Project Glasswing : Anthropic investit 100M$ en IA pour la cybersécurité
Le 7 avril 2026, Anthropic a lancé Anthropic Project Glasswing, une initiative rassemblant de grands leaders technologiques pour déceler les failles des infrastructures logicielles critiques. Le projet offre aux équipes de défense un accès à un modèle d'IA de pointe non commercialisé afin d'identifier et corriger les faiblesses informatiques avant leur exploitation. Pour les entreprises, cette initiative propose des outils avancés pour la détection des vulnérabilités par IA et des financements destinés à sécuriser les réseaux informatiques face aux cybermenaces.
Qu'est-ce que Anthropic Project Glasswing ?
Anthropic Project Glasswing est une initiative de cybersécurité défensive lancée le 7 avril 2026 pour protéger les infrastructures logicielles critiques à l'aide d'une intelligence artificielle avancée. Cet effort réunit Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks. Anthropic s'engage à allouer jusqu'à 100M$ de crédits d'utilisation pour son nouveau modèle dans le cadre de ces travaux, ainsi que 4M$ de dons directs à des organisations de sécurité open source. Plus de 40 organisations supplémentaires qui maintiennent des infrastructures logicielles critiques ont également obtenu un accès pour analyser leurs systèmes internes et open source.
Comment la cybersécurité du Project Glasswing protège les logiciels critiques
L'initiative de cybersécurité Project Glasswing traite les vulnérabilités logicielles systémiques avant que des acteurs malveillants ne puissent les exploiter à l'échelle mondiale. Les failles logicielles non corrigées menacent les réseaux d'entreprise, les systèmes de santé, les infrastructures énergétiques, les hubs de transport et les systèmes financiers, avec des coûts annuels de la cybercriminalité mondiale estimés à environ 500B$. Grâce à cette initiative, les partenaires du lancement déploient des capacités d'IA de pointe directement dans leurs flux de travail de sécurité défensive. Anthropic partage les résultats techniques de ces analyses afin que l'ensemble de l'industrie technologique puisse corriger les failles et renforcer l'infrastructure numérique mondiale.
Comment la version préliminaire de Claude Mythos découvre les vulnérabilités système
La version préliminaire de Claude Mythos est un modèle généraliste de pointe non commercialisé qui affiche des capacités de programmation supérieures aux experts humains pour identifier les défauts logiciels. Sur des bancs d'essai comme CyberGym, le modèle a obtenu un score de 83.1% dans la reproduction de vulnérabilités de cybersécurité, contre 66.6% pour Claude Opus 4.6. Au cours des dernières semaines, le modèle a découvert de manière autonome des milliers de failles de sévérité élevée dans les principaux systèmes d'exploitation et navigateurs web, sans guidage humain. Les tests techniques ont révélé que le modèle élabore des exploits de plus en plus sophistiqués, égalant des compétences qui nécessitaient auparavant une expertise technique rare.
Comment les vulnérabilités zero day de Claude Mythos ont été identifiées et corrigées
Le modèle a mis au jour plusieurs vulnérabilités zero day critiques dans des systèmes d'exploitation et des bibliothèques logicielles très répandus. Dans OpenBSD, il a identifié une faille vieille de 27 ans qui permettait à des attaquants distants de faire planter des machines exécutant des infrastructures critiques. Dans FFmpeg, une bibliothèque d'encodage vidéo sollicitée cinq millions de fois par des outils de test automatisés, le modèle a découvert une faille de sécurité vieille de 16 ans. Dans le noyau Linux, le modèle a trouvé et enchaîné de manière autonome plusieurs vulnérabilités pour élever ses privilèges jusqu'au contrôle total du système. Anthropic a signalé ces failles aux responsables des logiciels, et toutes ont été corrigées avec succès.
