Un même principe actif se vend de deux façons. En accès libre, à dose réduite, pour des usages courants ; sur ordonnance, à dose pleine, une fois le demandeur identifié et son besoin validé par un tiers. Ce qui change n’est pas la molécule, mais la qualification de qui réclame : le pharmacien devient un guichet.
Le logiciel n’a jamais fonctionné ainsi. Une licence s’achète, une clé d’API se génère, et la seule question posée au client porte sur son moyen de paiement. L’industrie des modèles de langage a repris ce réflexe : elle segmente par puissance, par vitesse, par contexte et par tarif au million de tokens.
Le 9 juin 2026, Anthropic a présenté Claude Fable 5, modèle de classe Mythos jugé assez sûr pour une diffusion générale, puis Claude Mythos 5, strictement identique mais privé de certains garde-fous et réservé aux partenaires de Project Glasswing. L’événement n’est pas le gain de performance : c’est le périmètre soustrait à la version publique. Le mécanisme de blocage, le bilan de Glasswing, l’état de la chaîne de correction et le régime de rétention en dessinent la portée.
Deux identifiants d’API pour un seul modèle
Sur le papier, les deux modèles sont indiscernables : un million de tokens de contexte, jusqu’à 128 000 tokens de sortie, et la même tarification, 10 dollars le million de tokens en entrée, 50 en sortie, moins que Mythos Preview. Seuls les identifiants d’API les séparent. Mythos 5 n’a pas la couche de classificateurs : ce n’est pas un curseur desserré, c’est le filtre en moins.
Trois domaines sont filtrés sur Fable 5 : la cybersécurité, la biologie et la chimie, la distillation de modèles. Quand un classificateur détecte un risque de mésusage, la réponse provient de Claude Opus 4.8, moins avancé mais jugé assez capable pour rester utile. Anthropic chiffre le phénomène à moins de 5 % des sessions en moyenne et admet que des requêtes légitimes seront bloquées.
Des clients nommés en donnent la mesure : Stripe migre cinquante millions de lignes de Ruby en une journée là où une équipe entière aurait mis plus de deux mois, Cursor le tient pour l’état de l’art sur son propre banc d’essai, Cognition le place en tête des modèles frontière sur son évaluation FrontierCode. La rupture est commerciale : la question posée à un acheteur porte moins sur ce qu’il paie que sur ce qu’il peut faire.
Le basculement n’est pas une redirection
Un refus nommé, à la charge de l’intégrateur
Vu de l’extérieur, le mécanisme ressemble à un aiguillage invisible : la requête part vers Fable 5, revient signée Opus 4.8, l’utilisateur ne s’aperçoit de rien. C’est exact dans l’application grand public. Sur l’API, la documentation décrit autre chose : Fable 5 renvoie une réponse HTTP 200 avec un stop_reason valant refusal, en nommant le classificateur déclencheur. Le repli incombe à l’intégrateur : paramètre fallbacks en bêta, intergiciel, ou nouvel essai écrit à la main.
L’arithmétique inversée du repli
Les 10 et 50 dollars par million de tokens sont bien inférieurs aux 25 et 125 dollars de Mythos Preview. Ils valent aussi le double du tarif d’Opus 4.8, affiché à 5 et 25 dollars, soit le modèle vers lequel les requêtes sensibles sont renvoyées : le client paie le prix Fable pour la réponse d’un modèle deux fois moins cher. Un refus antérieur à la génération n’est pas facturé, un avoir compense le coût de cache du nouvel essai, mais celui d’un enchaînement devient imprévisible.
Une moyenne qui masque sa distribution
Le chiffre communiqué n’est pas moins de 5 % des sessions mais moins de 5 % en moyenne, et une moyenne calculée sur tout le trafic est portée par la masse des usages banals. Pour une équipe de red team, un laboratoire de biologie ou un éditeur de logiciel réseau, rien ne garantit qu’elle s’applique. Anthropic assume des garde-fous délibérément trop larges et fait basculer vers Opus 4.8 la plupart des requêtes de biologie et de chimie.
