Un bug de 27 ans trouvé en quelques heures
OpenBSD est l'un des systèmes d'exploitation les plus utilisés pour les serveurs et les infrastructures critiques. Il a une réputation de sécurité construite sur trente ans. Pourtant, à l'intérieur se cachait un bug que personne n'avait jamais trouvé — une erreur dans le code pouvant provoquer un crash distant du système.
Il était là depuis 27 ans.
Ce n'est pas une équipe de penetration testers qui l'a trouvé. C'est Claude Mythos, le modèle de recherche d'Anthropic, dans le cadre du Project Glasswing — une initiative lancée avec AWS, Google, Microsoft, Cisco, Apple, NVIDIA et d'autres partenaires pour protéger les logiciels critiques mondiaux.
Même histoire pour FFmpeg — une bibliothèque utilisée dans toutes les applications vidéo. Un bug vieux de 16 ans, ayant échappé à cinq millions de tests automatisés. Trouvé par Claude en quelques heures.
Le message n'est pas « l'IA est incroyable ». Le message est : le logiciel que vous utilisez chaque jour — sur vos serveurs, sur les ordinateurs de vos employés, dans vos systèmes de gestion — a presque certainement des vulnérabilités que personne n'a encore trouvées.
Ce que sont les vulnérabilités zero-day, sans jargon technique
Une vulnérabilité est une erreur dans le code d'un logiciel. Il peut s'agir d'un bug banal ou d'une faille critique permettant à quelqu'un d'entrer dans le système, de voler des données ou de tout bloquer.
Quand la faille est connue du fournisseur, elle est corrigée par une mise à jour. Quand elle est inconnue — ni du fournisseur ni de la communauté de sécurité — on l'appelle zero-day. Le nom vient du fait que celui qui la découvre a zéro jour d'avance pour se défendre, car le correctif n'existe pas encore.
Les données de Claude Mythos photographient une réalité inconfortable : au moment de la publication, plus de 99 % des vulnérabilités trouvées étaient encore ouvertes. Cela signifie que pendant des mois — parfois des années — ces failles étaient là, exploitables par quiconque les découvrait en premier.
Pourquoi cela change les règles pour toutes les entreprises
Jusqu'à présent, le modèle mental dominant sur la sécurité était assez simple : installez un antivirus, formez les employés sur le phishing, faites des sauvegardes. Si vous utilisez des logiciels répandus et les gardez à jour, vous êtes raisonnablement en sécurité.
Ce modèle fonctionnait tant que trouver des vulnérabilités était difficile, coûteux et nécessitait une expertise rare. Un penetration tester expérimenté prend des semaines pour analyser un système complexe.
L'IA passe à l'échelle. Claude Mythos a analysé OpenBSD à un coût d'environ 20 000 dollars pour mille scans, trouvant des dizaines de problèmes. Ce qui nécessitait auparavant une équipe senior pendant des mois ne prend désormais qu'un modèle IA pendant des heures.
Le problème est bilatéral : l'IA peut être utilisée pour défendre, mais elle peut aussi être utilisée — par ceux qui ont des intentions différentes — pour attaquer. La fenêtre temporelle durant laquelle une faille reste inexploitée se réduit.
Vous voulez comprendre comment l'IA change la sécurité de votre entreprise ?
30 minutes pour discuter de votre cas spécifique.
Que faire maintenant, de manière concrète
Il n'est pas nécessaire de devenir des experts en sécurité informatique. Trois habitudes suffisent, que beaucoup d'entreprises n'ont pas encore.
La première est d'activer les mises à jour automatiques partout où c'est possible. La fenêtre entre la publication d'un correctif et le moment où il est exploité par des attaquants s'est réduite à quelques jours. Gérer les mises à jour manuellement est un luxe que les PME ne peuvent plus se permettre dans de nombreux contextes.
La deuxième est de réduire la surface d'attaque. Chaque service exposé sur internet, chaque logiciel installé mais non utilisé est un point d'entrée potentiel. Un audit périodique de ce qui est effectivement actif vaut plus que beaucoup d'outils coûteux.
La troisième est d'avoir un plan pour « quand ça arrive », pas seulement pour « si ça arrive ». Des sauvegardes vérifiées, des procédures de réponse aux incidents, les contacts du fournisseur de systèmes. Il n'est pas nécessaire d'avoir un CISO en interne — il faut savoir qui appeler et quoi faire dans les premières heures.
L'IA comme outil de défense, pas seulement d'attaque
L'autre côté de la médaille est que la même technologie utilisée pour trouver des failles peut être utilisée pour se défendre.
Le Project Glasswing met à disposition 100 millions de dollars en crédits IA aux organisations de sécurité open source. L'objectif est de faire de la recherche de vulnérabilités systématique avant que d'autres ne le fassent.
Pour les entreprises, cela se traduit par une perspective concrète : l'IA peut faire du vulnerability scanning sur des bases de code propriétaires, analyser des configurations de sécurité, identifier des comportements anormaux dans les logs. Cela ne remplace pas une équipe de sécurité, mais abaisse considérablement le coût de faire des choses qui n'étaient auparavant accessibles qu'aux grandes entreprises.
Un scénario réaliste pour une PME n'est pas « construire son propre Claude Mythos ». C'est utiliser l'IA pour faire des choses plus simples mais tout aussi utiles : analyser ses propres systèmes à la recherche de configurations risquées, surveiller les anomalies, former les employés avec des simulations personnalisées.
La prochaine étape pour votre entreprise
La cybersécurité en 2026 n'est plus seulement un problème technique. C'est un problème de stratégie d'entreprise. Chaque faille non corrigée est un risque opérationnel, réputationnel et — avec les réglementations NIS2 et RGPD — potentiellement juridique.
Comprendre comment l'IA change ce panorama ne nécessite pas de devenir des techniciens. Cela nécessite de poser les bonnes questions : quels sont mes systèmes critiques ? Qui gère les mises à jour ? Que se passe-t-il si quelqu'un entre dans nos données demain ?
Maverick AI aide les entreprises à répondre à ces questions et à comprendre où l'IA peut faire la différence. Si vous voulez comprendre par où commencer, réservez un appel.