Tôt hier matin, Anthropic a dévoilé Project Glasswing.
Les noms de 12 entreprises s'alignent : AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks, plus Anthropic elle-même. Et plus de 40 organisations exploitant des infrastructures critiques — ce déploiement est rare dans le domaine de l'IA d'entreprise.
Le point de départ de l'histoire est très intéressant.
Ce que Mythos a déterré a effrayé tout le monde
Ces dernières semaines, Claude Mythos Preview a découvert de manière autonome des milliers de vulnérabilités zero-day. Elles concernent tous les systèmes d'exploitation majeurs, tous les navigateurs populaires.
Trois exemples concrets :
- Une faille vieille de 27 ans dans OpenBSD : Permet de faire planter le système via une connexion réseau
- Une faille vieille de 16 ans dans le codec vidéo FFmpeg : Les tests automatisés ont été exécutés plus de 5 millions de fois sans la détecter, Mythos l'a trouvée
- Une chaîne de multiples vulnérabilités dans le noyau Linux : Permet de passer des privilèges d'utilisateur standard au contrôle total du système
Sur le benchmark de cybersécurité CyberGym, Mythos a obtenu 83,1 points. Opus 4.6 a obtenu 66,6. La différence ne se décrit pas en 10 ou 20 points — c'est un changement qualitatif de « peut aider à relire du code » à « peut découvrir des 0-jours tout seul ».
Ceux qui connaissent ce domaine savent que le code de FFmpeg a été scanné d'innombrables fois par des équipes de sécurité, des outils de fuzzing et d'analyse statique dans le monde entier. Une faille que 5 millions de tests ont manquée signifie que les méthodes traditionnelles ont atteint une certaine limite.
Pourquoi Project Glasswing a besoin d'une alliance
Le point le plus délicat est celui-ci : les capacités de Mythos sont une arme à double tranchant.
D'un côté, des entreprises comme Anthropic peuvent l'utiliser pour la défense ; de l'autre, toute personne capable d'invoquer un modèle similaire pourrait, en théorie, l'utiliser pour attaquer. L'approche précédente d'Anthropic était de ne pas le publier ouvertement — seulement une quarantaine d'entreprises ont eu un accès restreint.
Ce que fait Project Glasswing, en substance, c'est de placer le « camp de la défense » en premier.
Parmi les 12 partenaires fondateurs, AWS, Microsoft, Google, Apple — ce sont des fournisseurs de cloud ; Cisco, CrowdStrike, Palo Alto Networks — des géants de la cybersécurité ; JPMorganChase représente l'infrastructure critique financière ; la partie de la Linux Foundation est encore plus cruciale, la maintenance de la sécurité de l'écosystème open source a toujours été un problème difficile.
Elia Zaitsev, de CrowdStrike, a dit une phrase très lourde de sens :
La fenêtre entre la découverte et l'exploitation d'une vulnérabilité s'est effondrée — avant, cela prenait des mois, maintenant des minutes.
Jim Zemlin, de la Linux Foundation, a également ajouté : les mainteneurs open source se sont historiquement occupés de la sécurité eux-mêmes. Le message est clair — avant, quelques bénévoles gardaient des millions de lignes de code ; maintenant, un grand modèle scanne automatiquement, le rythme de l'attaque et de la défense est dans des dimensions complètement différentes.
Qui sont les véritables bénéficiaires
Le marché des capitaux a déjà commencé à faire ses calculs. Mizuho a publié un rapport favorable à CrowdStrike — la logique est que Project Glasswing fera prendre conscience aux entreprises de la valeur de la protection des endpoints. Motley Fool parie sur Palo Alto Networks, en regardant sa stratégie de plateforme et sa capacité de consommation de tokens (PANW a 1550 clients de plateforme, en hausse de 35 % sur un an, taux de rétention net de 119 %).
Mais au final, ce qui doit vraiment être résolu n'est pas quelle action va monter.
C'est cette question : quand un modèle d'IA peut découvrir des milliers de vulnérabilités à haut risque en deux semaines, qui garantit que cette capacité arrive d'abord entre les mains des défenseurs ?
La réponse d'Anthropic est : former une alliance, permettre aux entreprises les plus capables de corriger de l'utiliser en premier, puis étendre progressivement.
Un détail contre-intuitif
Il vaut la peine de mentionner le fonctionnement de Mythos.
Ce n'est pas « appuyer sur un bouton et obtenir un rapport ». Selon les détails techniques divulgués par Anthropic, le modèle effectue lui-même un raisonnement avancé sur le code, enchaîne plusieurs exploits en chaînes d'attaque et développe des chemins d'attaque complexes — tout le processus ne nécessite aucune guidance humaine.
Cette autonomie il y a 5 ans était de la science-fiction. Aujourd'hui, c'est une réalité qui a urgemment besoin de garde-fous.
La faille vieille de 27 ans dans OpenBSD n'a pas été trouvée par des générations de chercheurs en sécurité. La faille dans FFmpeg a échappé à 5 millions de tests. Ces deux chiffres mis côte à côte laissent difficilement une autre conclusion — toute la méthodologie de la sécurité logicielle traditionnelle pourrait devoir être réécrite.
Glasswing n'est que le début. La prochaine étape est de voir si les 12 géants peuvent corriger ces failles dans leurs propres produits avant qu'elles ne soient exploitées.
La fenêtre de temps est petite.
Source de référence : CocoLoop, Project Glasswing: Securing critical software for the AI era (Anthropic officiel) ; Project Glasswing Proved AI Can Find the Bugs. Who's Going to Fix Them? (The Hacker News) ; CrowdStrike to rally as Anthropic spotlights AI cybersecurity threats (CNBC)