Le logiciel d'Anthropic trouve de graves failles de sécurité

L'IA d'Anthropic a identifié des vulnérabilités critiques dans des logiciels largement utilisés, comme Chrome, Safari, Android, Windows et Linux. Ces failles pourraient permettre à des attaquants de prendre le contrôle d'appareils avec une interaction minimale de la part de l'utilisateur.

L'IA découvre des vulnérabilités dans les grandes plateformes

Les vulnérabilités ont été découvertes dans de grandes plateformes sur lesquelles des milliards d'utilisateurs comptent chaque jour, notamment les navigateurs web, les systèmes d'exploitation et les plateformes mobiles. Ces failles ne se limitent pas à des logiciels obscurs ou de niche.

Un modèle interne identifie et exploite des failles

La Frontier Red Team d'Anthropic a utilisé un modèle d'IA interne pour détecter ces vulnérabilités et mettre au point des attaques fonctionnelles. Ce modèle n'a pas été commercialisé et n'a été utilisé que pour la recherche en sécurité.

Une attaque contre Chrome ne nécessite qu'un seul clic

L'une des attaques les plus remarquables visait Chrome : un seul clic sur une page web malveillante suffisait à lancer automatiquement l'application Calculatrice. Cela a montré comment un attaquant pouvait exécuter des programmes arbitraires sur l'ordinateur d'un utilisateur.

Contourner la sécurité du navigateur grâce à plusieurs failles

Pour contourner le bac à sable (sandbox) de Chrome, l'IA a combiné quatre vulnérabilités distinctes. Ces failles lui ont permis de corrompre la mémoire, de prendre le contrôle de la page et, finalement, de sortir du bac à sable pour exécuter des commandes.

Une vulnérabilité de Linux permet des attaques sans clic

Une vulnérabilité de Linux, connue sous le nom de CVE-2026-98432, a permis une attaque « zero-click » capable de prendre le contrôle total d'un serveur sans aucune action de l'utilisateur. Cette faille exploitait une situation de concurrence (race condition) entre deux cœurs de processeur.

Une attaque sur Linux n'a demandé que 53 minutes

Lors du test d'Anthropic, l'IA a cartographié la mémoire du noyau en 48 minutes, puis a exécuté des commandes administrateur en seulement cinq minutes de plus. Cela montre à quelle vitesse une attaque pourrait être menée dans des scénarios réels.

Le principe de même origine de Safari contourné

Sur Safari, l'IA a contourné la politique de même origine (same-origin policy), qui empêche normalement les sites web d'accéder aux données d'autres sites. Cela a permis à l'IA d'accéder à des informations sensibles comme l'historique de navigation et les cookies.

L'IA contourne la sécurité d'un téléphone sans le déverrouiller

Sur un Pixel 9 verrouillé, l'IA a combiné trois vulnérabilités pour extraire des photos via USB, sans déverrouiller l'appareil ni saisir de code de vérification. Cela souligne le risque de graves atteintes à la sécurité.

Une attaque sur les serveurs HTTP/3 provoque des boucles infinies

Quelques paquets envoyés à des serveurs HTTP/3 ont suffi à les faire boucler indéfiniment. Cela pourrait entraîner de graves perturbations pour des millions de machines utilisant ce protocole.

L'IA transforme le paysage de la cybersécurité

La découverte de ces vulnérabilités intervient peu après PHP2Shell, un autre événement de sécurité lié à l'IA. Cela suggère que l'IA accélère le rythme de la recherche en cybersécurité et des menaces.

PHP2Shell impliquait des failles restées longtemps dormantes

PHP2Shell a révélé deux vulnérabilités anciennes dans PHP, un langage utilisé par 70 % des sites web. Ces failles permettaient à des attaquants de prendre le contrôle de serveurs sans mot de passe, ce qui met en lumière les risques liés au code obsolète.

L'IA trouve de nouvelles vulnérabilités plus rapidement

Alors que PHP2Shell se concentrait sur un seul logiciel, l'IA d'Anthropic cible certains des systèmes les plus sécurisés de la planète et combine plusieurs vulnérabilités en attaques complètes, avec un minimum d'intervention humaine.

L'IA désassemble du code complexe à la recherche de failles

Sous Windows, l'IA a analysé du code complexe, difficile à lire pour un humain, en le traduisant en code lisible afin d'identifier des failles cachées. Cela démontre la capacité de l'IA à découvrir des vulnérabilités dans des logiciels de qualité industrielle.

Le modèle d'Anthropic reste privé

Bien qu'Anthropic ait communiqué les vulnérabilités aux éditeurs de logiciels, l'entreprise reste discrète sur l'ampleur de l'assistance humaine impliquée. Elle souligne que toutes les failles ont été signalées et corrigées avant leur divulgation publique.

Les professionnels de la sécurité ont accès à des modèles puissants

Anthropic propose l'accès à ses modèles avancés aux professionnels de la sécurité qualifiés. Elle recommande également d'utiliser son outil, Claude Code, pour analyser les modifications de code et renforcer la sécurité.

Le public doit privilégier les mises à jour logicielles

Le grand public est invité à installer rapidement les mises à jour des navigateurs, des téléphones et des ordinateurs. Avec les progrès rapides de l'IA, un simple jour de retard dans les mises à jour peut accroître les risques pour la sécurité.