Anthropic détecte des bugs plus vite que Microsoft ne parvient à les corriger

Anthropic alerte : Claude Mythos Preview détecte les bugs plus vite que les développeurs ne peuvent les corriger

Le modèle d'Anthropic Claude Mythos Preview a identifié plus de 10 000 vulnérabilités critiques dans des logiciels à usage système, dans le cadre du Project Glasswing, un programme impliquant une cinquantaine de partenaires. Ces failles touchent des composants logiciels essentiels, et leur rythme de découverte dépasse largement la capacité des équipes de développement à les corriger. L'annonce intervient alors que le modèle est encore en phase de prévisualisation, ce qui laisse présager une accélération encore plus marquée avec un déploiement à grande échelle. Anthropic tire elle-même la sonnette d'alarme : cette situation crée une période de transition à haut risque, durant laquelle des failles connues restent exploitables faute de correctifs disponibles. Plus inquiétant encore, la société reconnaît qu'aucune entreprise, y compris elle-même, n'a développé des garde-fous suffisamment robustes pour empêcher un usage malveillant de ces capacités. Les outils de détection automatisée de vulnérabilités deviennent ainsi une arme à double tranchant : utiles pour les défenseurs, mais potentiellement redoutables entre de mauvaises mains. Ce constat s'inscrit dans une tendance plus large où les grands modèles de langage sont de plus en plus intégrés dans des pipelines de sécurité offensive et défensive. Plusieurs acteurs de la cybersécurité, comme Google avec Project Zero ou des startups spécialisées, explorent déjà ces capacités, mais l'échelle atteinte par Anthropic avec Mythos Preview marque un seuil qualitatif. La question du rythme de divulgation responsable des failles et de la coordination avec les éditeurs logiciels devient désormais centrale pour éviter que cette surproduction de vulnérabilités ne tourne à la catastrophe.

💬 10 000 failles critiques, avant même la sortie officielle. Ce qui me frappe dans cette annonce, c'est pas la performance du modèle, c'est qu'Anthropic admet eux-mêmes n'avoir aucun garde-fou robuste contre le mauvais usage, et que leurs 50 partenaires non plus. La fenêtre entre "faille connue par l'IA" et "patch disponible" va durer des mois, et quelqu'un va s'y engouffrer.

Plus de 100 agents IA mis en compétition par Microsoft pour détecter des failles dans Windows

Microsoft a développé un système baptisé MDASH qui mobilise plus d'une centaine d'agents IA spécialisés, mis en compétition les uns contre les autres pour détecter des failles de sécurité dans ses logiciels. Lors du dernier Patch Tuesday, ce dispositif a permis d'identifier 16 vulnérabilités dans Windows en une seule session, dont quatre classées critiques. Microsoft ne divulgue pas quels modèles d'IA alimentent le système, mais l'ampleur du déploiement témoigne d'une infrastructure de recherche offensive d'envergure inédite. Cette approche marque un changement de paradigme dans la manière dont les grandes entreprises tech traquent leurs propres failles. Plutôt que de s'appuyer uniquement sur des équipes humaines ou des outils d'analyse statique, Microsoft automatise désormais une partie du "red teaming", la simulation d'attaques internes pour trouver des faiblesses avant les pirates. Quatre vulnérabilités critiques découvertes en un seul cycle de patch représentent un gain de sécurité concret pour les centaines de millions d'utilisateurs Windows dans le monde. La course aux agents IA autonomes capables de raisonner sur du code complexe s'intensifie dans tout le secteur. Google, OpenAI et des startups spécialisées comme Endor Labs investissent massivement dans des outils similaires. Pour Microsoft, qui gère l'un des écosystèmes logiciels les plus ciblés au monde, industrialiser la détection de vulnérabilités via l'IA devient une nécessité stratégique face à des attaquants qui utilisent eux-mêmes ces technologies. MDASH pourrait préfigurer un futur où la sécurité logicielle repose sur des armées d'agents se testant mutuellement en continu.

💬 16 vulnérabilités en un cycle de patch, dont 4 critiques, c'est du solide. L'idée de mettre des agents en compétition pour simuler des attaques, le red teaming automatisé à grande échelle, c'est le genre de truc qu'on voyait venir mais pas à ce rythme. Bon, Microsoft garde ses modèles secrets, ce qui veut dire que tout le monde travaille à cache-cache pendant que les attaquants font exactement pareil de leur côté.

