Anthropic a déplacé l’aperçu Claude Mythos (Claude Mythos Preview) vers une phase de tests limitée, auprès d’un groupe restreint de partenaires d’entreprise, après que le modèle a révélé des milliers de vulnérabilités critiques sur plusieurs systèmes d’exploitation, navigateurs web et autres logiciels. Cette divulgation met en évidence à la fois le potentiel immense des outils de sécurité alimentés par l’IA et les nouveaux risques qui les accompagnent, à mesure que les capacités se multiplient dans la nature.
La société a décrit Mythos Preview comme un modèle généraliste qui, lors de son évaluation interne, a identifié des faiblesses de sévérité élevée sur les principales plateformes. Anthropic a averti que ces capacités pourraient se propager rapidement si elles ne sont pas gérées de manière responsable, en notant que des adversaires pourraient déployer ces outils avant que des garde-fous ne soient en place.
« Compte tenu du rythme des progrès de l’IA, il ne faudra pas longtemps avant que de telles capacités prolifèrent, potentiellement au-delà des acteurs qui s’engagent à les déployer en toute sécurité. »
Les chercheurs en sécurité avertissent depuis longtemps que l’IA peut accélérer les cyberattaques en automatisant la découverte et l’exploitation. Dans un paysage plus large où les menaces alimentées par l’IA deviennent de plus en plus courantes, Anthropic a souligné des tendances inquiétantes. AllAboutAI rapporte une augmentation de 72% d’une année sur l’autre des cyberattaques alimentées par l’IA, et que 87% des organisations mondiales ont subi des attaques rendues possibles par l’IA en 2025. Dans ce contexte, Anthropic a insisté sur la nécessité d’outils d’IA défensive pour dépasser les acteurs malveillants.
Pour renforcer les défenses, Anthropic a annoncé Project Glasswing le jour même. L’initiative réunit plus de 40 entreprises, dont Amazon Web Services, Apple, Cisco, Google, JPMorgan, la Linux Foundation, Microsoft et Nvidia, avec pour objectif d’utiliser les capacités de Claude Mythos Preview pour trouver des bugs, partager des données avec les partenaires et corriger des vulnérabilités critiques avant que des criminels ne les exploitent.
Points clés
Claude Mythos Preview a identifié des milliers de vulnérabilités critiques sur les systèmes d’exploitation, les navigateurs et les bibliothèques de cryptographie, soulignant une large surface d’exposition potentielle.
La majorité de ces failles restent non corrigées : Anthropic indique qu’environ 99% des vulnérabilités qu’il a trouvées n’ont pas encore été corrigées.
Project Glasswing mobilise une coalition transsectorielle pour opérationnaliser la défense pilotée par l’IA, visant à accélérer la découverte, la divulgation et la remédiation des bugs à travers toute la pile logicielle.
Les vulnérabilités s’étendent sur des décennies, laissant penser à une fragilité de longue date dans des logiciels largement utilisés, et au risque persistant pour les infrastructures critiques et les écosystèmes de cryptographie.
Découverte de vulnérabilités grâce à l’IA et faiblesses vieilles de décennies
Les premières conclusions d’Anthropic révèlent une réalité préoccupante : des failles qui se sont maintenues pendant des années, voire des décennies, peuvent encore poser des menaces significatives aujourd’hui. Parmi les exemples cités figurent des bugs désormais corrigés mais historiquement importants dans OpenBSD — une vulnérabilité âgée de 27 ans qui a refait surface lors des tests — ainsi qu’une faille vieille de 16 ans dans la bibliothèque FFmpeg, et une vulnérabilité d’exécution de code à distance vieille de 17 ans dans le système d’exploitation FreeBSD. Les divulgations s’étendaient à plusieurs vulnérabilités au sein du noyau Linux, illustrant que même des projets open source bien maintenus ne sont pas à l’abri des risques latents.
Au-delà des systèmes d’exploitation, Mythos Preview a signalé des faiblesses dans l’écosystème de la cryptographie — des domaines qui constituent la base des communications et des transactions sécurisées. Le modèle aurait identifié des failles dans des bibliothèques et protocoles largement utilisés, notamment TLS, AES-GCM et SSH. Les applications web se sont révélées être un terrain particulièrement fertile pour la découverte de vulnérabilités, avec un éventail de problèmes allant du cross-site scripting à l’injection SQL et à la falsification de requêtes entre sites (cross-site request forgery), cette dernière étant souvent exploitée dans des campagnes de type phishing.
Anthropic a souligné que bon nombre de ces problèmes sont subtils, spécifiques au contexte ou profondément intégrés dans des parcours de code complexes, ce qui les rend difficiles à faire remonter via un audit traditionnel uniquement. L’implication pour les développeurs et les opérateurs est claire : même des piles logicielles mûres peuvent dissimuler des failles critiques que l’IA pourrait aider à mettre au jour beaucoup plus vite que les méthodes conventionnelles.
La société a également mis en avant une statistique marquante accompagnant les constats : la majorité de ces vulnérabilités n’avait pas encore été corrigée, créant une fenêtre d’exposition qui pourrait être exploitée par des attaquants opportunistes si elle n’est pas traitée rapidement.
Glasswing : une coalition pour une défense proactive
Project Glasswing est présenté comme un programme de défense proactive plutôt qu’une initiative d’analyse rétrospective. En mettant en commun des ressources et une expertise provenant de participants issus de fournisseurs cloud, de développeurs de matériel, d’institutions financières et d’écosystèmes open source, Glasswing cherche à transformer la découverte de vulnérabilités pilotée par l’IA en boucle d’apprentissage, afin d’accélérer la création et le déploiement de correctifs. La collaboration vise à partager des enseignements sur les menaces émergentes, coordonner la divulgation avec les vendeurs et fournisseurs, et pousser à une remédiation rapide avant que l’exploitation ne devienne généralisée.
