Français
La recherche en sécurité assistée par l’IA en est arrivée au point où « le modèle a trouvé un bug » peut désigner une faille reproductible que les responsables du logiciel corrigent réellement. C’est encourageant pour les défenseurs et inconfortable pour ceux qui espèrent que leurs vieux logiciels ont déjà livré toutes leurs surprises.
Trois évolutions récentes illustrent différents aspects de cette histoire : le rapport d’Anthropic sur des centaines de vulnérabilités, sa collaboration avec Mozilla et la série distincte MAD Bugs de Calif. Ensemble, elles donnent de solides raisons de prendre cette technologie au sérieux. Elles méritent aussi de rester bien distinctes.
D’où vient le chiffre de 500
Le 5 février, Anthropic a déclaré avoir trouvé et validé plus de 500 vulnérabilités de gravité élevée pendant ses travaux avec Claude Opus 4.6. Ses chercheurs ont décrit l’examen de projets open source, la vérification de découvertes potentielles et le début d’une coordination des correctifs.
L’entreprise a indiqué qu’elle validait les rapports avant de les transmettre aux responsables des projets, des chercheurs humains se chargeant de la validation et du développement des correctifs. Les exemples publiés comprenaient Ghostscript, OpenSC et CGIF.
Il s’agit du total rapporté par Anthropic, pas de 500 bugs trouvés par Calif pendant le mois d’avril. « Gravité élevée » ne signifie pas non plus que chaque découverte donne immédiatement à n’importe quel attaquant le contrôle de tout ordinateur exécutant le logiciel. L’exposition et l’exploitabilité dépendent de la faille précise.
Mozilla donne un exemple concret de correctifs intégrés
Mozilla a décrit sa collaboration le 6 mars. Anthropic a fourni des cas de test reproductibles ; les ingénieurs de Firefox ont vérifié les problèmes et intégré les correctifs dans Firefox 148.
Mozilla a fait état de 14 bugs de gravité élevée et de 22 CVE issus de ces travaux, ainsi que de 90 autres bugs d’importance variable. Ces chiffres décrivent des catégories différentes. Il ne faut pas les additionner pour affirmer qu’il s’agissait de 112 prises de contrôle à distance critiques.
Les exemples reproductibles constituent une part importante du résultat. Un paragraphe convaincant sur un bug éventuel est facile à générer. Un petit test démontrant le problème donne au responsable du projet un élément sur lequel agir.
Le résultat est plutôt satisfaisant : un outil trouve une faiblesse, des personnes la vérifient, un correctif est diffusé et les utilisateurs reçoivent un meilleur logiciel. La dernière étape n’a pas l’attrait cinématographique d’un pirate dans une pièce sombre, mais c’est celle qui est utile.
MAD Bugs est une initiative de Calif
Les chercheurs en sécurité de Calif ont lancé Month of AI-Discovered Bugs, annonçant une série de découvertes jusqu’à la fin avril. Leur approche associe modèles d’IA et expertise humaine.
Leur compte rendu du 30 mars portait sur Vim et GNU Emacs. Ces rapports de recherche sont distincts du total annoncé par Anthropic en février et de la collaboration avec Mozilla.
L’avis du projet Vim concernant CVE-2026-34714 décrit une chaîne impliquant des lignes de configuration modeline et une sortie du bac à sable. Dans les versions affectées, l’ouverture d’un fichier spécialement conçu pouvait entraîner l’exécution de commandes avec les privilèges de l’utilisateur. La description technique de l’avis désigne le correctif 9.2.0272 comme la solution.
Pour Emacs, le rapport de Calif décrit un fichier situé dans un répertoire contenant des métadonnées Git contrôlées par un attaquant. Des opérations automatiques de gestion de versions pouvaient alors déclencher l’exécution de commandes. C’est plus précis que d’affirmer que tout fichier texte ordinaire est un piège.
Calif affirme que les responsables d’Emacs ont refusé l’intervention proposée et attribué le problème à Git. C’est le récit de leur réponse par les chercheurs. Il souligne une frontière de confiance délicate entre outils ; il ne démontre pas que les responsables se désintéressent de la sécurité.
L’exploit FreeBSD partait d’un avis publié
FreeBSD a publié son avis concernant CVE-2026-4747 le 26 mars, en créditant Nicholas Carlini, qui utilisait Claude chez Anthropic. Il décrit une faille de validation de tampon dans RPCSEC_GSS et fournit les détails de la correction. L’exposition du noyau dépend du module concerné et de la configuration du service ; posséder une machine FreeBSD ne décrit pas à lui seul tout le scénario d’attaque.
Calif a ensuite rapporté une expérience de développement d’exploits le 31 mars. À partir de cet avis déjà public, l’équipe affirme que Claude a aidé à construire un environnement de test et produit des exploits fonctionnels permettant d’obtenir un accès root à distance.
La durée rapportée était d’environ huit heures écoulées, dont à peu près quatre heures de travail actif du modèle. L’historique publié des instructions comporte des orientations et des corrections humaines. Présenter cet exercice comme une découverte ininterrompue et sans assistance de la vulnérabilité d’origine ferait oublier aussi bien le matériau de départ que l’intervention humaine.
Même avec ces limites, transformer un avis en exploitation démontrée est significatif. C’est simplement un résultat différent de la découverte indépendante d’un nouveau bug. Cette distinction en dit davantage sur la capacité que la formule « l’IA a piraté un système d’exploitation pendant le déjeuner ».
Trouver plus de bugs crée plus de travail et d’occasions d’agir
Il est raisonnable de craindre qu’une analyse plus rapide augmente la pression sur les responsables des projets. La réponse utile consiste à améliorer la qualité des rapports et à aider à la vérification, aux correctifs et aux tests. Envoyer une montagne d’avertissements plausibles à quelqu’un n’équivaut pas à l’aider à sécuriser un projet.
Ces exemples ne prouvent pas non plus que n’importe qui disposant d’un chatbot peut reproduire ces résultats sur n’importe quelle cible. Les modèles, les accès, les compétences de recherche, les outils et les garde-fous influencent tous ce qui est possible. La concurrence plus large dans la programmation par IA (en anglais) présente le même enjeu pratique : le processus de travail autour du modèle compte.
Pour les utilisateurs, l’action immédiate reste familière. Installer les mises à jour de sécurité prises en charge. Les utilisateurs de Vim et les administrateurs FreeBSD doivent confronter les avis fournis en lien à leurs propres versions et configurations. Les utilisateurs de navigateurs doivent maintenir leur version prise en charge à jour, plutôt que de considérer Firefox 148 comme une version à conserver indéfiniment.
La recherche assistée par l’IA produit des éléments utiles. Leur contribution à une meilleure sécurité dépend de la suite : confirmation, coordination, correctif juste et déploiement. Le chat apprécie peut-être de voir le curseur bouger tout seul, mais quelqu’un doit encore vérifier où il a cliqué.
Traduction française de l’article original en anglais du 2026-04-05. Traduction réalisée avec l’aide de l’IA le 2026-11-02 ; les références temporelles restent celles de l’original.
