Projet Glasswing : l’IA d’Anthropic qui traque les failles logicielles à grande échelle

Cette capacité rend l’outil potentiellement très utile pour la défense… mais aussi dangereux s’il tombait entre de mauvaises mains.

Plus de 10 000 vulnérabilités découvertes en un mois

Dans une première mise à jour publiée par Anthropic, les résultats du programme sont impressionnants.

• Plus de 10 000 vulnérabilités de gravité élevée ou critique auraient été découvertes collectivement par Anthropic et ses partenaires.
• La plupart des organisations participantes auraient identifié des centaines de failles chacune au cours du premier mois.
• Certaines équipes affirment que leur taux de découverte de bugs a été multiplié par plus de dix grâce au modèle.

Un exemple souvent cité est celui de Cloudflare, qui indique avoir détecté environ 2 000 bugs dans ses services principaux, dont 400 critiques ou majeurs, en utilisant l’outil.

Ces chiffres suggèrent que l’IA pourrait accélérer considérablement l’audit de grands projets logiciels, notamment dans les infrastructures Internet ou les projets open source essentiels.

Des performances élevées sur les tests de cybersécurité

Des évaluations techniques externes donnent aussi des indications sur les capacités du modèle.

Selon des analyses rapportées par le UK AI Security Institute, Claude Mythos Preview aurait résolu 73 % des défis de cybersécurité de niveau expert dans des compétitions “capture‑the‑flag” (CTF), un type d’épreuve utilisé pour mesurer les compétences réelles en exploitation de vulnérabilités.

Les descriptions techniques attribuent au modèle plusieurs capacités avancées :

• Découverte de vulnérabilités zero‑day dans des systèmes d’exploitation et navigateurs.
• Chaînage de plusieurs failles pour obtenir une escalade de privilèges ou compromettre un système.
• Génération automatique d’exploits fonctionnels démontrant l’impact réel d’une vulnérabilité.

Ce type d’analyse dépasse la simple détection statique et se rapproche du travail effectué par des chercheurs en sécurité expérimentés.

Quelques exemples de failles identifiées

La plupart des découvertes ne sont pas encore rendues publiques afin de permettre leur correction. Anthropic affirme que plus de 99 % des vulnérabilités détectées n’ont pas encore été patchées, ce qui limite les détails disponibles.

Quelques cas ont toutefois été mentionnés :

• Une vulnérabilité vieille de 27 ans dans le noyau OpenBSD, liée aux options TCP SACK.
• Un bug de 16 ans dans FFmpeg qui avait échappé à des millions de tests automatisés.
• Des chaînes d’exploitation dans le noyau Linux permettant de passer d’un accès utilisateur normal à un contrôle complet du système.

Ces exemples illustrent un point important : même des projets largement audités peuvent contenir des failles anciennes et difficiles à repérer.

Les entreprises et organisations impliquées

Project Glasswing fonctionne comme une coalition d’acteurs majeurs de la technologie et de la cybersécurité.

Parmi les partenaires cités lors du lancement figurent notamment :

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• la Linux Foundation

Au total, environ 50 organisations participeraient au programme et utilisent le modèle pour analyser leurs logiciels ou des projets open source critiques.

Pourquoi Anthropic ne publie pas ce modèle

Anthropic explique avoir choisi de ne pas rendre Mythos accessible au grand public.

La raison principale est que les mêmes capacités permettant de sécuriser des systèmes pourraient aussi faciliter des cyberattaques à grande échelle. Un outil capable de découvrir et d’exploiter automatiquement des zero‑days pourrait considérablement abaisser la barrière technique pour des opérations offensives.

Le modèle reste donc limité à des partenaires sélectionnés, dans l’espoir de corriger un maximum de vulnérabilités avant que des systèmes similaires ne deviennent largement disponibles.

Les critiques et le scepticisme des experts

Malgré les chiffres impressionnants, une partie de la communauté cybersécurité reste prudente.

Première critique : le manque de validation indépendante. Beaucoup des résultats proviennent directement des communications d’Anthropic ou de ses partenaires, et les détails techniques restent confidentiels tant que les correctifs ne sont pas déployés.

Deuxième point : certains chercheurs affirment que des modèles publics combinés à des outils existants pourraient déjà produire des résultats comparables, suggérant que Mythos représenterait davantage une accélération qu’une rupture technologique.

Enfin, il reste difficile d’évaluer le taux réel de confirmation et de correction des bugs détectés dans des environnements de production, faute de statistiques détaillées publiées à ce stade.

Ce que cela signifie pour l’avenir de la cybersécurité

Si les chiffres annoncés se confirment, Project Glasswing pourrait devenir l’un des plus vastes programmes de découverte de vulnérabilités assisté par IA jamais réalisés.

En un mois seulement, plus de 10 000 failles critiques ou majeures auraient été identifiées dans des logiciels essentiels à l’infrastructure numérique mondiale.

Mais l’histoire est encore en cours. Tant que la majorité des vulnérabilités restent confidentielles et non vérifiées publiquement, la communauté sécurité continuera de débattre : s’agit‑il d’une véritable révolution dans l’analyse de sécurité automatisée — ou simplement du signe que l’IA rejoint progressivement les meilleurs chercheurs humains dans ce domaine ?