Mozilla industrialise la chasse aux bugs dans Firefox avec l’IA

Le pipeline IA de Mozilla et Claude Mythos Preview révèlent 271 failles inconnues dans Firefox

Mozilla a utilisé Claude Mythos Preview, le dernier modèle d'Anthropic, pour passer au crible Firefox 150 et a découvert 271 failles de sécurité jusqu'alors inconnues. Parmi elles, certaines vulnérabilités dormaient dans le code depuis près de vingt ans, sans jamais avoir été détectées par les méthodes d'audit traditionnelles. L'opération s'est appuyée sur un pipeline agentique : l'IA ne se contente pas d'analyser le code statiquement, elle construit et exécute elle-même des cas de test pour éliminer les faux positifs avant de remonter les alertes. L'ampleur de la découverte souligne les limites des approches humaines et outillées classiques face à des bases de code aussi massives que Firefox, qui compte des dizaines de millions de lignes accumulées sur plus de deux décennies. Pour les utilisateurs, ces 271 failles représentaient autant de vecteurs d'attaque potentiels restés ouverts sans que personne le sache. Pour l'industrie du logiciel, le résultat pose une question directe : combien de vulnérabilités similaires sommeillent dans d'autres projets majeurs, faute d'une capacité d'analyse à cette échelle ? Mozilla entend désormais intégrer ce type de vérification automatique dans son cycle de développement continu, chaque nouvelle portion de code devant être analysée avant tout commit. Cette décision marque un tournant dans l'usage de l'IA comme outil de sécurité offensive et préventive, et non plus seulement d'assistance au développeur. Anthropic, qui pousse activement ses modèles vers des usages agentiques, voit là une démonstration concrète de la valeur de Claude Mythos Preview dans des environnements de production critiques.

💬 271 failles qui dormaient là depuis vingt ans sans jamais se faire attraper, c'est une claque. Ce qui change vraiment avec ce pipeline, c'est que l'IA ne se contente pas de scanner le code statiquement, elle écrit et exécute ses propres cas de test pour filtrer les faux positifs avant de remonter les alertes. Si c'est ce qu'on trouve dans Firefox, avec des décennies d'audit derrière lui, j'ose pas imaginer ce qui sommeille ailleurs.

Mozilla : l'outil Mythos d'Anthropic a découvert 271 failles zero-day dans Firefox 150

Mozilla a annoncé mardi que le modèle Mythos Preview d'Anthropic avait détecté 271 vulnérabilités zero-day dans le code source de Firefox 150 avant même sa sortie officielle cette semaine. Ces failles ont été identifiées par simple analyse statique du code non publié, sans exécution du logiciel. À titre de comparaison, le modèle précédent d'Anthropic, Claude Opus 4.6, n'avait repéré que 22 bugs liés à la sécurité lors de l'analyse de Firefox 148 le mois dernier. Le CTO de Firefox, Bobby Holley, s'est montré enthousiaste dans un billet de blog, affirmant que ce résultat marque un tournant dans la bataille permanente entre attaquants et défenseurs : "les défenseurs ont enfin une chance de gagner, de façon décisive." L'écart entre 22 et 271 vulnérabilités détectées en l'espace d'un mois illustre une accélération brutale des capacités des modèles spécialisés en cybersécurité. Pour les éditeurs de logiciels, cela signifie qu'un outil d'IA peut désormais parcourir des millions de lignes de code et signaler des failles exploitables avant qu'elles n'atteignent les utilisateurs, réduisant considérablement la fenêtre d'exposition. Holley n'a pas précisé la gravité des 271 vulnérabilités identifiées, mais leur volume seul suggère que Mythos opère à une échelle inaccessible aux équipes de sécurité humaines dans des délais comparables. Anthropic avait lancé Mythos Preview début avril en le réservant à "un groupe limité de partenaires industriels critiques", suscitant un débat sur la nature réelle du modèle : percée technique ou communication marketing soignée. Les résultats obtenus par Mozilla apportent une réponse concrète, mais soulèvent aussi des questions symétriques : si Mythos peut trouver 271 failles dans Firefox en quelques heures, des acteurs malveillants disposant d'un accès similaire pourraient faire de même. La course entre red teams et blue teams risque donc de s'accélérer, avec des modèles d'IA comme arbitres d'un nouvel équilibre encore incertain.