Ce que coûte un classificateur constitutionnel
Le mot circule dans les communiqués sans que la mécanique soit dite. Les Constitutional Classifiers sont des garde-fous entraînés sur des données synthétiques engendrées depuis une constitution rédigée en langage naturel. La version de janvier 2025, éprouvée sur trois mille heures de red teaming, coûtait 23,7 % de surcoût d’inférence. La suivante, parue cinq mois avant Fable 5, divise ce coût par quarante.
La pensée qu’on ne peut plus lire
Le programme de primes externes sur les garde-fous cyber de Fable 5 a représenté plus de mille heures sans jailbreak universel trouvé. Un détail de documentation engage l’auditabilité : la réflexion adaptative reste active et la chaîne de raisonnement brute n’est jamais restituée, seulement résumée ou vidée. Comment démontrer, alors, qu’un blocage était abusif ? Aucune procédure d’appel n’existe.
Glasswing, ou l’industrialisation de la découverte
Un consortium sans Européens
Lancé le 7 avril 2026, Project Glasswing réunissait douze fondateurs, Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks, plus une quarantaine d’organisations qui maintiennent des logiciels d’infrastructure. Aucune européenne : ni Thales, ni Airbus, ni OVHcloud, ni Mistral, ni l’ANSSI. Le 2 juin, il s’est ouvert à quelque cent cinquante organisations et aux opérateurs d’infrastructures critiques.
Ce que le modèle trouve, et ce qui reste à corriger
Sur CyberGym, benchmark publié en juin 2025 par une équipe de l’université de Californie à Berkeley et composé de 1 507 vulnérabilités réelles réparties sur 188 projets, Mythos Preview en reproduit 83,1 % contre 66,6 % pour Claude Opus 4.6, quand les meilleurs agents plafonnaient autour de 20 % à sa parution. Sur un corpus interne, il déclenche 595 crashes des deux premiers rangs de gravité contre 150 à 175 pour les modèles antérieurs, et construit un exploit JavaScript 181 fois contre 2.
Les failles ont un âge précis : vingt-sept ans pour un déni de service dans l’implémentation TCP SACK d’OpenBSD, ouvert par un débordement d’entier signé ; seize ans pour un défaut du codec H.264 de FFmpeg hérité de son écriture de 2003 ; dix-sept ans pour une exécution de code à distance non authentifiée sur le serveur NFS de FreeBSD, menée jusqu’au compte root. S’y ajoutent des systèmes d’exploitation, des navigateurs et le noyau Linux, pour plus de dix mille failles graves.
Le bilan du 22 mai 2026 précise l’ampleur : 23 019 signalements bruts sur plus de mille projets open source, dont 6 202 estimés hauts ou critiques, et 90,6 % de vrais positifs sur 1 752 vulnérabilités soumises à six cabinets indépendants. Cloudflare rapporte deux mille bugs, dont quatre cents graves, avec moins de faux positifs que des testeurs humains selon ses équipes. Mozilla relève 271 failles dans Firefox 150, plus de dix fois ce qu’Opus 4.6 avait trouvé dans Firefox 148.
Vient ensuite le chiffre que personne ne reprend : sur 530 bugs hauts ou critiques transmis aux mainteneurs, 75 avaient été corrigés et 65 avaient reçu un avis public. Le tableau de bord de divulgation affichait au même moment 1 596 vulnérabilités remontées pour 97 correctifs en amont. La sécurité logicielle, écrit Anthropic, était limitée par la vitesse à trouver les failles ; elle l’est désormais par celle à « les vérifier, les divulguer et les corriger ».
Le contrechamp public
Le NIST bascule en mode triage
Pendant qu’un laboratoire privé industrialise la découverte, l’infrastructure chargée de qualifier les failles rend les armes. Le NIST recense 263 % de soumissions supplémentaires entre 2020 et 2025 et près de 42 000 CVE enrichies en 2025, 45 % de plus que toute année antérieure. Le 15 avril 2026, il a réservé l’enrichissement au catalogue KEV de la CISA, aux logiciels fédéraux et aux logiciels critiques de l’Executive Order 14028, l’arriéré antérieur au 1er mars étant reclassé non programmé.
