Anthropic lance Cyber Mission : un scanner de vulnérabilités IA gratuit, avec une précision attendue supérieure à 90 %

Anthropic a lancé le programme Cyber Mission, qui réunit deux axes : la protection des infrastructures critiques et la recherche de vulnérabilités dans les logiciels open source. CrowdStrike et Palo Alto Networks sont partenaires du programme. Ils aideront à sécuriser les réseaux électriques et les systèmes d'approvisionnement en eau. Pour les projets open source, l'entreprise a publié un scanner IA gratuit qui recherche automatiquement les vulnérabilités. La précision annoncée, présentée comme attendue, est supérieure à 90 %. L'information provient de The Decoder.

Deux missions sous un même nom

Le programme s'attaque à des problèmes qui relèvent d'ordinaire de domaines distincts. Les réseaux électriques et les services des eaux sont des systèmes industriels, aux cycles de mise à jour longs et où un arrêt coûte cher. Les bibliothèques open source constituent le socle de presque tous les logiciels modernes, alors qu'elles sont maintenues par de petites équipes, souvent par de simples bénévoles. Anthropic réunit les deux axes dans une seule initiative et parie sur le fait que les modèles d'IA lisent bien le code et y repèrent efficacement les erreurs.

Le rôle des partenaires se présente ainsi : CrowdStrike et Palo Alto Networks sont des entreprises rompues à la détection des menaces et à la réponse aux incidents. Elles apportent leur expertise dans des secteurs où Anthropic n'a pas d'expérience opérationnelle propre. Les premières communications ne détaillent pas la répartition des tâches entre les participants.

Ce que l'on sait du scanner

Le scanner traite les projets open source de façon automatique et gratuite. Voici les paramètres clés qui ont pu être confirmés :

• Nom du programme : Cyber Mission.
• Partenaires : CrowdStrike, Palo Alto Networks.
• Cibles : infrastructures critiques (réseaux électriques, approvisionnement en eau) et projets open source.
• Coût du scanner pour l'open source : gratuit.
• Précision attendue de détection des vulnérabilités : supérieure à 90 %.

Le mot « attendue » est ici important. Il ne s'agit pas du résultat d'un test indépendant, mais d'un objectif annoncé au lancement. On ignore sur quel jeu de données l'évaluation a été menée. On ne sait pas non plus ce que recouvre exactement la précision : la part des vulnérabilités réelles qui ont été trouvées, ou la part de détections justes parmi l'ensemble des alertes. Pour un scanner de code, la différence est fondamentale. Un outil qui détecte presque tout mais croule sous les fausses alertes sera vite désactivé par les mainteneurs.

Le modèle sur lequel repose le scanner n'est pas nommé non plus. Les conditions d'accès, les limites de taille des dépôts et la procédure de divulgation des vulnérabilités découvertes ne sont pas encore décrites.

Pourquoi les faux positifs font toute la différence

Pour les projets open source, la principale ressource rare est le temps humain, pas les outils. Quelqu'un doit lire chaque rapport du scanner, le reproduire et le clore. Même avec une précision de 90 %, une grande base de code laisse des dizaines de résultats douteux. Si le modèle accompagne chaque résultat d'une description claire, d'un exemple d'exploitation et d'un correctif proposé, le scanner fera gagner des heures. S'il se contente d'avertissements génériques, il créera une charge supplémentaire.

Second enjeu : la responsabilité en matière de divulgation. La recherche automatique de vulnérabilités est tout aussi utile aux défenseurs qu'aux attaquants. La façon dont Anthropic traitera les vulnérabilités découvertes avant la publication des correctifs ne se clarifiera qu'à l'usage du programme.

Comment aborder l'outil en pratique

Il est raisonnable pour les mainteneurs de projets open source de lancer le scanner sur un dépôt non critique et de comparer le résultat avec leur liste de problèmes connus et avec la sortie de leurs analyseurs statiques habituels. Cela permet d'estimer la part de faux positifs avant de l'intégrer à la CI.

Les équipes de sécurité des entreprises qui dépendent de l'open source doivent vérifier lesquelles de leurs dépendances clés seront couvertes par l'analyse, et demander à Anthropic la méthode de calcul des 90 % annoncés. Les opérateurs d'infrastructures ont plutôt intérêt à attendre une description précise des services que les partenaires fourniront dans le cadre du programme. Pour l'instant, il s'agit d'une déclaration d'intention assortie d'un seul chiffre concret, qu'il faudra vérifier sur du code réel.