Les participants clés s’étendent des géants de l’industrie à des écosystèmes de sécurité essentiels : Amazon Web Services, Apple, Cisco, Google, JPMorgan, la Linux Foundation, Microsoft et Nvidia, entre autres. L’initiative reflète une tendance croissante dans laquelle de grandes coalitions de technologues coordonnent pour renforcer les chaînes d’approvisionnement logicielles et réduire l’intervalle entre la découverte d’une vulnérabilité et le moment où elle est corrigée — un objectif particulièrement pertinent pour la blockchain et l’infrastructure crypto, où des incidents de sécurité peuvent déclencher des défaillances en cascade à travers les réseaux et les écosystèmes.
Ce que ce changement signifie pour les écosystèmes crypto et cybersécurité
Pour les investisseurs et les acteurs qui construisent dans le secteur crypto, les constats de Mythos Preview et le modèle collaboratif de Glasswing offrent une vision plus nuancée du risque et de la résilience. D’une part, la découverte de vulnérabilités assistée par l’IA pourrait améliorer nettement la posture de sécurité des plateformes crypto, des portefeuilles, des logiciels de nœuds et des écosystèmes de smart contracts, en mettant au jour des faiblesses qui auraient pris beaucoup plus de temps à détecter pour des humains. D’autre part, l’accès précoce à des outils aussi puissants soulève des questions de gouvernance et de sécurité : qui contrôle la divulgation des résultats, à quelle vitesse les correctifs sont émis, et comment le risque est-il évalué pour les utilisateurs sur les marchés en temps réel ?
D’un point de vue marché, l’activité autour des outils de sécurité activés par l’IA pourrait influencer la demande pour des primitives de sécurité, des suites d’audit et des services de vérification formelle au sein de l’infrastructure crypto. Cela souligne aussi l’importance d’une sécurité robuste des chaînes d’approvisionnement, étant donné qu’un seul zero-day dans une bibliothèque ou un OS largement utilisé pourrait se répercuter sur les réseaux décentralisés, les bourses et les services de conservation.
Les analystes notent que la période de transition pour une IA de défense pilotée par la sécurité est probablement semée d’embûches. À long terme, les défenseurs s’attendent à ce que les capacités de défense dominent, conduisant à un écosystème logiciel plus sûr, mais la phase intermédiaire sera caractérisée par des mauvaises configurations généralisées, des retards de correctifs et des tactiques de menace en évolution, à mesure que les attaquants s’adaptent aux nouvelles technologies défensives. La façon dont Anthropic présente les choses suggère que le basculement vers une défense assistée par l’IA ne sera pas instantané ; il faudra une collaboration soutenue, des divulgations standardisées et des cycles de correctifs rapides pour réduire la fenêtre d’exploitation.
Au-delà des implications techniques immédiates, les observateurs de l’industrie observent comment les cadres de politique et de gouvernance s’adaptent à ces capacités. L’équilibre entre le partage du renseignement sur les menaces et la protection des données sensibles de vulnérabilité déterminera à quelle vitesse les organisations pourront bénéficier d’une défense pilotée par l’IA, y compris dans des environnements axés crypto où la responsabilité, la transparence et la confiance des utilisateurs sont primordiales.
Comme le notent des médias spécialisés dans la sécurité, des récits similaires sont apparus autour de la sécurité de code alimentée par l’IA, et du débat plus large sur la manière de réglementer et de déployer l’IA en toute sécurité. La réponse de la presse et du marché à ces discussions a inclus de la volatilité sur les valeurs boursières de la cybersécurité, soulignant que les investisseurs évaluent la fiabilité de la défense pilotée par l’IA par rapport au risque de permettre à des attaquants plus capables de voir le jour.
À court terme, les lecteurs devraient surveiller la manière dont Glasswing transforme les résultats du modèle en correctifs tangibles et la rapidité avec laquelle les entreprises participantes peuvent opérationnaliser le renseignement partagé. Le résultat influencera probablement les budgets de sécurité, les workflows des développeurs et la préparation à la réponse aux incidents à la fois dans les écosystèmes technologiques traditionnels et dans les écosystèmes crypto-natifs.
Ce qui reste incertain, c’est la rapidité avec laquelle l’industrie pourra combler l’écart de correctifs (patch gap) pour la vaste gamme de vulnérabilités découvertes, et si les défenses assistées par l’IA pourront rester en avance face à des techniques d’exploitation de plus en plus sophistiquées. Les mois à venir seront révélateurs pour les développeurs, les opérateurs et les décideurs politiques quant à la faisabilité et à l’efficacité de grands programmes de défense activés par l’IA pour réduire le risque systémique.
Pour l’instant, les divulgations d’Anthropic renforcent une conclusion critique : à mesure que les capacités de l’IA augmentent, l’impératif de combiner des outils puissants de découverte avec une défense disciplinée et collaborative augmente aussi — en particulier dans des secteurs où la sécurité est indissociable de la confiance et de la continuité.
Cet article a été publié à l’origine sur Crypto Breaking News — votre source de confiance pour les actualités crypto, les actualités Bitcoin et les mises à jour blockchain — sous le titre « Anthropic tightens AI access as cyberattack risk looms for crypto ».
