Mythos gère les analyses de code, mais qu'en est-il de la sécurité d'exécution ?

Ce que fait le mythe et où il s'arrête

Projet Glasswing d'Anthropic a déjà fait apparaître des milliers de vulnérabilités graves sur les principaux systèmes d’exploitation et navigateurs, y compris des failles qui sont restées indétectables pendant 17 à 27 ans. Microsoft et AWS intègrent Mythos dans leurs flux de travail de sécurité logicielle ce qui constitue une véritable avancée et doit être pris au sérieux.

L'accès nécessite l'exploitation de logiciels critiques à l'échelle hyperscaler et le respect des critères de vérification d'Anthropic. Il ne s'agit pas d'un achat de produit. Dario Amodei a confirmé dans l'interview du PDG qu'Anthropic ne travaille qu'avec les meilleurs opérateurs d'infrastructures mondiales. Partenaires fondateurs : AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks. Plus environ 30 opérateurs d’infrastructures critiques supplémentaires.

Il convient d’être précis sur ce que fait et ne fait pas le Mythe. Ce qu'il fait, c'est trouver des bugs dans le code avant que le code ne soit livré. Ce qu'il ne fait pas, c'est protéger un environnement une fois qu'un bug a été exploité. Il ne s’agit pas d’un coup porté à l’outil ni d’une description de l’espace problématique. Mythos fonctionne sur le code source. Sa compétence prend fin lorsque le logiciel atteint la production.

Mythos est un modèle de premier ordre, mais il ne remplace pas le fournisseur CNAPP pour les raisons suivantes

L'exploitation précède désormais le correctif

Les données de Google Cloud montrent que la fenêtre entre la divulgation des vulnérabilités et l’exploitation active s’est effondrée de quelques semaines à quelques jours. M-Trends 2026 rapporte un délai moyen pour exploiter négatif sept jours. En moyenne, l’exploitation est déjà en cours une semaine avant qu’une vulnérabilité ne soit rendue publique. Microsoft a clairement indiqué que les correctifs étaient nécessaires mais pas suffisants. Si l’exploitation précède systématiquement la correction, la période pendant laquelle la protection d’exécution est la seule chose qui se dresse entre un attaquant et vos données est exactement la période que Mythos ne couvre pas.

Golan Ben-Oni, DSI à l'IDT, l'a dit clairement dans un article récent : “Assez rapide, la détection est une prévention. Trop lent, la détection est une autopsie.” Son argument principal est que l’industrie a construit une décennie d’architecture de sécurité autour de vitesses et de modèles de confiance que l’attaquant ne respecte plus. Vous n’êtes pas obligé d’être d’accord avec chaque ligne de cet article pour remarquer le point sous-jacent. Un smash-and-grab moderne se ferme en quelques secondes. Si votre boucle défensive s’exécute en quelques minutes, vous écrivez un produit médico-légal et non un produit de sécurité.

Le problème de production n'est pas “Pouvons-nous trouver le bug”

C'est “que peut faire cette charge de travail si quelqu'un est à l'intérieur de toute façon.”

Une fois que quelque chose est dedans, l'attaque ne vit plus dans le code. Il réside dans ce que fait ensuite le processus, qu'il puisse atteindre les informations d'identification, qu'il puisse ouvrir une connexion ou qu'il puisse se déplacer dans un endroit plus privilégié. Rien de tout cela n’est une faille de code. Il s’agit d’un comportement d’exécution, et la question de savoir si l’environnement le permet est entièrement une question de ce qui y est appliqué.

Trois points de données qui méritent d’être réunis.

1. Premièrement, les attaquants ne pensent pas dans les CVE. Ils pensent par chemins, enchaînant les faiblesses jusqu’à atteindre quelque chose de précieux. Un seul composant non corrigé est rarement le problème. Le fait est qu’un composant, une identité et un flux réseau, combinés, permettent à un attaquant d’aller quelque part où il n’était pas censé aller. Une découverte plus rapide des bugs ne réduit pas le nombre de chemins. Il élargit la carte.
2. Deuxièmement, vulnérable n’est pas la même chose qu’exploitable. Certains CVE critiques ne peuvent pas être atteints dans un environnement spécifique. Certains problèmes de faible gravité deviennent très impactants lorsqu’ils sont combinés avec d’autres. Un modèle peut évaluer brillamment la gravité technique. Il ne peut pas vous dire quelle charge de travail gère les informations personnelles identifiables, quel service est connecté à Internet ou quel conteneur s'exécute avec plus de privilèges que nécessaire. Ce contexte vit dans l’environnement et doit y être appliqué.
3. Troisièmement, l’IA offensive s’accélère également. Rapport sur les menaces mondiales 2026 de CrowdStrike suivi un Augmentation de 89 % d’une année sur l’autre des attaques assistées par l’IA. L’avantage de l’attaquant n’est pas qu’un adversaire en particulier soit plus intelligent. C’est que des attaquants moyennement compétents, dotés d’un effet de levier d’IA, peuvent opérer efficacement à grande échelle sur des milliers de cibles. La réponse à l’automatisation de l’offensive ne peut pas être un humain dans une file d’attente pour obtenir des billets en défense.

Deux choses suivent. Il ne s’agit pas non plus d’un produit spécifique.

Le premier est l’application du temps d’exécution. Cela signifie la couche la plus proche de l’endroit où l’attaquant opère réellement : le noyau, la limite d’appel système, la connexion de sortie et l’arborescence des processus. L’application de la loi signifie bloquer et non alerter. Échelles d'alerte avec effectif. Bloquer les échelles avec la politique. Dans un monde où les suppositions sont rompues, un seul d’entre eux suit le rythme.

Le deuxième est le contexte opérationnel. Savoir quelle charge de travail gère les données sensibles.  

• Quel service est orienté Internet.  
• Quel conteneur fonctionne avec plus de privilèges qu’il ne le devrait.  
• Comment ces faits sont liés les uns aux autres.  

Une découverte sans ce contexte est un ticket dans une file d’attente. Une constatation ancrée dans ce contexte est une décision de risque.

Aucun de ces deux éléments n’est le travail de Mythos, et c’est là le problème. Mythos trouve des bugs dans le code.  

La question post-déploiement, ce qu'un attaquant qui a déjà dépassé le code peut et ne peut pas faire, est une couche différente et un problème différent.

AccuKnox se distingue par une plate-forme unifiée unique dont les RSSI ont réellement besoin pour la gouvernance, les rapports et le blocage actif des menaces d'exécution

C'est le fondement sur lequel AccuKnox est construit

Cela rend également les garde-fous d'exécution plus importants, et non moins, car la fenêtre d'exploitation se raccourcit et la boîte à outils de l'attaquant s'aiguise sur la même courbe.