Le procès du signalement automatique
Le conflit sur qui doit corriger a déjà eu lieu. À l’automne 2025, les mainteneurs bénévoles de FFmpeg ont contesté un signalement produit par l’agent Big Sleep de Google sur le décodeur d’un format vidéo de jeu des années 1990, en demandant s’il était juste que des entreprises valorisées mille milliards de dollars lancent des IA sur du code écrit par loisir. Le créateur de cURL avait documenté la même saturation. Anthropic répond par l’argent : quatre millions aux fondations du logiciel libre contre cent millions de crédits aux partenaires.
L’antécédent d’une capacité retenue
Face à OpenAI, à Google ou à xAI, Anthropic se différencie par la sécurité, la gouvernance et l’alignement : là où d’autres communiquent sur des records, elle met en scène ses classificateurs, ses tests de robustesse et ses politiques de conservation. Glasswing pousse cette logique à son terme en vérifiant non pas des individus mais des organisations : le laboratoire, la banque et l’éditeur passent le guichet, le chercheur indépendant reste dehors.
Le geste a un antécédent. Le 14 février 2019, OpenAI refusait de publier la version complète à 1,5 milliard de paramètres de son modèle GPT-2, au motif du risque de désinformation, avant de la diffuser en novembre sans qu’aucun dommage documenté ne survienne. La différence tient à la preuve : sept ans plus tard, la capacité retenue n’est plus une conjecture mais une performance mesurée sur des failles réelles et revue par des cabinets extérieurs.
La rétention, le droit et l’angle mort européen
L’annonce communique une conservation obligatoire de trente jours des données de trafic sur les modèles de classe Mythos, clients professionnels compris, pour détecter les attaques complexes, les contournements et les abus répétés, sans entraîner de nouveaux modèles. Le libellé contractuel dit autre chose : prompts et complétions sont conservés au moins trente jours, sauf enquête ou obligation légale. Fable 5 et Mythos 5 inaugurent la désignation de Covered Model.
La conséquence est rarement relevée : le zero data retention est purement indisponible sur ces modèles, y compris pour les organisations Claude Enterprise et sur Bedrock, Google Cloud ou Microsoft Foundry. Pour un hébergeur de données de santé, un opérateur d’importance vitale ou une banque soumise à DORA, ce n’est pas une clause de contrat mais un critère d’exclusion.
Les textes qui existent déjà
Le 15 janvier 2025, le Bureau of Industry and Security américain créait la catégorie d’exportation ECCN 4E091, couvrant les poids de tout modèle fermé entraîné avec 10^26 opérations ou plus ; la règle a été abandonnée, mais la catégorie reste écrite. Que Mythos 5 soit d’abord déployé avec les autorités américaines, avant un accès de confiance élargi, achève de traiter l’IA de frontière en technologie d’intérêt national.
Le règlement européen sur l’intelligence artificielle impose depuis le 2 août 2025, aux modèles à usage général présumés systémiques au-delà de 10^25 FLOP, une évaluation adversariale documentée et la notification des incidents graves à l’AI Office. L’article 55 encadre la sûreté du modèle, jamais le droit d’y accéder. Le 2 juin 2026, Anthropic discutait avec l’ENISA d’une ouverture de Mythos à l’Europe, laquelle entendait garder la main sur ses données.
Les rendez-vous déjà fixés
Fable 5 est inclus sans surcoût dans les formules Pro, Max, Team et Enterprise par siège jusqu’au 22 juin 2026, après quoi des crédits seront nécessaires : l’autorisation se double d’une segmentation par prix. Le second rendez-vous est le programme d’accès de confiance annoncé pour la biologie, qui lèverait les restrictions bio et chimie en maintenant celles de cybersécurité. Décidée par institution ou par chercheur, l’éligibilité reproduira les hiérarchies académiques ou les ouvrira.
Deux récits coexistent dans la même annonce. Le premier est celui d’un laboratoire qui renonce à vendre une partie de ce qu’il sait faire, au nom d’un risque qu’il documente lui-même. Le second est celui d’une entreprise qui convertit une contrainte de sécurité en position de marché, en devenant l’instance qui décide qui mérite quelles capacités.
L’objection la plus solide ne porte pas sur la restriction mais sur son efficacité relative. Six mille deux cent deux failles hautes ou critiques repérées depuis avril, cinq cent trente transmises aux mainteneurs, soixante-quinze corrigées, une base nationale qui renonce à qualifier la majorité des vulnérabilités : le facteur limitant est passé de la découverte à la réparation.
