On savait que les modèles d'IA savaient écrire du code, on découvre cette année, de plus en plus qu'ils savent aussi le casser à une échelle qui dépasse l'entendement, et le projet fwupd vient d'en faire les frais d'une manière assez spectaculaire avec sa version 2.0.21, qui rattrape à elle seule plus de 250 problèmes de sécurité potentiels détectés sur les trois derniers mois, par des scanners de vulnérabilités pilotés par l'intelligence artificielle.

Derrière cette vague de correctifs, il y a surtout Mythos, le modèle développé par Anthropic, retiré depuis sur ordre des autorités américaines, et entraîné spécifiquement pour fouiller du code à la recherche de failles exploitables. Et les chiffres de son programme baptisé Project Glasswing donnent le vertige, puisqu'en passant au peigne fin plus de 1000 projets open source, Mythos a pointé environ 23 000 vulnérabilités potentielles, dont près de 1700 ont déjà été confirmées par des sociétés de sécurité externes et plus de 1000 classées graves ou critiques.

fwupd, c'est justement l'un de ces projets passés au crible. Pour rappel, ce logiciel libre est la brique qui s'occupe de mettre à jour le firmware de vos machines sous Linux (le firmware, c'est le petit programme gravé au plus près du matériel, dans la carte mère ou le SSD, et qui démarre avant même le système d'exploitation). Il alimente le LVFS (Linux Vendor Firmware Service), une sorte de magasin centralisé où les fabricants déposent leurs mises à jour, et d'où des millions de PC sous Linux viennent piocher de quoi se mettre à niveau sans bricoler dans le BIOS.

C'est Richard Hughes, le développeur de Red Hat qui pilote fwupd depuis des années, qui a fait le ménage. La 2.0.21 n'apporte volontairement aucune fonctionnalité nouvelle, puisque Hughes s'est contenté de rapatrier les correctifs déjà passés dans la branche récente 2.1.x vers la vieille branche 2.0.x, celle sur laquelle restent accrochées les distributions stables qui n'aiment pas changer de version dans leurs dépôts officiels, du genre Debian ou les déclinaisons pensées pour l'entreprise. Du coup, même les serveurs et les postes figés sur du logiciel volontairement ancien profitent du nettoyage.

Alors il faut quand même relativiser. Sur ces 250 problèmes, on parle de soucis potentiels, pas de portes grandes ouvertes activement exploitées par des pirates, et une bonne partie ne serait sans doute jamais devenue une vraie attaque dans la nature. Sauf que voilà, fwupd est un composant qui s'exécute avec les pleins pouvoirs (root) et qui avale des fichiers de firmware fournis par des tiers. Un bug dans sa façon de lire ces fichiers, et c'est potentiellement la machine entière qui tombe, voire un firmware vérolé qui finit gravé dans le matériel, là où aucun antivirus ne va jamais regarder.

(Mise à jour : au passage j'avais conclu n'importe quoi dans la précédente version de l'article, puisque j'avais écrit que les failles étaient dans le firmware, ce qui est bien sûr une erreur, merci au lecteur qui nous l'a fait remarquer !)

Source : Phoronix

Depuis le gel de Claude Mythos par Washington, OpenAI occupe le terrain de l'IA cyber offensive-défensive. Le 22 juin, l'entreprise a annoncé une série de mises à jour substantielles de sa plateforme Daybreak.

Le gouvernement américain a ordonné le 12 juin la désactivation immédiate de Fable 5 et Mythos 5, invoquant la sécurité nationale après la découverte d'un possible jailbreak. Anthropic se conforme à la directive tout en contestant publiquement sa légitimité.

Anthropic a publié un article de blog détaillant, chiffres internes à l'appui, les progrès de Claude dans le développement de ses propres modèles, et les implications que l'entreprise en tire pour l'avenir de l'IA.

Après plusieurs semaines de tractations entre Anthropic et les institutions européennes, l'agence de cybersécurité de l'UE devrait obtenir un accès à Claude Mythos, le modèle d'IA le plus puissant, et le plus restreint, jamais développé par la startup américaine. Une première pour un organisme européen.

Anthropic a mis à jour son modèle phare avec Opus 4.8, sorti le 28 mai. Les benchmarks sont au rendez-vous. Mais le communiqué officiel laisse entendre que cette version n'est peut-être qu'une transition avant un saut d'échelle inédit.

Le géant américain des infrastructures internet Cloudflare a soumis le modèle de cybersécurité d'Anthropic à l'épreuve de ses propres dépôts de code. Les enseignements, tout juste publiés dans un article de blog, sont précieux, et les mises en garde le sont encore plus.

OpenAI a présenté, le 11 mai 2026, Daybreak, une plateforme d’IA dédiée à la cybersécurité. L’entreprise entre à son tour dans la course aux IA spécialisées dans la cyberdéfense, quelques semaines après les annonces d’Anthropic autour de Claude Mythos.

Selon Bloomberg, un petit groupe d’utilisateurs issus d’un groupe Discord aurait eu accès à Claude Mythos, le modèle hyper‑restreint d’Anthropic, contournant ainsi les protections du modèle d'IA le plus scruté du moment.

Présenté comme un modèle d’IA capable de découvrir des milliers de failles critiques inédites, Mythos d’Anthropic a suscité un véritable emballement après sa fuite. Mais derrière les annonces spectaculaires, la réalité apparaît bien plus nuancée : comme le souligne Tom's Hardware, ces performances reposent en grande partie sur des extrapolations à partir de données limitées.

Alors qu'Anthropic officialisait, le 7 avril 2026, le lancement de Claude Mythos Preview, son modèle le plus puissant à ce jour, c'est un incident documenté dans la fiche technique du modèle qui a capté l'attention : une version antérieure du modèle a réussi à s'échapper de son environnement de test et à contacter un chercheur de sa propre initiative.

Le 7 avril 2026, Anthropic a officiellement lancé Project Glasswing, une initiative de cybersécurité adossée à son nouveau modèle Claude Mythos Preview. Un modèle jugé si dangereux que l'entreprise refuse de le rendre public.