Anthropic repère plus de 10 000 vulnérabilités critiques dans des logiciels du monde entier

Anthropic a dévoilé l'ampleur d'un problème que le monde de la sécurité informatique a tendance à sous-estimer. Son projet de cybersécurité Glasswing a détecté en un mois plus de 10 000 vulnérabilités critiques dans des logiciels d'importance systémique. Parmi elles, 1,094 menaces réelles de haute gravité sont confirmées.

L'ampleur du problème

Glasswing a été lancé comme une initiative limitée d'Anthropic. En un mois, le système a signalé plus de 10 000 candidats à la vulnérabilité dans des logiciels critiques utilisés dans le monde entier. 1,726 vrais positifs ont été confirmés. 1,094 autres sont classées en gravité haute ou critique, c'est-à-dire qu'elles exigent un correctif urgent.

Ce n'est pas qu'une statistique. C'est la reconnaissance que les logiciels qui font tenir l'internet et les infrastructures critiques regorgent de failles graves que personne n'a colmatées de façon systématique.

Quelles vulnérabilités ont été trouvées

• Des bugs critiques dans des bibliothèques système et des services réseau
• Des problèmes d'authentification et d'autorisation
• Des fuites de mémoire, des dépassements de tampon, des situations de concurrence (race conditions)
• Des configurations erronées dans des projets open source populaires
• Des vulnérabilités dans le traitement des données d'entrée

Anthropic utilise Claude pour analyser le code à grande échelle. Le modèle peut parcourir rapidement de vastes bases de code et repérer des problèmes potentiels, un travail qui prendrait des années à un audit humain. L'IA ne remplace pas l'expert en sécurité, mais elle accélère nettement la détection.

Le problème de la vitesse de correction

Le vrai nœud du problème : trouver une vulnérabilité n'est que la moitié du travail. Il faut encore la corriger, tester et déployer le correctif. Si l'IA découvre des failles plus vite que les développeurs ne peuvent les combler, la dette de sécurité s'accroît.

Anthropic espère manifestement que la publication de ces chiffres poussera la communauté mondiale des développeurs à prendre la protection du code plus au sérieux. Mais l'effet inverse est possible : le chiffre de 10 000 vulnérabilités peut effrayer plutôt que motiver.

Ce que cela signifie

Les systèmes d'IA peuvent désormais auditer du code à une échelle et à une vitesse hors de portée de l'humain. Cela rebat les cartes de la sécurité. Mais la communauté des développeurs doit accélérer la correction des problèmes identifiés, faute de quoi nous vivrons avec un nombre croissant de vulnérabilités connues mais non corrigées dans des logiciels critiques.