Microsoft serait en proie à une crise informatique provoquée par la puissance inédite du modèle d'IA Claude Mythos d'Anthropic. Cet outil parvient à identifier des failles de sécurité à une cadence telle que les ingénieurs de Microsoft sont incapables de les corriger assez rapidement. Microsoft mène une course contre la montre pour sécuriser des logiciels mondiaux comme SharePoint avant que des attaquants n'exploitent ces mêmes failles. La stratégie habituelle de triage des bogues est remise en question, car l'IA permet désormais de combiner plusieurs failles mineures pour lancer des attaques dévastatrices. Les dirigeants craignent une apocalypse de bogues.Claude Mythos est un nouveau modèle d'IA développé par Anthropic et doté de capacités avancées en matière de cybersécurité. Le géant de la technologie Microsoft a obtenu un accès privilégié à Mythos dans le cadre d'un programme baptisé Project Glasswing, une initiative de cybersécurité défensive lancée par Anthropic le 7 avril 2026. Mythos a été utilisé en interne pour analyser et détecter les failles de sécurité au sein des logiciels de Microsoft.
L'objectif était de détecter et de corriger ces vulnérabilités avant que des pirates informatiques et des gouvernements hostiles, comme celui de la Chine ou de la Russie, ne e les exploitent à leur tour à des fins d'espionnage et de sabotage. La version utilisée par Microsoft est baptisée « Claude Mythos Preview ».
D'autres entreprises telles que Mozilla, Amazon, et Apple participent également au programme Project Glasswing d'Anthropic. En avril, Mozilla a rapporté que Mythos avait détecté 271 failles de sécurité dans Firefox 150. Mozilla a expliqué que ce nouveau modèle d'IA est « tout aussi performant » que les meilleurs chercheurs en sécurité au monde. Selon l'entreprise, Mythos analyse le code source et identifie les bogues avec une « expertise pointue ».
Une course contre la montre face aux menaces cybernétiques
Selon un nouveau rapport publié de ProPublica, Mythos révélait des bogues plus rapidement que le géant technologique ne parvenait à les corriger. Un responsable a déclaré que les ingénieurs sont engagés dans une « course effrénée » pour combler ce retard. Lors d'une réunion interne à la mi-mai, une diapositive de la présentation montrait que rien qu’en avril, Mythos avait découvert 90 bogues « critiques » et 141 « importants » dans SharePoint.
Au cours de la première quinzaine de mai, il en a détecté encore davantage. Pour rappel, SharePoint est une plateforme collaborative conçue pour les organisations. Elle sert d'espace centralisé pour stocker, partager et gérer des documents. Elle permet également de créer des sites Web internes (intranet) pour communiquer et travailler en équipes sur différents projets. SharePoint est très répandu dans les grandes entreprises et administrations.
La pression était immense, car les dirigeants avaient identifié la date du 31 mai comme le moment où le reste du monde aurait potentiellement accès à des technologies équivalentes à Mythos. « S’il vous plaît, s’il vous plaît, s’il vous plaît, si votre organisation présente des bogues datant d’avril, corrigez-les », a imploré Hans Andersen, responsable de l’ingénierie, lors de la réunion. Ils disposaient de deux semaines pour tirer le meilleur parti de l'outil.
Les ingénieurs présents à la réunion ont remis en question cette affirmation, l’un d’entre eux résumant ainsi la situation : « en gros, vous estimez donc que si le logiciel est publié le 1er juin, les adversaires disposeront de nos failles dès le 2 juin ? » « Oui », a répondu une personne. « Oui », a renchéri une autre.
Une avalanche de vulnérabilités révélées en très peu de temps
Les chiffres publiés par Microsoft en juillet 2026 ne sont pas une erreur de frappe. Le Patch Tuesday de juillet chiffre le problème : 622 vulnérabilités en un mois. Microsoft a corrigé 622 bogues lors de sa mise à jour du Patch Tuesday du 14 juillet dernier, soit plus du triple du précédent record de juin, qui était de 206. C'est une forme étrange de progrès. Les bogues sont détectés plus rapidement. La liste des correctifs à appliquer s'allonge également.
La liste publiée en juillet comprend 416 failles Windows, 82 failles Office, 46 failles Microsoft Edge et 63 vulnérabilités classées comme critiques. Deux failles étaient déjà exploitées : CVE-2026-56155 dans Active Directory Federation Services et CVE-2026-56164 dans SharePoint Server. Il ne s’agit pas de systèmes obscurs situés à la périphérie de l’entreprise. L’un gère les identifiants de connexion. L’autre logiciel héberge les documents d’entreprise.
Outre le système d'IA Claude Mythos d'Anthropic, Microsoft utilise également son outil d’analyse multimodèle MDASH pour accélérer la détection de bogues. C’est là le véritable enjeu. L’IA ne se contente pas de produire davantage de logiciels. Elle modifie la cadence à laquelle les anciens logiciels sont inspectés.
La preuve la plus flagrante nous vient de Pékin. Bloomberg a rapporté en avril que le groupe « 360 Digital Security », également connu sous le nom de Qihoo 360, avait développé un agent de détection des vulnérabilités) basé sur l’IA qui a permis de découvrir près de 1 000 failles jusque-là inconnues, notamment dans Microsoft Office et OpenClaw, un framework open source destiné à la création et au déploiement rapide de workflows d’agents IA.
