Firefox 150 a corrigé 271 vulnérabilités de sécurité en une seule version.
C'est un nouveau record pour Mozilla en nombre de correctifs dans une même publication. À la même période l'an dernier, une version de Firefox corrigeait environ 31 vulnérabilités. Passer de 31 à 271 n'est pas une simple hausse. C'est un changement d'ordre de grandeur.
Le nom derrière cet écart est Claude Mythos.
Mozilla a utilisé Mythos pendant plusieurs mois
Avant qu'Anthropic ne présente publiquement Mythos en avril 2026, plusieurs grandes entreprises avaient déjà accès à une version Preview. AWS, Apple, Google, Microsoft, Mozilla et d'autres faisaient partie d'un programme interne appelé Project Glasswing.
Mozilla a fait tourner Mythos Preview pendant plusieurs mois. Lorsque Firefox 150 est arrivé, le bilan des correctifs de sécurité a donné des chiffres très nets :
- Les 271 vulnérabilités signalées ont toutes été corrigées.
- 180 ont été classées sec-high par Mozilla, la catégorie interne la plus grave pour les problèmes pouvant être exploités lors d'une navigation normale.
- Trois failles ont reçu des identifiants CVE officiels : CVE-2026-6746, CVE-2026-6757 et CVE-2026-6758. Beaucoup des autres relevaient de découvertes internes, de durcissement défensif ou de chemins de code jugés non exploitables.
- La plus ancienne faille était cachée depuis 15 ans : un bug d'analyse HTML issu de code antérieur à 2011.
Le CTO de Firefox, Bobby Holley, a résumé le résultat d'une façon révélatrice : ce qui était encourageant, c'est que Mozilla n'avait vu aucune faille qu'un chercheur humain de tout premier rang n'aurait pas pu trouver.
Autrement dit, Mythos ne faisait pas quelque chose que seule une IA pouvait faire. Il effectuait un travail que les chercheurs humains savent déjà faire, mais à une vitesse bien supérieure.
Mozilla nomme le nouveau goulet d'étranglement
Brian Grinstead, ingénieur en chef de Mozilla, a expliqué à TechCrunch qu'il était difficile d'exagérer l'ampleur du changement pour l'équipe, tant ces outils étaient soudain devenus performants.
La phrase la plus importante portait toutefois sur la correction :
Chaque correctif implique toujours qu'un ingénieur écrive le patch et qu'un autre ingénieur le relise. Mozilla ne peut pas automatiser cette étape.
C'est là que se trouve le cœur du sujet. Mythos trouve les trous. Les refermer reste un travail humain. Pour les ingénieurs de Mozilla, l'effet immédiat n'est pas une baisse du nombre de bugs, mais une file beaucoup plus longue de bugs à corriger.
Les chiffres vont dans le même sens. Firefox a corrigé 423 bugs en avril 2026, contre 31 le même mois l'année précédente.
La conclusion est simple : l'IA a rendu la recherche de bugs plus rapide d'un ordre de grandeur, tandis que leur correction dépend encore des équipes humaines. Le goulet d'étranglement est passé du scan à la remédiation.
Pourquoi Anthropic ne publie pas Mythos
Mythos reste pour l'instant dans Project Glasswing. Seul un petit groupe de partenaires de confiance peut utiliser la version Preview. L'explication d'Anthropic est directe : entre de mauvaises mains, l'outil pourrait faire émerger des 0-day profondément enfouis.
Lors des tests de Palo Alto Networks, un test d'intrusion mené avec Mythos a représenté l'équivalent de près d'un an de travail humain, réalisé en moins de trois semaines.
C'est pourquoi Anthropic ne veut pas l'ouvrir trop vite. Dans la recherche de vulnérabilités, la vitesse détermine qui arrive en premier. Si un système du niveau de Mythos parvient aux attaquants avant que les défenseurs aient la capacité de corriger, le nombre de failles exploitables peut croître plus vite que le camp défensif ne peut les refermer.
Le chiffre de 271 pour Firefox prouve déjà que les chasseurs de vulnérabilités par IA de ce niveau constituent un changement technique irréversible. La question restante n'est pas de savoir si cela comptera, mais qui pourra s'en servir en premier.
Du point de vue d'Anthropic, faire mûrir le système avec une douzaine de partenaires de confiance est bien plus prudent qu'une ouverture directe. Du point de vue de l'écosystème open source, toutefois, des projets comme OpenBSD, Apache et le noyau Linux ne figurent pas sur la liste de Project Glasswing.
La seconde moitié de cette bataille sera intéressante.
Sources : CocoLoop, How Anthropic's Mythos has rewritten Firefox's approach to cybersecurity (TechCrunch), Claude Mythos Finds 271 Firefox Vulnerabilities (SecurityWeek), Behind the Scenes Hardening Firefox with Claude Mythos Preview (Mozilla Hacks)