants depuis le jour où la DSI l'a livrée. Joyce a raison : vous subirez un red team dans les deux cas. Vous ne choisissez pas si l'agent offensif existe. Vous choisissez sur quelle machine il se réveille, et vous pouvez en choisir une que vous jetez après.

---

Sources : Anthropic, « Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders » (21 août 2026) · The Register, « If you're not using AI to attack your own systems, your adversaries will » (22 août 2026) · Armadin et TENEX.ai, « Largest Controlled Live AI Cyberattack on Record » (3 août 2026) · SecurityWeek, « Kevin Mandia's Armadin Launches With $189.9 Million in Funding »