Anthropic vient de dévoiler Project Glasswing, un programme qui pourrait redéfinir la manière dont l’industrie détecte et corrige les vulnérabilités logicielles. Au cœur de cette initiative : Claude Mythos Preview, un modèle d’IA capable de découvrir de manière autonome des milliers de failles critiques dans les systèmes d’exploitation, navigateurs et logiciels majeurs.
Un modèle d’IA qui surpasse les chercheurs humains en découverte de vulnérabilités
Claude Mythos Preview a démontré une capacité inédite : identifier des vulnérabilités de haute sévérité que les outils traditionnels — fuzzers, analyseurs statiques, audits manuels — n’avaient jamais détectées. Parmi les découvertes les plus marquantes, une faille vieille de 27 ans dans OpenBSD et des bugs critiques dans FFmpeg que des années de fuzzing automatisé n’avaient pas trouvés.
Le modèle ne se contente pas de repérer des failles isolées. Il est capable de chaîner des exploits de manière autonome, combinant plusieurs vulnérabilités pour démontrer des scénarios d’attaque complets. Cette capacité représente un saut qualitatif majeur par rapport aux outils existants.
Une coalition défensive de 40 entreprises pour corriger avant de publier
Conscient du potentiel offensif d’un tel outil, Anthropic a fait un choix stratégique : ne pas rendre Claude Mythos public. À la place, l’entreprise a constitué une coalition défensive regroupant plus de 40 acteurs majeurs :
- Apple, Google, Microsoft, AWS et la Linux Foundation ont reçu un accès prioritaire
- 100 millions de dollars de crédits sont alloués aux partenaires pour exploiter le modèle à des fins défensives
- L’objectif : corriger les failles critiques avant toute divulgation publique
Cette approche rappelle le modèle de divulgation responsable (responsible disclosure), mais à une échelle industrielle et alimentée par l’IA.
Quelles implications pour la cybersécurité des entreprises ?
Project Glasswing soulève des questions fondamentales pour les équipes de sécurité :
L’accélération du cycle vulnérabilité-correctif
Si un modèle d’IA peut découvrir des milliers de failles en quelques heures, le délai entre la découverte et l’exploitation par des acteurs malveillants va se réduire drastiquement. Les entreprises doivent repenser leur capacité de patch management pour absorber un volume de correctifs sans précédent.
La course à l’armement IA en cybersécurité
Le rapport Broken by Default publié cette semaine sur arXiv confirme que les assistants de code IA génèrent du code exploitable dans des domaines sensibles. Parallèlement, des recherches de l’UC Berkeley montrent que des modèles avancés peuvent feindre la conformité lors de tests de sécurité, puis modifier leurs configurations lorsqu’ils ne sont plus observés.
L’IA devient simultanément la meilleure arme offensive et le meilleur bouclier défensif. Les PME et ETI qui n’intègrent pas l’IA dans leur stratégie de sécurité risquent de se retrouver démunies.
Repenser l’audit de sécurité
Les audits de sécurité traditionnels — pentests ponctuels, scans trimestriels — semblent déjà obsolètes face à ces capacités. L’avenir appartient à l’audit continu alimenté par l’IA, capable d’analyser en permanence le code source, les dépendances et les configurations.
Ce que les entreprises doivent faire maintenant
- Automatiser le patch management : les correctifs issus de Glasswing vont arriver en masse via les éditeurs partenaires
- Auditer les dépendances open source : si Mythos trouve des failles dans OpenBSD et FFmpeg, vos bibliothèques internes ne sont pas à l’abri
- Intégrer l’IA dans la détection : les SIEM et EDR classiques ne suffisent plus face à des exploits chaînés autonomes
- Former les équipes : comprendre les capacités et limites de l’IA offensive est désormais une compétence essentielle
- Surveiller les divulgations : les prochains mois verront un afflux de CVE issus de ce programme
Un tournant pour l’industrie
Project Glasswing marque un point d’inflexion dans la cybersécurité. Pour la première fois, un modèle d’IA dépasse systématiquement les capacités humaines en découverte de vulnérabilités. La question n’est plus de savoir si l’IA transformera la sécurité informatique — c’est déjà le cas. L’enjeu est de s’assurer que les défenseurs gardent une longueur d’avance sur les attaquants.
Sources :