Claude Mythos Preview : ce que la roadmap PME doit anticiper avant la GA

Le 7 avril 2026, Anthropic annonçait deux choses en une seule fois : un nouveau modèle frontier baptisé Claude Mythos Preview, et un programme d’accès gated baptisé Project Glasswing. Pour une PME française qui n’est ni une banque tier-1 ni un cloud provider mondial, cette annonce a l’air d’un événement réservé à d’autres. Ce n’est pas tout à fait vrai — Mythos n’est pas un produit qu’on peut acheter en 2026, mais c’est un signal de roadmap qui informe les choix de 12-18 mois à venir, et qui change les recommandations défensives qu’Anthropic adresse à toutes les organisations qui exploitent du logiciel. Cet article fait le point en s’appuyant exclusivement sur les sources officielles Anthropic.

Mythos Preview : ce qu’Anthropic communique officiellement

La page Anthropic Red dédiée à Mythos Preview est explicite sur le statut :

Trois points structurants :

1. Date d’annonce : 7 avril 2026.
2. Statut release : not generally available. Anthropic refuse explicitement la distribution grand public.
3. Voie d’accès : Project Glasswing. Programme d’accès gated, invitation-only.

Anthropic a publié pour Mythos Preview un system card de 244 pages, ce qui est inhabituel pour un modèle non-released. Le geste signale la volonté de documenter les capacités d’un modèle qu’on ne déploie pas en GA — démarche transparente et qui sert à la fois de baseline pour la communauté de recherche en sécurité et d’argument politique pour justifier la rétention.

Pourquoi Anthropic ne déploie pas Mythos Preview en GA

La page Mythos Preview détaille les capacités cybersécurité offensives qui motivent la rétention. Quelques chiffres documentés verbatim :

Sur le benchmark OSS-Fuzz (7 000 entry points testés) :

• Opus 4.6 : ~150-175 tier-1 crashes, 1 tier-3
• Mythos Preview : 595 tier-1/2 crashes, 10 tier-5 (full control flow hijack)

Sur des cas concrets de découverte autonome :

• OpenBSD TCP/SACK — bug subtil de signed integer overflow exploitable en RCE distant, dormant 27 ans, détecté par Mythos en moins de 1 000 runs pour un coût total inférieur à 20 000 $.
• FFmpeg H.264 codec — heap buffer overflow non détecté par 5 millions de tests automatisés sur 16 ans, retrouvé par Mythos.
• FreeBSD NFS RCE (CVE-2026-4747) — chaîne complète d’exploitation découverte de manière autonome : stack overflow + ROP gadgets multi-paquets + KASLR bypass + modification authorized_keys.

L’argument d’Anthropic est posé clairement sur la page Glasswing : « the same capabilities that make AI models dangerous in the hands of adversaries make them invaluable for finding and fixing flaws ». Conclusion opérationnelle d’Anthropic : pas de distribution grand public, mais accès collaboratif aux acteurs identifiés capables d’utiliser Mythos pour la défense.

Project Glasswing : le périmètre exact d’accès

La page Project Glasswing détaille les partenaires :

12 organisations fondatrices (verbatim) :

AWS, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks.

Au-delà, « more than 40 organizations » construisant ou maintenant des infrastructures logicielles critiques ont également reçu un accès. Le périmètre est donc massivement orienté infrastructure mondiale : cloud (AWS, Google, Microsoft), CPU/GPU (NVIDIA, Apple, Broadcom), networking (Cisco, Palo Alto), security (CrowdStrike, Palo Alto), open source (Linux Foundation), banque tier-1 (JPMorganChase). Aucune PME française dans ce panel — ni d’ailleurs aucune PME mondiale au sens classique du terme.

Engagement financier annoncé par Anthropic dans le cadre du programme :

• Jusqu’à 100 M$ en crédits d’utilisation Mythos Preview pour les partenaires.
• 4 M$ en donations directes à des organisations open source : 2,5 M$ à Alpha-Omega et OpenSSF, 1,5 M$ à l’Apache Software Foundation.

Ces chiffres ne sont pas accessibles aux PME, mais ils renseignent sur l’ampleur du dispositif : Anthropic positionne Mythos non comme un produit commercial, mais comme un investissement stratégique long terme dans la sécurité défensive de l’écosystème logiciel mondial.

Pricing post-test : la première fenêtre commerciale documentée

La page Glasswing donne la fenêtre tarifaire post-phase de test :

« $25/$125 per million input/output tokens » via Claude API, Amazon Bedrock, Google Vertex AI ou Microsoft Foundry.

Comparaison directe avec les modèles disponibles en accès général en mai 2026 :

Modèle	Input ($/MTok)	Output ($/MTok)	Multiple vs Mythos
Haiku 4.5	~1	~5	25× / 25× moins cher
Sonnet 4.6	3	15	8× / 8× moins cher
Opus 4.7	5	25	5× / 5× moins cher
Mythos Preview (post-test)	25	125	référence

Pour une PME qui paie déjà attentivement son budget Claude API, Mythos n’est tout simplement pas dans la grille du raisonnable. Sur un workload typique PME de 10 M tokens input + 2 M tokens output / mois, le coût mensuel passerait d’environ 60 $ (Sonnet 4.6) à 500 $ (Mythos) — pour des bénéfices que la PME standard ne peut pas exploiter sur les use cases métier classiques (rédaction, classification, automation, support client).

