Dans le cadre du projet Glasswing, le modèle Claude Mythos d’Anthropic découvre des failles de sécurité dans les logiciels de Microsoft à un rythme qui dépasse la capacité de l’entreprise à les corriger, laissant un arriéré croissant de vulnérabilités non corrigées dont la divulgation reste en suspens.
Annoncé en avril 2026, le projet Glasswing a réuni Amazon, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, Nvidia, Palo Alto Networks et d’autres acteurs, sur le principe que les modèles d’IA de pointe pourraient fondamentalement changer la façon dont les logiciels critiques sont sécurisés. Anthropic a donné accès à un aperçu de Claude Mythos, un modèle entraîné avec des capacités renforcées d’analyse de code et de découverte de vulnérabilités.
Les résultats ont été spectaculaires et déstabilisants. Selon les informations de ProPublica, les ingénieurs de Microsoft courent pour corriger les failles avant l’arrivée du lot suivant de découvertes. Lors d’une session à la mi-mai, des dizaines d’ingénieurs et de responsables de Microsoft se sont réunis au siège de l’entreprise à Redmond pour examiner les conclusions d’une seule campagne d’analyse de Glasswing. Le volume de vulnérabilités critiques identifiées par le modèle d’Anthropic a à plusieurs reprises dépassé les heures d’ingénierie disponibles pour les corriger.
Cette dynamique crée une pression inhabituelle : les mêmes outils d’IA qui rendent les logiciels plus sûrs en trouvant des bugs révèlent aussi à quel point la chaîne de remédiation pilotée par des humains est fragile. Microsoft n’ignore pas ces conclusions ; l’entreprise les traite. Mais le débit des ingénieurs de sécurité humains, limité par les cycles de revue de code, les tests de régression et les calendriers de déploiement, ne peut égaler le rendement d’un modèle qui analyse des bases de code à la vitesse d’une machine.
Les experts en sécurité nationale suivent le dossier de près depuis que Glasswing a été rendu public, anticipant exactement ce scénario : la découverte par l’IA dépasse le rythme des correctifs humains, créant une fenêtre durant laquelle des vulnérabilités connues existent sans solution. Le modèle traditionnel de divulgation responsable, conçu autour d’un chercheur humain qui trouve un bug à la fois, n’a pas été pensé pour un monde où l’IA en trouve des centaines.
La situation souligne une évolution plus large de la cybersécurité. Le goulot d’étranglement n’est plus la détection, c’est la remédiation. Et c’est un problème qu’aucun modèle, aussi capable soit-il, n’a encore résolu.
Traduit par Lydie
Sources: Ars Technica (Jul 29, 2026); ProPublica (Jul 29, 2026); Anthropic (Apr 7, 2026)