Une IA repère plusieurs failles logicielles

Une version expérimentale de Claude, l'IA développée par Anthropic, a repéré et combiné plusieurs failles de sécurité dans des systèmes logiciels majeurs comme Chrome, Safari, Android, Windows et Linux. Cela montre que l'IA peut servir à la fois à trouver et à corriger les vulnérabilités des systèmes numériques.

Tester les capacités de l'IA en cybersécurité

L'équipe Frontier Red Team d'Anthropic a testé l'IA pendant plusieurs mois afin de comprendre ses capacités et ses risques. L'IA a utilisé plusieurs outils pour analyser des logiciels complexes, certains agents examinant le code, d'autres cherchant des moyens d'accéder à des données protégées ou de contourner des restrictions de sécurité.

Exploiter les vulnérabilités des navigateurs

Sur Chrome, l'IA a trouvé une série de quatre failles. Les deux premières lui ont permis de corrompre la mémoire du moteur JavaScript et de prendre le contrôle de la manière dont le navigateur affiche les contenus. Les deux autres lui ont permis de sortir des limites de sécurité du navigateur et d'exécuter du code sur l'ordinateur de l'utilisateur. Lors des tests, cela a conduit à l'ouverture automatique de l'application Calculatrice lors de l'ouverture d'une page web.

Accéder à des données protégées sur d'autres plateformes

L'IA a trouvé des moyens d'accéder à des données qui devraient être protégées sur Safari et Android, comme des informations provenant d'autres sites web ou des photos sur un téléphone verrouillé. Sur Windows, elle a provoqué le plantage d'un serveur distant et, sur Linux, elle a exploité une faille du noyau pour exécuter des commandes avec des privilèges d'administrateur complets sur un serveur distant, sans aucune interaction de l'utilisateur.

Signaler et corriger les failles

Anthropic a signalé à Google 62 vulnérabilités critiques ou de gravité élevée dans Chrome. Google les a corrigées dans Chrome 156 et a crédité Anthropic pour certaines de ces découvertes. La capacité à créer des exploits fonctionnels aide les développeurs à comprendre l'impact réel de chaque faille et à décider lesquelles corriger en priorité.

Concilier défense et risques

Anthropic suggère d'utiliser l'IA pour vérifier chaque modification de code afin de détecter les vulnérabilités avant qu'elles n'atteignent les utilisateurs. L'entreprise donne aussi accès à ses modèles les plus puissants à certains experts en cybersécurité pour accélérer la découverte de failles. Toutefois, ces mêmes capacités pourraient être utilisées par des acteurs malveillants pour trouver et exploiter plus facilement des faiblesses, ce qui pourrait abaisser le seuil d'entrée pour les attaques.