Mythos, d'Anthropic, trouve de graves vulnérabilités dans Firefox

Des chercheurs en sécurité de Mozilla ont constaté que l'outil Mythos, d'Anthropic, a identifié un grand nombre de vulnérabilités de haute gravité dans le navigateur Firefox. Cette découverte souligne l'efficacité croissante des outils d'IA en cybersécurité et modifie l'approche des grandes entreprises en matière de tests.

Ce qu'est Mythos et comment il fonctionne

Mythos est un système d'analyse automatique de code développé par Anthropic. Il utilise le modèle de langage Claude pour parcourir le code source à la recherche de vulnérabilités potentielles. Contrairement aux analyseurs statiques traditionnels, qui appliquent des règles formelles et des signatures, Mythos est capable de comprendre le contexte et de repérer des failles de sécurité non triviales.

L'outil repose sur le langage naturel, ce qui lui permet de contourner les limites habituelles des analyseurs formels. Le système peut décortiquer une logique de programme complexe, suivre les flux de données de l'entrée à la sortie et signaler les endroits où ils croisent des vecteurs d'attaque potentiels. Claude aide Mythos à tirer des conclusions logiques comme : « Si une fonction reçoit une saisie utilisateur sans validation et la transmet à une requête SQL, il s'agit d'une injection SQL potentielle ».

Quelles vulnérabilités Mythos a trouvées dans Firefox

Les chercheurs de Mozilla n'ont pas rendu publique la liste complète des découvertes, mais confirment que Mythos a détecté des vulnérabilités de haute gravité de plusieurs types :

• Des fuites de mémoire pouvant conduire à la divulgation d'informations confidentielles issues de la mémoire vive du navigateur
• Des erreurs de gestion de tampon (buffer overflow) créant un risque d'exécution de code arbitraire sur la machine de l'utilisateur
• Des problèmes de traitement des données d'entrée issues de requêtes réseau, permettant à un attaquant de manipuler le comportement du navigateur
• Des failles dans le système d'isolation des privilèges, donnant aux extensions ou aux scripts plus d'accès que nécessaire
• Des situations de compétition (race conditions) dans du code multithread, rares mais critiques lorsqu'elles sont exploitées

«

Mythos a identifié des classes de vulnérabilités que nos outils standard laissaient systématiquement passer », ont indiqué les développeurs de Mozilla sur leur blog.

Pourquoi cela compte pour toute l'industrie

Les découvertes dans Firefox ne se résument pas à l'amélioration d'un seul navigateur. Elles signalent que les outils d'IA commencent à surpasser l'humain dans la recherche systématique de failles de sécurité. Si Mythos a trouvé de graves bugs dans un code relu pendant des années par des centaines de développeurs, cela traduit un changement de paradigme en cybersécurité.

Traditionnellement, les entreprises s'appuient sur une combinaison : analyseurs statiques (qui cherchent automatiquement des motifs connus), tests dynamiques (qui vérifient le comportement à l'exécution) et pentests (des humains tentent de casser le système à la main). Mythos ajoute un nouveau niveau : une analyse « intelligente » automatisée, qui cherche des erreurs de logique plutôt que des signatures. Pour les autres entreprises, cela crée une pression : adopter des outils similaires ou prendre du retard dans la course à la sécurité.

Ce que cela signifie pour l'avenir

Les outils d'IA de recherche de vulnérabilités passent du statut d'objet d'intérêt scientifique à celui d'outil pratique, utilisé par les entreprises en conditions réelles. Mozilla et d'autres grands projets commencent à réorganiser leurs processus de test autour des capacités de Claude et de modèles similaires.

Dans les prochaines années, on verra probablement une nouvelle vague de découvertes de vulnérabilités dans du code jusqu'ici jugé fiable et, espérons-le, un internet mieux protégé.