Un bug caché pendant 27 ans
OpenBSD est l'un des systèmes d'exploitation les plus utilisés pour les infrastructures critiques dans le monde. Il est connu pour son attention maniaque à la sécurité. Des décennies de révisions manuelles, des milliers d'yeux experts sur le code.
Claude a trouvé une vulnérabilité qui était là depuis 27 ans.
Dans la même période, il a identifié un bug dans FFmpeg — une bibliothèque utilisée par des milliards d'appareils pour la gestion de la vidéo et de l'audio — qui avait réussi cinq millions de tests automatisés sans être détecté. Et une série de vulnérabilités dans le noyau Linux et dans FreeBSD, dont une Remote Code Execution permettant d'écrire du contenu arbitraire sur la pile du système.
Ce ne sont pas des exploits construits en laboratoire. Ce sont des failles dans des logiciels qui tournent sur des serveurs, des smartphones, des infrastructures financières, des hôpitaux. Le fait qu'ils aient été trouvés par un modèle IA est un changement de paradigme dans la sécurité informatique.
Ce qu'est le Project Glasswing et pourquoi il a été créé
Le Project Glasswing est l'initiative par laquelle Anthropic a décidé d'utiliser ces capacités de manière proactive et collaborative.
L'objectif est de protéger les logiciels critiques mondiaux — ceux sur lesquels reposent les infrastructures numériques mondiales — en utilisant Claude pour trouver les vulnérabilités avant que des acteurs malveillants ne le fassent.
L'idée de fond est simple : l'IA qui rend possible la recherche de ces vulnérabilités est la même IA qui pourrait être utilisée pour les exploiter. Mieux vaut l'utiliser en défense, de manière coordonnée et transparente, avec des divulgations responsables aux mainteneurs des logiciels concernés.
Qui participe et combien on investit
La liste des partenaires de Glasswing ressemble à un annuaire des principaux acteurs technologiques mondiaux : AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks.
Il ne s'agit pas d'endorsements symboliques. Les chiffres engagés sont concrets : 100 millions de dollars en crédits IA mis à disposition du projet, 2,5 millions à la Linux Foundation et à l'Open Source Security Foundation, 1,5 million à l'Apache Software Foundation.
Ces organisations gèrent le code sur lequel repose internet : le noyau Linux, Apache, des dizaines de bibliothèques fondamentales utilisées par presque toutes les applications logicielles existantes. Amener l'IA dans cet écosystème est une décision avec des effets en cascade sur tous les logiciels mondiaux.
L'IA accélère plus vite qu'il n'y paraît. Êtes-vous prêt ?
30 minutes pour discuter de votre cas spécifique.
Ce qu'il a trouvé jusqu'à présent
Au-delà des cas déjà mentionnés, les capacités démontrées par Claude dans le cadre de Glasswing sont techniquement significatives. Buffer overflow, vulnérabilités use-after-free, heap corruption — les catégories de failles les plus dangereuses dans les systèmes modernes.
Ce qui frappe, c'est non seulement la capacité à trouver ces bugs, mais de le faire sur des systèmes hardened avec toutes les protections modernes actives : randomisation de la mémoire, protection de la pile, application de la non-exécution des données.
Au moment de la publication des résultats, plus de 99 % des vulnérabilités trouvées étaient encore ouvertes. Cela signifie que pendant des mois — parfois des années — ces failles étaient là, exploitables par quiconque les découvrait en premier.
Pourquoi Anthropic publie au lieu de garder le secret
C'est une question légitime. Si vous avez un modèle IA capable de trouver des vulnérabilités dans les systèmes les plus sécurisés au monde, pourquoi l'annoncer publiquement ?
La réponse d'Anthropic est cohérente avec sa philosophie : la transparence est plus sûre que le secret. Les capacités existent déjà — les cacher ne les élimine pas, elles les rend seulement moins prévisibles. Les rendre publiques permet à l'industrie de se préparer et de coordonner les défenses.
Il y a aussi une considération pratique : une IA qui trouve des vulnérabilités peut être utilisée par quiconque a accès à des modèles suffisamment avancés. La stratégie d'Anthropic est de choisir la défense proactive plutôt que l'obscurité.
Le signal pour les entreprises
Le Project Glasswing n'est pas seulement pertinent pour les équipes de sécurité informatique. C'est un signal sur la vitesse à laquelle l'IA change des secteurs et des processus qui semblaient stables.
Si l'IA est déjà capable de cela dans la sécurité des logiciels, que se passe-t-il dans les analyses financières, la révision juridique, l'automatisation industrielle ? La réponse est : bien plus que la plupart des entreprises ne le considèrent actuellement.
Le risque n'est pas technologique. Il est stratégique. Ceux qui commencent à comprendre comment intégrer ces outils aujourd'hui construisent un avantage qui s'accumule dans le temps. Ceux qui attendent trouvent un fossé de plus en plus difficile à combler. Avec Maverick AI, nous aidons les entreprises à comprendre par où commencer et à mesurer le retour dès le premier projet.