Le modèle d'IA le plus dangereux d'Anthropic vient de tomber entre de mauvaises mains

Un groupe restreint d'utilisateurs non autorisés a réussi à accéder à Mythos, le modèle d'intelligence artificielle cybersécurité d'Anthropic, selon une enquête de Bloomberg publiée en avril 2026. L'accès aurait été obtenu grâce à un sous-traitant tiers d'Anthropic, qui a permis à des membres d'un forum privé en ligne d'exploiter ses accréditations combinées à des outils de recherche ouverts sur internet. Claude Mythos Preview est un modèle nouvelle génération capable d'identifier et d'exploiter des failles de sécurité dans tous les grands systèmes d'exploitation et navigateurs web du marché. L'incident est particulièrement préoccupant car Anthropic avait elle-même qualifié Mythos de modèle "dangereux entre de mauvaises mains", justifiant ainsi un accès strictement limité et contrôlé. Un outil capable de cartographier et d'exploiter des vulnérabilités à l'échelle de Windows, macOS, Chrome ou Firefox représente une menace concrète s'il est utilisé à des fins malveillantes, que ce soit pour des cyberattaques ciblées, du vol de données ou des opérations d'espionnage industriel. Cet accès non autorisé illustre une tension centrale dans le développement des modèles d'IA à double usage: plus les capacités cybersécurité sont avancées, plus les risques de détournement augmentent. Anthropic fait partie des rares laboratoires à avoir instauré des restrictions d'accès explicites pour ses modèles les plus sensibles, une approche que l'incident remet en question. La fuite via un sous-traitant soulève aussi des interrogations sur les pratiques de gestion des accès au sein des grands laboratoires d'IA, où la chaîne de confiance s'étend bien au-delà des équipes internes.

Pourquoi Microsoft et d'autres clients d'Anthropic ont tardé à adopter Claude Fable

Lors du lancement de son dernier modèle d'intelligence artificielle Claude Fable, Anthropic a instauré une nouvelle politique de rétention des données : toutes les informations transmises au modèle sont conservées pendant 30 jours. L'objectif affiché est de détecter les usages malveillants ou illégaux. Mais cette décision a un effet secondaire immédiat : les entreprises qui utilisent Fable pour écrire ou modifier du code applicatif confient techniquement leurs données propriétaires à Anthropic pendant un mois. Dans certains cas, ces données sont stockées sur des serveurs cloud distincts de ceux que les clients ont eux-mêmes configurés. Amazon Web Services, qui héberge l'infrastructure d'Anthropic et revend ses modèles à ses propres clients cloud, a officiellement averti ces derniers mardi que "dès lors que vous optez pour la rétention des données, celles-ci quittent le périmètre de données et de sécurité d'AWS." Cette situation freine l'adoption de Fable chez plusieurs grands clients, dont Microsoft. Pourtant, les capacités de codage du modèle sont reconnues comme exceptionnelles, au point qu'Anthropic a pu relever ses tarifs sans perdre la demande. Le problème est fondamentalement de nature juridique et réglementaire : pour des entreprises manipulant du code propriétaire, des secrets industriels ou des données sensibles, accepter qu'un tiers conserve ces informations hors de leur périmètre de contrôle pendant 30 jours représente un risque de conformité inacceptable, notamment au regard des réglementations sectorielles ou des politiques internes de cybersécurité. La tension illustre un défi structurel pour les fournisseurs d'IA générative : plus leurs modèles sont puissants et déployés dans des environnements critiques, plus les exigences de souveraineté des données deviennent contraignantes. Anthropic se retrouve dans une position délicate, devant concilier ses impératifs de sécurité et de surveillance des usages avec les standards de confidentialité attendus par ses clients enterprise. La décision d'AWS de clarifier publiquement les implications de cette politique suggère que la pression des clients institutionnels est déjà forte, et que des aménagements contractuels ou techniques pourraient être négociés dans les semaines à venir.

💬 Fable code apparemment mieux que tout le monde, au point qu'Anthropic peut se permettre de monter ses prix. Mais 30 jours de rétention sur du code propriétaire, c'est le genre de clause que les équipes légales barrent d'un trait rouge sans lire la suite. Reste à voir si Anthropic lâche du lest, parce que se fâcher avec Microsoft et AWS en même temps, c'est pas une stratégie de croissance évidente.