Payward, la société mère de l'échange de cryptomonnaies Kraken, a rejoint le Project Glasswing d'Anthropic le 17 août et a obtenu un accès restreint à Claude Mythos 5 pour des travaux de cybersécurité défensive.
L'entreprise prévoit d'utiliser le modèle d'intelligence artificielle pour analyser ses environnements logiciels à la recherche de vulnérabilités au cours des prochaines semaines. Les découvertes entreront dans le processus d'examen de sécurité existant de Payward plutôt que de produire automatiquement des modifications logicielles.
Payward a également déclaré qu'elle avait l'intention de divulguer les vulnérabilités validées affectant les projets open source tiers à leurs mainteneurs. L'entreprise n'a pas identifié ses premières cibles d'analyse, publié un calendrier de déploiement ni divulgué le coût de son accès à Mythos 5.
Payward a déclaré que Claude Mythos 5 examinera tous les environnements de l'entreprise à la recherche de faiblesses logicielles. Son infrastructure prend en charge les services de trading, de garde et de règlement d'actifs numériques qui restent disponibles en continu.
L'annonce ne précise pas si Mythos 5 aura accès aux systèmes de production, à des copies isolées de code source ou à des environnements de test contrôlés. Payward n'a pas non plus décrit comment son équipe de sécurité validera les découvertes avant d'approuver les correctifs.
Les faux positifs restent une préoccupation pratique lorsque les systèmes d'intelligence artificielle examinent des logiciels complexes. Un modèle peut identifier du code inaccessible, dupliquer un rapport existant ou mal comprendre le fonctionnement d'un composant en production. Une révision humaine est donc nécessaire avant que les équipes ne classent un problème comme une vulnérabilité.
La Fondation Ethereum est parvenue à une conclusion similaire lors de l'expérimentation d'agents de sécurité IA. Comme l'a rapporté crypto.news, ses chercheurs ont constaté que les rapports de vulnérabilités générés par l'IA nécessitaient toujours une validation humaine indépendante, en particulier lorsque les agents examinaient du code de protocole complexe.
Arjun Sethi, co-directeur général de Payward, a déclaré que l'IA pourrait modifier le déséquilibre entre attaquants et défenseurs en lisant le code à une échelle plus grande.
« Un modèle peut lire chaque ligne de code comme le ferait un attaquant, à l'échelle machine, de sorte que nous trouvons la faille avant que quiconque ne puisse construire l'exploit », a déclaré Sethi.
Cette déclaration décrit l'avantage défensif visé par Payward. L'entreprise n'a pas encore publié de résultats montrant combien de failles valides Mythos 5 a trouvées dans ses systèmes.
Anthropic a lancé le Project Glasswing en avril 2026 pour donner aux fournisseurs d'infrastructure et aux mainteneurs de logiciels sélectionnés un accès anticipé à ses modèles de cybersécurité les plus robustes.
Les premiers participants comprenaient Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks et la Linux Foundation. Anthropic a ensuite étendu l'initiative à environ 150 organisations dans plus de 15 pays.
L'entreprise affirme que les organisations participantes doivent satisfaire aux exigences de sécurité avant de recevoir l'accès. Mythos 5 n'est pas généralement disponible car les mêmes capacités utilisées pour identifier les vulnérabilités peuvent également aider à produire des exploits fonctionnels.
Comme signalé précédemment, Anthropic n'a rétabli l'accès à Mythos qu'aux organisations américaines vérifiées après que le gouvernement américain a levé les restrictions temporaires à l'exportation. Le modèle sécurisé Claude Fable 5 est redevenu plus largement disponible.
Payward a déclaré que son accès faisait suite à la décision américaine autorisant Mythos 5 à être accessible aux organisations qui exploitent et défendent des infrastructures critiques. La page officielle du modèle d'Anthropic confirme que l'accès a été rétabli pour un ensemble d'organisations américaines après approbation gouvernementale.
Ni Anthropic ni le gouvernement américain n'ont publiquement désigné chaque plateforme d'actifs numériques comme une infrastructure critique. La déclaration de Payward selon laquelle de telles plateformes "devraient figurer sur cette liste" représente la position de l'entreprise plutôt qu'une classification gouvernementale formelle.
