Mozilla industrialise la chasse aux bugs dans Firefox avec l’IA

Le pipeline IA de Mozilla et Claude Mythos Preview révèlent 271 failles inconnues dans Firefox

Mozilla a utilisé Claude Mythos Preview, le dernier modèle d'Anthropic, pour passer au crible Firefox 150 et a découvert 271 failles de sécurité jusqu'alors inconnues. Parmi elles, certaines vulnérabilités dormaient dans le code depuis près de vingt ans, sans jamais avoir été détectées par les méthodes d'audit traditionnelles. L'opération s'est appuyée sur un pipeline agentique : l'IA ne se contente pas d'analyser le code statiquement, elle construit et exécute elle-même des cas de test pour éliminer les faux positifs avant de remonter les alertes. L'ampleur de la découverte souligne les limites des approches humaines et outillées classiques face à des bases de code aussi massives que Firefox, qui compte des dizaines de millions de lignes accumulées sur plus de deux décennies. Pour les utilisateurs, ces 271 failles représentaient autant de vecteurs d'attaque potentiels restés ouverts sans que personne le sache. Pour l'industrie du logiciel, le résultat pose une question directe : combien de vulnérabilités similaires sommeillent dans d'autres projets majeurs, faute d'une capacité d'analyse à cette échelle ? Mozilla entend désormais intégrer ce type de vérification automatique dans son cycle de développement continu, chaque nouvelle portion de code devant être analysée avant tout commit. Cette décision marque un tournant dans l'usage de l'IA comme outil de sécurité offensive et préventive, et non plus seulement d'assistance au développeur. Anthropic, qui pousse activement ses modèles vers des usages agentiques, voit là une démonstration concrète de la valeur de Claude Mythos Preview dans des environnements de production critiques.

💬 271 failles qui dormaient là depuis vingt ans sans jamais se faire attraper, c'est une claque. Ce qui change vraiment avec ce pipeline, c'est que l'IA ne se contente pas de scanner le code statiquement, elle écrit et exécute ses propres cas de test pour filtrer les faux positifs avant de remonter les alertes. Si c'est ce qu'on trouve dans Firefox, avec des décennies d'audit derrière lui, j'ose pas imaginer ce qui sommeille ailleurs.

Mozilla : l'outil Mythos d'Anthropic a découvert 271 failles zero-day dans Firefox 150

Mozilla a annoncé mardi que le modèle Mythos Preview d'Anthropic avait détecté 271 vulnérabilités zero-day dans le code source de Firefox 150 avant même sa sortie officielle cette semaine. Ces failles ont été identifiées par simple analyse statique du code non publié, sans exécution du logiciel. À titre de comparaison, le modèle précédent d'Anthropic, Claude Opus 4.6, n'avait repéré que 22 bugs liés à la sécurité lors de l'analyse de Firefox 148 le mois dernier. Le CTO de Firefox, Bobby Holley, s'est montré enthousiaste dans un billet de blog, affirmant que ce résultat marque un tournant dans la bataille permanente entre attaquants et défenseurs : "les défenseurs ont enfin une chance de gagner, de façon décisive." L'écart entre 22 et 271 vulnérabilités détectées en l'espace d'un mois illustre une accélération brutale des capacités des modèles spécialisés en cybersécurité. Pour les éditeurs de logiciels, cela signifie qu'un outil d'IA peut désormais parcourir des millions de lignes de code et signaler des failles exploitables avant qu'elles n'atteignent les utilisateurs, réduisant considérablement la fenêtre d'exposition. Holley n'a pas précisé la gravité des 271 vulnérabilités identifiées, mais leur volume seul suggère que Mythos opère à une échelle inaccessible aux équipes de sécurité humaines dans des délais comparables. Anthropic avait lancé Mythos Preview début avril en le réservant à "un groupe limité de partenaires industriels critiques", suscitant un débat sur la nature réelle du modèle : percée technique ou communication marketing soignée. Les résultats obtenus par Mozilla apportent une réponse concrète, mais soulèvent aussi des questions symétriques : si Mythos peut trouver 271 failles dans Firefox en quelques heures, des acteurs malveillants disposant d'un accès similaire pourraient faire de même. La course entre red teams et blue teams risque donc de s'accélérer, avec des modèles d'IA comme arbitres d'un nouvel équilibre encore incertain.