Avec son contrôle sur l’information, la Chine biaise les chatbots dans sa langue

Une étude publiée dans la revue scientifique Nature, conduite par des chercheurs de plusieurs universités américaines, révèle que la propagande d'État chinois contamine massivement les données d'entraînement des grands modèles de langage occidentaux, y compris les versions les plus récentes de Claude, GPT et Gemini sortis en 2026. Les chercheurs ont analysé CulturaX, un sous-ensemble public et nettoyé de Common Crawl utilisé pour entraîner des modèles dans 167 langues, et ont découvert qu'entre 3,28 % et 23,98 % des textes en chinois mentionnant des dirigeants ou des institutions politiques correspondent à des contenus manipulés par l'État chinois. Concrètement, des modèles comme Claude Opus 4.7, GPT-5.5 et Gemini-3.1-pro mémorisent et reproduisent des formulations issues de la propagande du Parti communiste chinois, et le font d'autant plus qu'ils sont récents et puissants. L'impact est mesurable et documenté : interrogés en mandarin plutôt qu'en anglais, tous les modèles testés produisent des réponses nettement plus alignées avec le discours officiel de Pékin sur des sujets comme Taïwan, le massacre de Tiananmen de 1989 ou Xi Jinping. Ce biais lié à la langue est particulièrement marqué pour Claude Opus 4.6, GPT-5.4, GPT-5.5, Gemini-3.1-pro et Claude Opus 4.7. Les chercheurs ont également vérifié expérimentalement qu'entraîner un modèle sur de la propagande augmente mécaniquement ses réponses pro-autoritaristes, confirmant le lien de causalité. Le cas DeepSeek est notable : le modèle V4 Pro relaie cette propagande même en anglais, ce qui réduit artificiellement son ratio chinois/anglais, sans pour autant signifier qu'il propage moins la vision du régime. Jusqu'ici, le débat sur l'influence de Pékin dans l'IA se concentrait sur les modèles créés par des entreprises chinoises directement soumises au gouvernement, comme DeepSeek lors de son irruption en 2025, avec une censure évidente sur des sujets sensibles. Cette étude déplace le problème : l'influence ne passe plus seulement par les modèles chinois, mais s'infiltre dans les pipelines d'entraînement utilisés par les laboratoires occidentaux eux-mêmes. La Chine produit un volume considérable de contenu numérique en mandarin, et ce contenu, chargé de narratifs officiels, se retrouve aspiré dans les corpus multilingues grand public sans filtre suffisant. La question qui s'ouvre est celle des responsabilités : aux équipes de données des grands labos d'IA d'auditer leurs sources, aux chercheurs de développer des méthodes de détection de propagande à grande échelle, et aux régulateurs de déterminer si un modèle qui relaie des mensonges d'État dans une langue constitue un risque systémique.

💬 Ce qui devrait t'inquiéter, c'est pas DeepSeek, c'est GPT et Claude. Les corpus multilingues publics sont saturés de narratifs pro-Pékin, les labos les aspirent sans filtre sérieux, et les modèles les plus puissants mémorisent d'autant mieux cette propagande. L'audit des données d'entraînement, on en parlait comme d'un détail technique, c'est maintenant un problème politique.

Mozilla : 271 failles détectées par Mythos avec quasiment aucun faux positif

Mozilla a utilisé Mythos, un modèle d'intelligence artificielle développé par Anthropic spécialisé dans la détection de failles logicielles, pour identifier 271 vulnérabilités dans Firefox en l'espace de deux mois. Les ingénieurs de la fondation ont publié jeudi un retour détaillé sur cette expérience, expliquant que le résultat repose sur deux facteurs combinés : l'amélioration des modèles eux-mêmes, et le développement par Mozilla d'un "harness" sur mesure, un environnement d'exécution adapté permettant à Mythos d'analyser efficacement le code source du navigateur. Le taux de faux positifs relevé serait quasi nul, ce qui constitue une rupture nette avec les tentatives précédentes. C'est précisément ce point qui marque un tournant concret. Jusqu'à présent, les outils d'IA appliqués à l'audit de sécurité produisaient ce que les développeurs appellent du "slop" : des rapports de bugs plausibles en apparence, mais truffés de détails hallusinés, qui obligeaient les équipes humaines à vérifier chaque résultat manuellement, annulant une grande partie du gain de productivité promis. Avec Mythos et le harness maison, Mozilla affirme avoir franchi le seuil de fiabilité nécessaire pour intégrer cet outil dans un vrai pipeline de sécurité. Pour l'industrie du logiciel, cela signifie que la détection automatisée de failles pourrait enfin décharger de façon significative les équipes de sécurité, accélérer les cycles de correction, et réduire la fenêtre d'exposition aux attaques. Le contexte de cette annonce est important. Le mois dernier, le CTO de Mozilla avait provoqué une vague de scepticisme en déclarant que "les zero-days sont comptés" et que "les défenseurs ont enfin une chance de gagner, de façon décisive" grâce à l'IA. Ces formules avaient été perçues comme du marketing habituel autour de résultats soigneusement triés. La publication de jeudi est une réponse directe à ces critiques, avec des chiffres et une méthodologie à l'appui. L'enjeu dépasse Firefox : si l'approche se généralise, elle pourrait redéfinir la façon dont l'ensemble de l'industrie audite la sécurité de ses logiciels, à une échelle et une cadence inaccessibles aux seules équipes humaines.