Une autre ligne de partage se dessine donc, après celle qui opposait poids ouverts et poids fermés : d’un côté les modèles que l’on prend, de l’autre ceux que l’on demande. Un modèle dont le raisonnement ne peut être lu, dont les refus n’ouvrent aucun appel et dont les échanges sont conservés ne relève plus du lien entre client et fournisseur : il relève d’un régime. Un critère rédigé à San Francisco décide de la défense d’un opérateur critique européen, et la souveraineté se jouera moins sur les poids que sur le droit d’ouvrir le guichet.
Aller plus loin
La pièce décisive n’est pas le communiqué mais la documentation technique de Claude Fable 5 et Claude Mythos 5, qui donne les identifiants d’API et la mécanique du refus : code HTTP 200, motif d’arrêt explicite, paramètre de repli en bêta, refus non facturés avant génération.
Le discours de l’entreprise se lit dans l’annonce officielle de Claude Fable 5 et Claude Mythos 5, où figurent les trois domaines couverts par les classificateurs, l’aveu de garde-fous délibérément trop larges en biologie et en chimie, et les retours de Stripe, de Cursor et de Cognition.
Ce qui engage réellement les clients tient dans l’article Covered Models du centre d’aide Anthropic, qui définit la nouvelle catégorie contractuelle et énonce le libellé exact de la rétention, au moins trente jours puis suppression sauf enquête ou obligation légale, avec indisponibilité du zero data retention sur les plateformes tierces.
Le programme dont dépend l’accès à Mythos 5 est décrit dans la page Project Glasswing: Securing critical software for the AI era, qui liste les douze organisations fondatrices et la quarantaine de mainteneurs associés, détaille les engagements financiers et publie les 83,1 % de reproduction sur CyberGym face aux 66,6 % d’Opus 4.6.
L’évaluation Assessing Claude Mythos Preview’s cybersecurity capabilities rassemble la justification technique du dispositif : conteneurs coupés d’Internet pour éprouver chaque projet, accord de prestataires externes sur la sévérité dans 89 % des cas revus, chaînes ROP autonomes contre le NFS de FreeBSD.
Le renversement du goulot d’étranglement est acté noir sur blanc dans Project Glasswing: An initial update, premier bilan chiffré du programme, qui aligne 23 019 signalements et 90,6 % de vrais positifs sur 1 752 vulnérabilités évaluées, avant de reconnaître que 530 bugs transmis n’ont donné que 75 correctifs.
La mesure la plus honnête de l’écart entre trouver et corriger se consulte sur le tableau de bord de divulgation coordonnée d’Anthropic, qui publie 1 596 vulnérabilités remontées sur 281 projets, 97 correctifs en amont, 14 CVE et 12 GHSA rendus publics, et un registre d’empreintes SHA-3-512 qui date une découverte sans la révéler.
La technologie invoquée sans jamais être expliquée est décrite dans Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks, qui expose la cascade à deux étages, les classificateurs d’échange jugeant la réponse en contexte conversationnel, le coût divisé par quarante et les 0,05 % de refus mesurés en production.
L’étalon indépendant du bond de capacité se trouve dans CyberGym: Evaluating AI Agents’ Real-World Cybersecurity Capabilities at Scale, benchmark de 1 507 vulnérabilités réelles réparties sur 188 projets, sur lequel les meilleurs agents plafonnaient autour de 20 % à sa parution et dont la construction avait exhumé 34 failles inédites.
Le contrechamp institutionnel est officiel depuis le communiqué NIST Updates NVD Operations to Address Record CVE Growth, qui acte 263 % de soumissions supplémentaires depuis 2020, près de 42 000 CVE enrichies en 2025, et un triage où tout ce qui n’est ni fédéral ni critique bascule au dernier rang.
Lus ensemble, ces documents racontent une autre histoire que celle du lancement. Un laboratoire privé a démontré qu’un modèle produisait des vulnérabilités plus vite que le monde ne sait les qualifier et les corriger, puis a bâti un guichet pour décider qui y accède. L’infrastructure publique qui devrait arbitrer a réduit son périmètre, et le seul cadre contraignant en Europe ne dit rien du droit d’accès. La restriction n’est pas le problème : elle répond à un déséquilibre que personne n’a entrepris de traiter.