Ce point compte pour la roadmap : Mythos n’entrera pas dans une grille de coût compétitive PME au pricing actuel. Pour les PME qui ont un workload sensible à un coût, le bon réflexe reste l’arbitrage Haiku 4.5 / Sonnet 4.6 / Opus 4.7 documenté dans notre analyse multi-agents Haiku 4.5 + Sonnet 4.6 cost-perf.

Le positionnement officiel : Opus 4.7 reste la référence accessible

L’annonce Opus 4.7 (16 avril 2026) est la première publication post-Mythos qui clarifie le positionnement. Trois passages verbatim :

1. « although it is less broadly capable than our most powerful model, Claude Mythos Preview »
2. « its cyber capabilities are not as advanced as those of Mythos Preview »
3. « Mythos Preview remains the best-aligned model we’ve trained according to our evaluations »

Anthropic confirme donc explicitement que Mythos > Opus 4.7 sur les trois axes (capacités générales, cyber, alignement), tout en publiant Opus 4.7 comme produit GA. Pour la PME, le message est limpide : Opus 4.7 est ce qu’on peut effectivement utiliser en 2026, Mythos est ce qui informe la roadmap des 12-18 mois à venir.

Pour les détails opérationnels d’Opus 4.7 (Task Budgets beta, vision 2576 px, sampling lock breaking change, adaptive thinking par défaut), notre analyse dédiée à Opus 4.7 pour les PME qui codent avec Claude fait le tour.

Trois actions concrètes pour une PME en 2026

À partir des trois sources officielles citées, trois actions immédiates pour une PME française :

1. Ne pas budgétiser Mythos dans le plan 2026

C’est la décision la plus simple à prendre, et la plus importante. Mythos ne sera pas accessible en GA cette année. Le pricing annoncé ($25/$125 MTok) le rend non compétitif pour les workloads PME classiques face à Sonnet 4.6 et Opus 4.7. Toute roadmap qui parie sur Mythos en 2026-2027 sans accès Glasswing est à risque.

2. Anticiper la trajectoire de capacités

Ce que Mythos fait en preview en 2026 a une probabilité élevée d’arriver dans les modèles GA suivants. Les capacités de découverte autonome de zero-days sur des bugs vieux de 16-27 ans dans OpenBSD ou FFmpeg posent une question stratégique directe pour toute PME qui maintient du legacy code. La fenêtre pour patcher proactivement est avant que ces capacités soient largement distribuées — pas après.

3. Suivre les recommandations défensives Anthropic

La page Mythos publie elle-même les actions recommandées aux organisations exposées. Verbatim :

• « Deploy current frontier models (Opus 4.6) for defensive bugfinding » — les capacités actuelles d’Opus 4.6 / 4.7 sont déjà largement suffisantes pour le bug-finding défensif PME (audit de code, revue sécu automatisée, fuzz de smart contracts ou d’API exposées).
• « Shorten patch cycles and enable auto-updates » — une PME qui pousse encore son OS production tous les 60+ jours est en risque accru.
• « Automate incident response pipelines » — investir dans le runbook automatisé plutôt que dans la réaction humaine ad hoc.
• « Expedite vulnerability mitigation strategies for legacy systems » — prioriser le patch des composants legacy non maintenus (FFmpeg vieux, NFS legacy, TCP/SACK sur des routeurs anciens).

Ces actions sont défensives, accessibles à une PME française avec son budget standard, et elles s’intègrent à un effort plus large de mise en conformité avec l’AI Act 2026 — pour la couche réglementaire complémentaire, voir notre guide AI Act PME obligations 2026.

Note sur la responsible disclosure

La page Mythos précise que plus de 99 % des vulnérabilités découvertes par le modèle restent non patchées au moment de l’annonce d’avril 2026. Anthropic publie des hashes SHA-3 des exploits non révélés pour vérification ultérieure, avec un calendrier de responsible disclosure de 90+45 jours. Cela signifie qu’une PME qui exploite des composants logiciels anciens va voir, dans les 4-6 mois après avril 2026, des CVE publiés sur des bugs qu’elle ne soupçonnait pas. La routine de veille CVE devient critique.

Verdict pour une PME française en 2026

Mythos Preview n’est pas un produit que vous achèterez en 2026. C’est un signal stratégique sur la trajectoire de l’industrie. Trois conséquences à intégrer dans la roadmap : (a) ne pas le budgétiser, (b) raccourcir les cycles de patch dès maintenant, (c) déployer Opus 4.6 ou 4.7 sur les workloads défensifs (audit code, revue sécu) là où le ROI est immédiat. Ne pas faire ces trois choses revient à parier que les capacités frontier décrites dans le system card 244 pages d’Anthropic vont rester confinées à 12 orgs fondatrices indéfiniment — pari que rien dans la communication officielle Anthropic ne soutient.