IBM prévoit d’ajouter l’analyse de Claude Mythos à Concert Protect

IBM a annoncé le 9 novembre 2026 son intention d’intégrer à Concert Protect les capacités de raisonnement en cybersécurité de Claude Mythos, d’Anthropic, afin de découvrir des vulnérabilités jusqu’alors inconnues, de vérifier si elles peuvent être exploitées et d’accélérer leur correction. La disponibilité générale est prévue pour début 2027.

La capacité prévue associerait l’analyse de code par IA propulsée par Mythos aux outils de gestion de l’exposition de Concert Protect. Elle examinerait les dépôts d’applications sélectionnés par les clients afin de repérer des défauts logiques complexes, des vulnérabilités potentielles de type « zero-day » et d’autres faiblesses ne faisant l’objet d’aucune signature ni d’aucune entrée dans les registres Common Vulnerabilities and Exposures (CVE), puis intégrerait les résultats au même cycle de gestion des vulnérabilités que les résultats des outils d’analyse conventionnels.

Cette approche reflète l’avis d’IBM selon lequel l’accélération de la détection par l’IA renforce l’importance du triage et de la correction. Un volume accru de résultats a peu de valeur opérationnelle si les équipes de sécurité ne peuvent pas déterminer quelles failles ouvrent des voies d’attaque viables et transformer cette évaluation en correctifs.

Validation contextuelle des failles inconnues

Concert Protect fournit déjà l’évaluation de l’environnement dans laquelle ces résultats seraient intégrés. Sa documentation actuelle sur le produit décrit une plateforme qui met en corrélation le code, l’application, l’infrastructure, l’environnement d’exécution et le contexte métier afin d’évaluer si une vulnérabilité peut être exploitée dans un environnement donné. L’analyse vise à déterminer les conditions préalables à une attaque, les charges de travail touchées et les voies d’attaque possibles, en fournissant des éléments probants qui vont au-delà des scores de gravité et des prévisions génériques d’exploitabilité.

Pour une vulnérabilité détectée par Mythos, l’étape prévue de preuve d’exploitabilité examinerait le code, la configuration et le contexte de l’infrastructure afin d’évaluer les voies d’exploitation viables et de fournir des éléments à l’appui. Chaque résultat de ce type resterait dans le processus établi d’évaluation et de correction de Concert Protect, aux côtés des résultats des outils d’analyse traditionnels, plutôt que d’alimenter une file distincte d’alertes générées par l’IA.

IBM indique également que Secure Coder détecte les vulnérabilités, les secrets et les risques liés aux dépendances au fur et à mesure de l’écriture du code, en fournissant des informations en temps réel dans l’environnement de développement intégré et des correctifs guidés. Le projet Mythos vise une cible complémentaire : l’analyse de dépôts sélectionnés pour repérer des faiblesses jusqu’alors inconnues que les outils d’analyse conventionnels pourraient ne pas détecter.

Approbation des développeurs lors de la correction

Après validation, Concert Protect et Red Hat Lightwell devraient hiérarchiser les risques exploitables, s’appuyer sur des correctifs open source rétroportés et fiables et générer des modifications ciblées pour corriger les problèmes. Les développeurs valideraient, examineraient et approuveraient ces modifications dans le cadre de processus automatisés de demandes d’intégration.

Ce processus confie à l’automatisation la préparation des correctifs et la coordination des processus, tout en maintenant une décision humaine explicite quant à l’application ou non d’un correctif. Il relie également la hiérarchisation des risques de sécurité au développement des applications et à leur exploitation, réunissant ainsi les équipes que Concert Protect associe déjà à la correction des vulnérabilités.

Disponibilité visée : début 2027

L’annonce distingue le projet destiné aux clients des travaux antérieurs d’IBM et d’Anthropic dans le cadre de Project Glasswing, axés sur la recherche et l’évaluation internes en matière de sécurité. L’intégration à Concert vise à mettre les capacités de Mythos à la disposition des entreprises dans le cadre de processus encadrés d’exploitation de la sécurité, l’examen par les développeurs constituant un point de contrôle concret.

L’échéance visée de début 2027 signifie que ces capacités combinées ne sont pas encore généralement disponibles. La répartition des rôles envisagée est toutefois claire : Mythos élargirait la détection au-delà des signatures connues, Concert Protect évaluerait les résultats dans l’environnement du client et les développeurs conserveraient le pouvoir d’approuver les corrections. La question opérationnelle, au moment du déploiement, est de savoir si cette combinaison peut transformer un éventail plus large de faiblesses détectées par l’IA en priorités étayées et en correctifs approuvés, sans créer un autre processus de sécurité cloisonné.