Anthropic a indiqué qu’à ce jour, Claude Mythos, son système automatisé de recherche de failles, avait produit 23 019 signalements potentiels de vulnérabilités dans des logiciels open source. À lui seul, ce volume donne la mesure du changement: la découverte automatisée de bugs n’avance plus au même rythme qu’avant.
Ce chiffre raconte surtout autre chose. Les humains, eux, ne suivent pas.
D’après les données publiées par Anthropic, à peine 1 900 de ces signalements ont pour l’instant été examinés par des tiers. Autrement dit, plus de 21 000 dossiers attendent encore une validation par des experts externes, alors même qu’une bonne partie de ceux qui ont déjà été passés en revue se sont révélés solides.
Sur ces 1 900 signalements ayant fait l’objet d’un examen externe, 1 726 ont été confirmés comme de vraies vulnérabilités, toujours selon Anthropic.
Le taux de confirmation est suffisamment élevé pour écarter l’idée d’un outil qui noierait simplement les mainteneurs sous du bruit. Ce que Claude Mythos fait apparaître, c’est aussi un grand nombre de problèmes bien concrets.
Le centre de gravité du travail se déplace donc. Pendant des années, le plus dur consistait à trouver les failles. Maintenant, la difficulté est ailleurs: absorber le volume, vérifier ce qui peut réellement être exploité, puis trancher sur l’ordre des correctifs.
Tout n’est pas impeccable pour autant. Anthropic reconnaît que les notes de gravité attribuées automatiquement se sont souvent révélées trop alarmistes.
Sur 27 vulnérabilités ayant reçu un identifiant CVE, 13 ont finalement été reclassées à un niveau de sévérité inférieur, d’après les chiffres relayés par l’entreprise. Et le décalage est encore plus visible sur les cas les plus sérieux en apparence: parmi les 8 bugs que Claude Mythos avait d’abord classés comme « critiques », un seul a gardé ce niveau après revue humaine.
Le contexte d’exploitation explique une grande partie de ces écarts. Certaines failles semblaient graves sur le papier. Une fois le dossier repris par les mainteneurs, elles l’étaient beaucoup moins, parce que leur exploitation supposait des conditions très restrictives, ou même des privilèges déjà élevés. Le cas de Temporal Server le montre bien: une vulnérabilité peut paraître sévère dans l’absolu, puis perdre en gravité dès qu’on la replace dans un scénario d’attaque réel.
Cette accélération s’inscrit d’ailleurs dans un mouvement plus large. D’après les données citées par Anthropic, les divulgations mensuelles de CVE ont bondi de 145 % sur les deux années qui ont précédé juin 2026. Et après l’arrivée d’outils de recherche de bugs plus avancés, les signalements classés en sévérité haute ou critique ont, eux aussi, nettement augmenté.
Pour les chercheurs en sécurité, l’intérêt est évident. Et l’économie de la cybersécurité est en train de bouger vite.
Reste l’autre face du problème. Beaucoup alertent sur ce qui arrive quand les rapports sont mal priorisés, incomplets, ou quand la gravité est évaluée de manière trop agressive: les équipes de sécurité saturent, les correctifs prennent du retard, et les programmes de bug bounty se retrouvent sous tension.
Autrement dit, le secteur n’entre pas seulement dans une période où les failles sont découvertes plus vite. Il entre dans une phase où filtrer, remettre en contexte et corriger devient la ressource la plus rare.