Mozilla : 271 failles détectées par Mythos avec quasiment aucun faux positif

Mozilla a utilisé Mythos, un modèle d'intelligence artificielle développé par Anthropic spécialisé dans la détection de failles logicielles, pour identifier 271 vulnérabilités dans Firefox en l'espace de deux mois. Les ingénieurs de la fondation ont publié jeudi un retour détaillé sur cette expérience, expliquant que le résultat repose sur deux facteurs combinés : l'amélioration des modèles eux-mêmes, et le développement par Mozilla d'un "harness" sur mesure, un environnement d'exécution adapté permettant à Mythos d'analyser efficacement le code source du navigateur. Le taux de faux positifs relevé serait quasi nul, ce qui constitue une rupture nette avec les tentatives précédentes. C'est précisément ce point qui marque un tournant concret. Jusqu'à présent, les outils d'IA appliqués à l'audit de sécurité produisaient ce que les développeurs appellent du "slop" : des rapports de bugs plausibles en apparence, mais truffés de détails hallusinés, qui obligeaient les équipes humaines à vérifier chaque résultat manuellement, annulant une grande partie du gain de productivité promis. Avec Mythos et le harness maison, Mozilla affirme avoir franchi le seuil de fiabilité nécessaire pour intégrer cet outil dans un vrai pipeline de sécurité. Pour l'industrie du logiciel, cela signifie que la détection automatisée de failles pourrait enfin décharger de façon significative les équipes de sécurité, accélérer les cycles de correction, et réduire la fenêtre d'exposition aux attaques. Le contexte de cette annonce est important. Le mois dernier, le CTO de Mozilla avait provoqué une vague de scepticisme en déclarant que "les zero-days sont comptés" et que "les défenseurs ont enfin une chance de gagner, de façon décisive" grâce à l'IA. Ces formules avaient été perçues comme du marketing habituel autour de résultats soigneusement triés. La publication de jeudi est une réponse directe à ces critiques, avec des chiffres et une méthodologie à l'appui. L'enjeu dépasse Firefox : si l'approche se généralise, elle pourrait redéfinir la façon dont l'ensemble de l'industrie audite la sécurité de ses logiciels, à une échelle et une cadence inaccessibles aux seules équipes humaines.

La Chine clone-t-elle l’IA américaine ? La Maison-Blanche accuse son rival de pillage industriel

La Maison-Blanche a publié un mémorandum interne révélant que des entreprises chinoises mènent des opérations de piratage industriel visant à reproduire les grands modèles d'intelligence artificielle américains, notamment ChatGPT d'OpenAI et Claude d'Anthropic. La technique incriminée est le "model distillation" : en interrogeant massivement un modèle existant, il est possible d'entraîner un modèle concurrent à bien moindre coût, sans accéder directement aux poids ou au code source de l'original. Cette pratique permettrait à des acteurs chinois de contourner des années de recherche et des milliards de dollars d'investissement. L'enjeu est considérable pour les entreprises américaines qui ont engagé des ressources colossales dans le développement de leurs modèles. Si le clonage à grande échelle est confirmé, c'est l'avantage compétitif fondamental de l'industrie IA américaine qui est menacé : non pas le code, mais l'intelligence accumulée dans les paramètres des modèles. Pour les utilisateurs et les investisseurs, cela soulève des questions sur la viabilité des barrières à l'entrée dans ce secteur et sur la capacité des entreprises à rentabiliser leurs recherches face à des concurrents qui s'approprient leurs résultats. Cette accusation s'inscrit dans un contexte de rivalité technologique intense entre Washington et Pékin. Le phénomène avait déjà éclaté au grand jour début 2025 avec DeepSeek, dont plusieurs chercheurs avaient soupçonné qu'il s'était appuyé sur des sorties de ChatGPT pour s'entraîner. Les États-Unis ont depuis renforcé les contrôles à l'exportation sur les puces Nvidia destinées à la Chine, mais ces restrictions ne bloquent pas les attaques par distillation, qui n'exigent qu'un accès aux API publiques.