La stratégie de triage et le danger des vulnérabilités mineures
Confronté à ce déluge de bogues, la firme de Redmond doit trouver le moyen de les corriger rapidement afin d'éviter une exploitation massive aux conséquences désastreuses. Microsoft a dû prioriser ses efforts de correction. L'entreprise a choisi de traiter en urgence les failles critiques et importantes, qui sont les plus susceptibles de causer des dommages notables, tout en laissant temporairement de côté les bogues de gravité faible ou modérée.
Toutefois, cette stratégie de triage traditionnelle comporte des risques majeurs face aux capacités de l'IA. Vinh Nguyen, ancien spécialiste de l'IA pour l'Agence de sécurité nationale américaine (NSA), a averti que Mythos a la capacité de lier plusieurs petites failles entre elles pour orchestrer des attaques dévastatrices.
Pour souligner cette nouvelle menace, il a expliqué : « le problème maintenant, c'est que vous pouvez enchaîner quatre failles de bas niveau, et cela peut équivaloir à une gravité élevée ». De son côté, Microsoft défend sa méthode en affirmant que cette technique d'enchaînement de failles fait depuis longtemps partie de son évaluation des risques. Selon les experts, les entreprises devront reconsidérer leur approche en matière de triage.
Mythos, par exemple, est capable d’enchaîner une série de failles qui se renforcent mutuellement, ce qui signifie que les failles de gravité faible ou modérée qui ne sont pas corrigées pourraient ouvrir la voie à des attaques dévastatrices. « Si vous êtes Microsoft, la stratégie de triage actuelle risque de sous-estimer les risques », estime Vinh Nguyen. Microsoft a déclaré que « le volume global de bogues ne se stabilisera pas avant un certain temps ».
OpenAI suit les traces d'Anthropic dans la détection de bogues
OpenAI aborde ce même problème sous l’angle défensif. Le 6 mars, OpenAI a présenté « Codex Security sous forme d’aperçu de recherche destiné aux utilisateurs de ChatGPT Pro, Enterprise, Business et Edu. L'entreprise dirigée par Sam Altman a indiqué que le logiciel avait analysé plus de 1,2 million de commits dans des dépôts externes au cours de sa phase bêta et identifié 792 failles critiques et 10 561 vulnérabilités à haut niveau de gravité.
Le principe est simple : Codex Security établit le contexte d’une base de code, détecte les vulnérabilités potentielles, les valide dans un bac à sable et propose des correctifs. La différence n’est pas négligeable. Les scanners traditionnels génèrent déjà beaucoup de « bruit ». Or, les équipes de sécurité sont déjà submergées par ce bruit. Ce dont elles ont besoin, ce sont des résultats accompagnés de preuves et d’une feuille de route pour la correction.
OpenAI a ensuite déclaré en juin que Codex Security avait analysé plus de 30 millions de commits sur plus de 30 000 bases de code depuis la présentation préliminaire de la recherche en mars, et que les réviseurs avaient manuellement marqué plus de 70 000 résultats comme corrigés. Telle est désormais l’ampleur du travail. Il est impossible de tout examiner à la main. Il faut que des machines avancées aident les humains à déterminer ce qui est réel.
« Plutôt que de mettre de côté ce qui est aujourd’hui considéré comme des failles à faible risque, les entreprises devraient affecter du personnel au développement et au test de correctifs pour l’ensemble des vulnérabilités », a déclaré Vinh Nguyen. Les urgences informatiques ont besoin de davantage d'experts pour traiter aussi bien les failles mettant les systèmes en danger que les brèches mineures susceptibles de devenir « fatales » par la suite.
La dette technique insondable et « l'apocalypse des bogues »
Cette crise de sécurité met en lumière des problèmes systémiques plus profonds au sein de Microsoft et de l'industrie logicielle en général. Le code de nombreux produits Microsoft est ancien et accumule ce que l'on appelle une dette technique, rendant les logiciels particulièrement vulnérables aux nouvelles méthodes d'analyse de l'IA. Les experts en cybersécurité s'attendent à ce que l'IA accélère davantage la découverte de nouvelles vulnérabilités.
Historiquement, les équipes de sécurité de Microsoft ont souvent souffert d'un manque d'effectifs. D'après certains témoignages, la sécurité serait perçue en interne comme un centre de coûts, par opposition au développement de nouveaux produits, que les dirigeants de Microsoft considèrent comme un centre de profits.
Les utilisateurs de Microsoft pourraient être particulièrement vulnérables. La popularité de ses applications, utilisées dans le monde entier, en fait une cible fréquente et lucrative pour les pirates informatiques. Ben Edwards, un scientifique des données spécialisé dans la gestion des vulnérabilités logicielles, rappelle que le secteur des logiciels devait déjà faire face à un « volume intense avant même l’essor de l’IA ». L'IA accélère encore plus la cadence.
« Avant, c’était comme boire à un tuyau d’arrosage réglé sur jet puissant ; aujourd’hui, c’est comme boire à une lance à incendie. Ils disposaient peut-être d’équipes capables de gérer ce tuyau d’arrosage. Quant à savoir s’ils peuvent gérer la lance à incendie, c’est une autre histoire », a expliqué Ben Edwards.
Le « vibe coding » pose également un problème de sécurité
Le « vibe coding » désigne une façon de programmer où on laisse l'IA générative écrire le code à partir...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
Envoyé par Mathis Lucas
