Un modèle d'IA a détecté plus de 10 000 vulnérabilités de gravité élevée ou critique dans des logiciels essentiels en environ 30 jours. Certaines de ces failles étaient cachées à plaines vue pendant près de trois décennies.
Project Glasswing, lancé par Anthropic le 7 avril 2026, utilise un modèle IA non publié appelé Claude Mythos Preview pour analyser automatiquement les bases de code à la recherche de failles de sécurité.
Bugs qui ont survécu à leurs créateurs
Parmi les milliers de vulnérabilités découvertes, deux se distinguent par l’absurdité de leur ampleur. L’IA a identifié une vulnérabilité de défaillance à distance âgée de 27 ans dans OpenBSD, un système d’exploitation construit autour de la sécurité comme philosophie fondamentale. Elle a également signalé une faille de 16 ans dans FFmpeg, le cadre multimédia largement utilisé, qui avait réussi à échapper à la détection par plus de cinq millions de tests automatisés.
Le projet n’a pas seulement découvert des bogues anciens. Des milliers de vulnérabilités zero-day auparavant inconnues ont été identifiées sur tous les principaux systèmes d’exploitation et navigateurs web.
Cloudflare, l'un des partenaires du projet, a fourni une vue concrète des chiffres issus de sa collaboration interne. L'entreprise a signalé environ 2 000 bogues détectés grâce à ce partenariat, dont 400 classés comme ayant une gravité élevée ou critique. Le taux de faux positifs était nettement inférieur à celui des méthodes de détection traditionnelles.
Jusqu'à présent, seule une vulnérabilité a été divulguée publiquement avec un identifiant CVE formel : CVE-2026-4747.
Le consortium derrière la scène
Les partenaires du consortium principal incluent AWS, Apple, Microsoft, Google, Cisco, CrowdStrike, NVIDIA, Palo Alto Networks, Broadcom, la Linux Foundation et JPMorgan Chase. IBM a rejoint le groupe le 19 mai 2026.
Anthropic a alloué jusqu'à 100 millions de dollars en crédits de calcul pour le projet, ainsi que 4 millions de dollars de subventions destinés à des groupes de sécurité à code source ouvert. L'objectif déclaré est défensif : découvrir les vulnérabilités avant que des outils offensifs alimentés par l'IA ne le fassent.