- Claude Mythos Preview a détecté des milliers de failles critiques dans des logiciels fondamentaux, dépassant de loin les capacités de détection des humains et des outils traditionnels.
- Le projet Glasswing est une coalition restreinte de 50 géants de la technologie et de la finance qui utilisent cette IA pour corriger les vulnérabilités avant qu'elles ne soient exploitées.
- Le modèle reste à accès contrôlé en raison de son niveau de risque ASL-4, car il a la capacité de générer des exploits fonctionnels de manière autonome.
Imaginez que les logiciels qui sous-tendent Internet, des navigateurs que vous utilisez pour lire ceci aux systèmes d'exploitation des serveurs les plus puissants, présentent des failles invisibles passées inaperçues depuis des décennies. Or, il s'avère qu'Anthropic a réalisé une avancée majeure avec un outil qui non seulement détecte ces failles, mais sait aussi précisément comment les exploiter, obligeant ainsi l'ensemble du secteur à repenser la protection de nos données.
Il ne s'agit pas d'une simple mise à jour d'une application de messagerie instantanée, mais d'un changement de paradigme complet. Avec le lancement du Projet Glasswing , l'entreprise a opté pour une approche proactive et défensive, en réunissant les acteurs majeurs des secteurs technologique et financier afin de nettoyer le code source mondial avant qu'une personne mal intentionnée n'utilise cette même technologie pour semer le chaos numérique.
Le cerveau derrière l'opération : Claude Mythos (Aperçu)
Le véritable moteur de cette opération est Claude Mythos Preview , un modèle d'IA qui surpasse largement ses prédécesseurs en matière d'analyse de sécurité. Contrairement aux modèles commerciaux, Mythos possède une capacité de raisonnement très poussée qui lui permet d'identifier des milliers de vulnérabilités zero-day — des failles dont même les développeurs d'origine ignoraient l'existence.
Ce qui fait de ce modèle un outil extrêmement puissant, c'est sa capacité à exploiter les vulnérabilités en chaîne . Dans la réalité, un pirate informatique n'utilise généralement pas une seule faille, mais combine plutôt plusieurs vulnérabilités mineures pour obtenir un accès complet. Mythos peut déduire comment relier ces éléments et, plus impressionnant encore, est capable d' écrire et d'exécuter du code de test pour prouver que la faille est réelle et exploitable, éliminant ainsi le bruit des faux positifs qui frustrent tant les analystes en cybersécurité et leurs outils.
Des chiffres qui vous donnent la chair de poule.
Si vous pensiez que les logiciels matures étaient sécurisés, les données de Glasswing risquent de vous donner des sueurs froides. En seulement trente jours, les partenaires du programme ont détecté plus de 10 000 vulnérabilités critiques ou de haute gravité. Cloudflare, pourtant déjà un leader en matière de sécurité, a à lui seul découvert 2 000 failles dans ses propres systèmes, dont 400 critiques , démontrant ainsi que même les entreprises les mieux préparées ne sont pas à l'abri des erreurs.
La situation des logiciels libres est encore plus alarmante. Anthropic a analysé près de 1 000 projets essentiels au réseau et a découvert plus de 23 000 vulnérabilités potentielles, dont 6 202 critiques . À titre d'exemple, le modèle a mis au jour une vulnérabilité dans OpenBSD restée inexploitée pendant 27 ans , ainsi que des failles vieilles de 16 et 17 ans dans FFmpeg et FreeBSD, respectivement. Des logiciels ayant passé avec succès d'innombrables audits et présentant malgré tout une vulnérabilité.
Pourquoi ne pouvons-nous pas utiliser Mythos à la maison ?
Vous vous demandez sans doute pourquoi Anthropic ne rend pas ce modèle public. La réponse est simple : il est trop dangereux. Mythos est classé en interne ASL-4 (niveau de sécurité IA 4) , ce qui signifie qu'il pourrait causer des dommages catastrophiques s'il tombait entre de mauvaises mains. Un modèle capable de détecter une faille avec une telle précision peut, en un clin d'œil, générer l'exploit parfait pour attaquer des infrastructures critiques.
L'accès est donc restreint à un cercle restreint de 50 organisations sélectionnées , parmi lesquelles des géants comme Microsoft, Google, Apple, Amazon et JPMorgan Chase. L'objectif est que ces entités utilisent l'IA pour corriger massivement le logiciel avant que les attaquants ne développent leurs propres outils basés sur des modèles similaires. Il s'agit en quelque sorte d'une course aux armements où Anthropic souhaite que les « bons » prennent l'avantage.
Leçons pour le secteur et l'avenir du développement
Ce déploiement démontre clairement que la sécurité ne peut plus être négligée. Cloudflare a souligné que l'utilisation d'agents d'IA exige un environnement de test très spécifique ; il ne suffit pas de demander au modèle de « rechercher des bugs ». Les tâches doivent être segmentées et un contrôle contradictoire (un second agent qui remet en question les résultats du premier) mis en œuvre afin d'empêcher l'IA de falsifier des informations.
De plus, un goulot d'étranglement humain préoccupant est apparu : l'IA détecte les bogues plus rapidement que les programmeurs ne peuvent les corriger. Bien que Mythos détecte des milliers d'erreurs, le processus de tri, de signalement et de correction repose toujours sur des équipes humaines surchargées. Cela a conduit certaines entreprises à tenter de réduire leurs délais de réponse à seulement deux heures après la publication d'une CVE , malgré le risque de publier des correctifs sans tests de régression adéquats.
Pour lutter contre ce phénomène, Anthropic a lancé Claude Security en version bêta pour les entreprises et le programme de vérification de la cybersécurité, permettant aux professionnels qualifiés d'utiliser ses modèles sans les restrictions habituelles. L'entreprise a également investi des millions de dollars dans des fondations telles que la Linux Foundation et Apache afin d'aider les mainteneurs de logiciels libres à gérer ce raz-de-marée de signalements de sécurité.
En réalité, le coût de la découverte des vulnérabilités a chuté de façon spectaculaire et le délai entre la découverte et l'exploitation est plus court que jamais. Le succès du projet Glasswing démontre que la transparence et la collaboration intersectorielle sont indispensables pour survivre dans ce nouvel écosystème , en reconnaissant que l'IA est désormais l'outil principal pour attaquer et défendre les infrastructures numériques mondiales.