Anthropic décrit Claude Mythos 5 comme son modèle le plus capable pour la cybersécurité et la recherche en biologie. Le modèle peut inspecter le code, identifier les faiblesses, suggérer des correctifs et aider les chercheurs approuvés à tester les chemins d'exploitation.
La préversion antérieure de Mythos dans le cadre du Project Glasswing aurait trouvé plus de 10 000 failles classées comme de gravité élevée ou critique dans des logiciels largement utilisés. Le tableau de bord de divulgation coordonnée d'Anthropic montrait 1 596 vulnérabilités signalées dans 281 projets open source au 22 mai.
Ces chiffres sont des mesures d'Anthropic et ne signifient pas que chaque découverte initiale du modèle était valide. Son tableau de bord a enregistré un taux de vrais positifs de 90,8 % parmi 1 900 candidats examinés par des cabinets de sécurité externes.
Anthropic a déclaré que le triage humain indépendant reste l'étape limitante. Seulement 97 découvertes répertoriées avaient été corrigées en amont au moment de la mise à jour du tableau de bord, tandis que 88 avaient reçu un identifiant d'avis public.
Le modèle peut également créer des composants d'exploit et les combiner en chaînes d'attaque. Anthropic a cité cette capacité à double usage pour expliquer pourquoi Mythos 5 reste limité aux partenaires approuvés.
Dans une couverture connexe, des chercheurs ont découvert que les modèles de classe Mythos pouvaient transformer les failles logicielles en chaînes d'exploit fonctionnelles. Un accès plus large donnerait donc aux attaquants certaines des mêmes capacités disponibles pour les défenseurs.
Payward a déclaré que les vulnérabilités découvertes dans du code tiers partagé seraient envoyées aux mainteneurs de projet pertinents. Elle a présenté ce processus comme un moyen de protéger d'autres organisations utilisant le même logiciel.
L'entreprise n'a pas publié de politique de divulgation coordonnée pour l'initiative. Des détails importants sans réponse incluent le temps dont les mainteneurs disposeront pour corriger les failles, les découvertes que Payward pourra divulguer publiquement et la manière dont elle gérera les projets qui ne répondent pas.
La divulgation responsable exige normalement que les chercheurs vérifient une vulnérabilité, contactent le mainteneur en privé et laissent le temps pour la correction avant de publier des informations techniques. Une publication prématurée peut exposer les utilisateurs avant qu'un correctif ne soit disponible.
Payward a déjà rencontré des litiges concernant la recherche en sécurité. Comme l'a rapporté crypto.news, Kraken a corrigé une faille de dépôt que les chercheurs ont utilisée pour retirer près de 3 millions de dollars. L'échange a ensuite récupéré les fonds suite à un désaccord public avec CertiK.
Cet épisode était sans rapport avec le Project Glasswing, mais il montre pourquoi des règles claires de test et de divulgation sont importantes. L'analyse par IA peut augmenter le nombre de découvertes signalées, créant un travail supplémentaire pour les équipes de sécurité et les mainteneurs.
Payward prévoit de commencer à analyser ses environnements dans les semaines à venir. Les prochaines mises à jour vérifiables comprendraient des vulnérabilités confirmées, des correctifs terminés ou des divulgations publiques coordonnées avec les projets open source affectés.
Aucun objectif de performance n'a été annoncé. Payward n'a pas précisé à quelle fréquence Mythos 5 analysera ses systèmes ni si le modèle examinera le nouveau code avant le déploiement.
Anthropic exige que les clients de Mythos 5 acceptent une rétention des données de trente jours pour la surveillance de la sécurité. Payward n'a pas expliqué quel code ou quelles informations système seraient soumis, comment les données sensibles seraient séparées ou si les informations client ne sont pas concernées par le processus d'analyse.
Pour l'instant, le développement confirmé est l'admission de Payward au Project Glasswing et l'utilisation prévue de Claude Mythos 5. L'amélioration de la sécurité de l'entreprise par le modèle dépendra de la qualité de ses découvertes, de la vérification humaine et de la vitesse des correctifs ultérieurs.
