Chaque système d'exploitation principal a des vulnérabilités critiques non découvertes
Ce n'est pas une hypothèse théorique. C'est le résultat d'un projet de recherche mené par Anthropic ces dernières semaines.
Claude Mythos — le modèle de frontière d'Anthropic — a trouvé une vulnérabilité dans le noyau Linux permettant à un utilisateur normal de prendre le contrôle complet du système. Une faille dans FreeBSD classifiée comme Remote Code Execution. Un bug dans OpenBSD présent depuis 27 ans. Un bug dans FFmpeg ayant survécu à cinq millions de tests automatisés pendant 16 ans.
A la sortie du rapport, plus de 99 % des vulnérabilités trouvées étaient encore ouvertes.
Le point n'est pas la technologie. Le point est la prémisse sur laquelle repose presque toute la tech due diligence dans le Private Equity : que le logiciel utilisé par les sociétés en portefeuille est raisonnablement sûr s'il est répandu, tenu à jour et exempt de CVE connus. Cette prémisse est fragile.
Ce que cela signifie pour ceux qui investissent dans des entreprises technology-dependent
Presque chaque entreprise en 2026 est technology-dependent, même si elle n'est pas une entreprise tech. ERP, CRM, système de production, infrastructure cloud, site e-commerce — si l'un d'eux s'arrête ou est compromis, l'EBITDA en souffre.
La tech due diligence traditionnelle recherche trois choses : que les systèmes fonctionnent, qu'ils soient scalables et qu'ils n'aient pas de dette technique évidente. C'est une évaluation correcte mais incomplète. Elle ne mesure pas l'exposition aux risques inconnus — exactement la catégorie que le Project Glasswing a démontré être significative même dans les logiciels les plus matures et révisés au monde.
Pour un fonds PE, cela se traduit par une question concrète : si nous investissons dans une entreprise avec une base de code propriétaire développée en interne au cours des dix dernières années, quelle est la probabilité qu'elle contienne des vulnérabilités critiques non découvertes ? La réponse honnête, à la lumière des données Anthropic, est très élevée.
Comment change la tech due diligence
Le problème avec la tech due diligence actuelle n'est pas la compétence de ceux qui la font — c'est l'échelle. Une équipe de 3-4 personnes en 4 semaines peut analyser l'architecture, la qualité du code, la documentation. Elle ne peut pas faire une recherche de vulnérabilités systématique sur 500 000 lignes de code propriétaire.
L'IA change cette équation.
Claude peut analyser des bases de code entières à la recherche de catégories de vulnérabilités connues : gestion d'entrées non assainies, utilisation de bibliothèques avec des CVE ouvertes, configurations d'authentification risquées. Ce n'est pas équivalent à un test de pénétration complet, mais c'est un ordre de grandeur plus scalable.
Le résultat pratique est qu'il est aujourd'hui possible d'obtenir lors d'une due diligence une carte du risque technologique incluant non seulement la dette technique visible, mais aussi des catégories de risque de sécurité traditionnellement ignorées par manque de temps.
Pour les équipes qui utilisent déjà Claude pour la due diligence documentaire, l'ajout d'une dimension d'analyse de sécurité est une extension naturelle du workflow existant.
Vous réévaluez le risque tech dans vos sociétés en portefeuille ?
30 minutes pour discuter de votre cas spécifique.
L'IA pour accélérer la DD et le suivi du portefeuille
La tech due diligence renforcée par l'IA ne s'arrête pas à la phase de pré-closing. La valeur s'étend tout au long du cycle de vie de l'investissement.
Lors de la due diligence, Claude peut analyser la base de code propriétaire de la cible, cartographier les dépendances aux bibliothèques tierces, évaluer la maturité des pratiques de sécurité de l'équipe de développement.
Post-closing, le suivi du risque technologique peut être partiellement automatisé. Claude peut analyser périodiquement les logs de sécurité, surveiller l'émergence de nouvelles CVE impactant les bibliothèques utilisées, produire des rapports de situation pour l'équipe de gestion.
L'intégration avec les systèmes existants — via MCP — permet à Claude d'accéder de manière structurée aux données des sociétés en portefeuille sans nécessiter de transferts manuels d'informations.
Le risque réputationnel et opérationnel souvent sous-estimé
Un incident de sécurité dans une société en portefeuille n'est pas seulement un problème opérationnel. Il a des implications plus larges.
Sur le front réglementaire, NIS2 — entré en vigueur en Europe — impose des obligations significatives aux entreprises dans des secteurs critiques. Une société en portefeuille non conforme expose le fonds à des risques qui n'émergent pas toujours dans la due diligence standard.
Sur le front des sorties, un acheteur faisant une due diligence post-incident trouvera le problème et l'utilisera comme levier de négociation sur le prix. Résoudre le problème avant la sortie — même partiellement — améliore la qualité du processus.
Les considérations sur la due diligence IA dans le PE s'appliquent ici aussi : l'IA n'élimine pas le risque, mais abaisse le coût de l'identifier avant qu'il ne devienne un problème.
Comment Maverick AI travaille avec les fonds Private Equity
Maverick AI est le partenaire d'implémentation de référence en Italie pour l'écosystème Anthropic. Nous travaillons avec des fonds PE sur deux fronts principaux.
Dans la tech due diligence, nous accompagnons les équipes de deal dans la construction de workflows Claude pour l'analyse des bases de code cibles, l'identification des dépendances risquées et la production de rapports de risque de sécurité intégrables dans les mémos d'investissement standard.
Dans le suivi du portefeuille, nous aidons à construire des systèmes de supervision du risque technologique dans les sociétés en portefeuille qui s'intègrent avec les processus de reporting existants.
Nous avons des clients actifs en M&A advisory et un pipeline dans le PE. Si vous réévaluez le risque tech dans vos sociétés en portefeuille ou souhaitez comprendre comment intégrer Claude dans la due diligence, contactez-nous.