Comment la détection des vulnérabilités par IA d'Anthropic s'étend grâce au Cyber Verification Program
Les capacités de détection des vulnérabilités par IA d'Anthropic s'élargissent grâce à un cadre d'accès étendu pour les professionnels de la sécurité qualifiés. Le 6 octobre 2026, Anthropic a étendu son Cyber Verification Program en trois niveaux distincts, permettant aux équipes de sécurité de choisir le niveau d'accès adapté à leurs travaux. Ces niveaux offrent des classificateurs de blocage réduits et un accès à des modèles comprenant Claude Opus 5.5, Claude Sonnet 5.5 et Claude Mythos 5.1. Les membres existants du Project Glasswing migrent directement vers le niveau d'accès spécialisé du programme sous ce cadre mis à jour.
Ce que cela change pour les équipes de sécurité en entreprise
Pour les équipes de sécurité en entreprise, Project Glasswing fournit des mécanismes de défense pilotés par l'IA qui identifient et réparent les failles logicielles complexes à une vitesse inédite.
- Accélère la détection des bugs sur les systèmes matériels et logiciels avant que les attaquants ne les exploitent.
- Réduit le temps d'audit manuel du code en remplaçant des années de révision manuelle par une analyse autonome par IA.
- Sécurise à la fois le code propriétaire et les dépendances logicielles open source sans surcoût d'ingénierie.
- Accorde jusqu'à 100M$ en crédits d'utilisation pour aider les organisations à déployer des modèles de pointe en défense active.
Foire aux questions
Qu'est-ce que le projet Anthropic Project Glasswing ?
Project Glasswing est une coalition de cybersécurité formée le 7 avril 2026 par Anthropic aux côtés de leaders technologiques comme AWS, Apple, Google, Microsoft, CrowdStrike et Cisco. L'initiative déploie des modèles d'IA de pointe pour détecter et corriger les vulnérabilités zero day dans les infrastructures logicielles critiques open source et d'entreprise avant que des adversaires ne puissent les exploiter.
Comment Claude Mythos détecte-t-il les vulnérabilités logicielles ?
Claude Mythos détecte les vulnérabilités logicielles en lisant et en analysant le code de manière autonome, sans intervention humaine. Il atteint un score de reproduction de 83.1% sur le banc d'essai CyberGym en analysant les structures de code, en identifiant des failles anciennes qui avaient résisté à des années de tests automatisés et en combinant les faiblesses pour tester les défenses du système.
Quelles entreprises participent au Project Glasswing ?
Les organisations participantes incluent Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks, ainsi que plus de 40 autres éditeurs et gestionnaires de logiciels.
Comment les équipes de sécurité peuvent-elles accéder à Claude Mythos ?
Les équipes de sécurité d'entreprise peuvent demander un accès via le Cyber Verification Program d'Anthropic, qui propose des niveaux d'accès spécialisés et des classificateurs de blocage réduits pour les chercheurs en sécurité et les gestionnaires d'infrastructures qualifiés.
Le regard de MOZGII
Comment nous le construirions
Si nous concevions un analyseur de code défensif de ce type, nous connecterions directement le modèle le plus avancé aux dépôts de code et nous construirions des environnements de test automatisés pour les correctifs envisagés. Nous injecterions le code source, l'historique des modifications et les scripts de compilation dans un bac à sable isolé où le modèle tenterait de déclencher des défauts. L'intervention humaine resterait nécessaire lors de la phase de révision. Des chercheurs en sécurité vérifieraient chaque faille proposée et valideraient la correction suggérée avant que les responsables du code ne fusionnent le moindre correctif.
Cette architecture échouerait si le modèle produisait un fort volume de faux positifs ou créait des correctifs rompant les dépendances environnantes. La création automatisée d'exploits pourrait facilement submerger les équipes de tri avec des résultats plausibles mais inexploitables. Le seul indicateur à observer serait le délai moyen entre la détection d'une faille et le déploiement d'un correctif vérifié.
Ensuite, nous construirions des suites de tests de non-régression automatisées qui généreraient des tests unitaires synthétiques pour chaque correctif. Cet ajout permettrait aux responsables de confirmer qu'une correction de sécurité n'introduit pas de baisse de performance et ne perturbe pas le comportement existant du logiciel.
Sources
D’où viennent les faits de cet article.