Ile Maurice: Surpasser la quasi-totalité des experts humains

Le 7 avril, l’entreprise américaine Anthropic lançait Project Glasswing, marquant un tournant dans la sécurité informatique mondiale. Son nouveau modèle d’intelligence artificielle, présenté comme le plus performant jamais développé en matière de code, vient de repérer des milliers de vulnérabilités critiques, dont certaines dormaient depuis des décennies, dans des logiciels utilisés partout sur la planète.

OpenBSD a la réputation d’être l’un des systèmes d’exploitation les plus sécurisés au monde. Utilisé pour faire tourner des pare-feu, des serveurs critiques et des infrastructures sensibles à travers la planète, il est considéré comme une référence en matière de rigueur sécuritaire. Et pourtant, pendant 27 ans, une faille y dormait, invisible à toutes les équipes humaines, imperceptible à tous les outils automatisés. En quelques heures, Claude Mythos Preview – un modèle d’intelligence artificielle développé par Anthropic – l’a trouvée.

La vulnérabilité était radicale dans ses effets : elle permettait à un attaquant de provoquer, à distance, le plantage complet de n’importe quelle machine tournant sous OpenBSD, simplement en s’y connectant. Pas besoin de mot de passe, ni d’accès physique. Un lien réseau suffisait.

Suivez-nous sur WhatsApp | LinkedIn pour les derniers titres

Cette découverte n’est pas un cas isolé. Depuis plusieurs semaines, Anthropic a utilisé Claude Mythos Preview pour scanner les logiciels les plus répandus de la planète. Résultat : des milliers de vulnérabilités dites zero-day – inconnues des développeurs eux-mêmes – ont été identifiées dans chaque grand système d’exploitation et chaque navigateur web majeur.

Deux autres exemples illustrent l’ampleur du phénomène. FFmpeg, un logiciel de traitement vidéo, intégré dans d’innombrables applications, contenait une faille vieille de 16 ans. Ce qui rend ce cas particulièrement éloquent : les outils de test automatisés avaient exécuté cette ligne de code précise cinq millions de fois sans jamais rien déceler. Dans le noyau Linux – le socle logiciel sur lequel tournent la quasi-totalité des serveurs mondiaux – Claude Mythos Preview a enchaîné, de façon entièrement autonome, plusieurs vulnérabilités pour permettre à un attaquant d’escalader de simples droits d’utilisateur jusqu’au contrôle total de la machine. L’ensemble des failles signalées a depuis été corrigé par les équipes responsables des logiciels concernés.

Dépasser les humains

Claude Mythos Preview n’est pas un outil de cyber-sécurité classique. C’est un modèle de langage de nouvelle génération, non commercialisé à ce stade, que ses concepteurs décrivent comme capable de surpasser la quasi-totalité des experts humains dans l’identification et l’exploitation de failles logicielles. Sur le benchmark CyberGym, référence sectorielle en reproduction de vulnérabilités, il affiche un taux de 83,1 % contre 66,6 % pour Claude Opus 4.6, jusqu’ici le meilleur modèle de la gamme.

Ses performances dépassent le seul champ de la sécurité informatique. Sur le test SWE-bench Verified, qui mesure les capacités en développement logiciel dit «agentique», il atteint un score de 93,9 % contre 80,8 % pour Opus 4.6. Ces chiffres reflètent la puissance de ses capacités en raisonnement et en code, qui se traduisent directement par une aptitude inédite à lire, comprendre et exploiter des systèmes complexes. Face à ce constat, Anthropic a choisi de transformer ce risque potentiel en levier défensif.

Project Glasswing réunit Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks – un bloc représentant une part considérable de l’infrastructure numérique mondiale.

L’objectif est explicite : utiliser les mêmes capacités qui rendraient Claude Mythos Preview dangereux entre de mauvaises mains pour détecter et corriger les failles avant que des acteurs malveillants ne les exploitent. Anthropic engage jusqu’à 100 millions de dollars en crédits d’utilisation pour les partenaires du projet, auxquels s’ajoutent quatre millions de dollars de dons directs à des organisations de sécurité open source. Plus de 40 autres organisations, chargées de maintenir des infrastructures logicielles critiques, ont également reçu un accès au modèle.

Le Project Glasswing pose néanmoins une question que ses initiateurs eux-mêmes ne cherchent pas à esquiver. Si un modèle d’IA peut trouver en quelques heures une faille que 27 ans de revues humaines n’avaient pas détectée, des acteurs malveillants – États hostiles, groupes criminels – pourraient bientôt disposer de capacités équivalentes. Elia Zaitsev, Chief Technology Officer chez CrowdStrike, résume ce renversement d’époque. «La fenêtre entre la découverte d’une vulnérabilité et son exploitation par un adversaire s’est effondrée – ce qui prenait des mois se joue désormais en quelques minutes avec l’IA.»

Anthropic ne prévoit pas de rendre Claude Mythos Preview accessible au grand public. L’objectif est pourtant bien de permettre un déploiement à grande échelle des modèles Mythos, dès que des garde-fous suffisants auront été développés.