Claude Mythos découvre 271 vulnérabilités dans Firefox, les défenseurs pourraient obtenir un avantage décisif

Mozilla a annoncé mardi que, lors de tests internes précoces, le modèle d’IA Claude Mythos d’Anthropic a identifié 271 failles de sécurité dans le navigateur Firefox, et que toutes ces failles ont été corrigées cette semaine. Mozilla, tout en disant être choqué, affirme également que les résultats montrent qu’un changement fondamental pourrait être en train de se produire dans le domaine de la sécurité sur Internet, et que les défenseurs pourraient bientôt réduire l’avantage que les attaquants ont conservé pendant longtemps.

De 22 à 271 : le bond en avant des capacités de sécurité de Claude Mythos

Mozilla avait déjà testé un autre modèle d’Anthropic, qui, dans une version plus ancienne de Firefox, avait identifié 22 vulnérabilités sensibles à la sécurité. La découverte de 271 failles cette fois-ci représente une progression considérable en termes d’ampleur.

Mozilla souligne que toutes les vulnérabilités découvertes par le système « même des chercheurs humains de tout premier plan » peuvent les identifier, et que les outils d’IA n’ont pour l’instant pas révélé de nouveaux types de vulnérabilités que les humains ne pourraient pas comprendre. Son avantage central réside dans le fait qu’elle accélère énormément ce processus, permettant aux développeurs d’identifier rapidement les failles avant que les attaquants ne puissent les exploiter.

Claude Mythos, publié en mars 2026, est le modèle le plus avancé d’Anthropic à l’heure actuelle. D’après des documents internes de l’entreprise, il s’agit d’un nouveau modèle surpassant la série Opus précédente. Lors des tests avant sa mise en circulation, il avait permis de découvrir des milliers de failles auparavant inconnues dans les principaux systèmes d’exploitation et navigateurs web.

Plan Glasswing : raisons d’un contrôle strict de l’accès

Anthropic fournit un accès limité à Claude Mythos via le « plan Glasswing » (Project Glasswing) ; les organisations actuellement autorisées à l’utiliser sont uniquement certaines entreprises technologiques approuvées, telles qu’Amazon, Apple, Microsoft, etc., et l’usage est limité au balayage des vulnérabilités logicielles.

Le contexte de cette gestion très stricte est le suivant : l’Institute for AI Safety du Royaume-Uni aurait constaté lors de tests que Claude Mythos peut exécuter de manière autonome des opérations réseau complexes, y compris des simulations d’attaques multi-étapes sur des réseaux d’entreprise sans intervention humaine. D’après des personnes au courant, bien que le gouvernement Trump ait appelé à cesser l’utilisation de la technologie d’Anthropic, la National Security Agency (NSA) (agence de sécurité nationale des États-Unis) a déployé et fait tourner une version d’essai de Claude Mythos sur un réseau classifié.

Double tranchant : des capacités similaires peuvent aussi accélérer les attaques

Les résultats mis en évidence par Mozilla ont une portée profonde des deux côtés. Des chercheurs en sécurité avertissent que les systèmes d’IA capables d’analyser le code à grande échelle peuvent identifier automatiquement des vulnérabilités exploitables dans des logiciels largement utilisés ; s’ils tombent entre les mains de malfaiteurs, ils poseront une menace sans précédent pour la cybersécurité des entreprises logicielles et des utilisateurs, et pourraient faire émerger une nouvelle forme d’attaques informatisées automatisées.

Questions fréquentes

Quel type de problèmes représentent les 271 vulnérabilités trouvées dans Firefox par Claude Mythos ?

D’après les explications de Mozilla, il s’agit de véritables vulnérabilités sensibles à la sécurité, « même des chercheurs humains de tout premier plan » peuvent les identifier. Mozilla indique que les outils d’IA n’ont pour l’instant pas révélé de nouveaux types de vulnérabilités que les humains ne pourraient pas comprendre, mais que leur force réside dans la vitesse de balayage systématique à grande échelle, bien supérieure à celle de l’examen humain ; tous les problèmes ont été corrigés cette semaine.

Quel est l’objectif du plan Glasswing et quelles organisations peuvent utiliser Claude Mythos ?

Le plan Glasswing est un programme d’accès contrôlé mis en place par Anthropic. Pour l’instant, seules certaines entreprises technologiques approuvées, telles qu’Amazon, Apple, Microsoft, peuvent faire un usage limité de Claude Mythos ; l’usage est limité au balayage des vulnérabilités de sécurité des logiciels. Cette restriction reflète le haut niveau de prudence d’Anthropic face au risque d’utilisation à double usage de ce modèle.

Quelle signification profonde cette découverte a-t-elle pour l’ensemble de l’industrie de la cybersécurité ?

Mozilla indique que l’arrivée des outils d’IA pourrait donner aux défenseurs pour la première fois une chance de réduire l’avantage de longue date des attaquants, en obtenant une « victoire décisive ». Toutefois, des chercheurs avertissent en parallèle que les mêmes capacités peuvent aussi être exploitées par des attaquants, en accélérant l’ampleur et l’efficacité des attaques automatisées, ce qui rend crucial le contrôle de l’accès aux outils de sécurité de l’IA.