TL;DR : L’essentiel
- Les modèles de langage atteignent désormais un taux d’identification supérieur à 85% sur le banc d’essai CyberGym, contre moins de 20% au début de l’année précédente, ce qui améliore nettement la qualité des signalements transmis.
- Les ingénieurs ont repéré plus de 29’000 failles potentielles en six mois mais la vérification humaine n’a pu traiter qu’environ 6’000 cas, créant un goulot d’étranglement qui justifie l’automatisation directe des signalements sans relecture préalable.
- Les responsables de projets ont déjà sollicité et reçu près de 5’000 rapports bruts accompagnés de correctifs suggérés, préférant traiter des résultats non validés plutôt que de laisser des vulnérabilités exposées à des attaques rapides.
- Le programme associe également des spécialistes comme CrowdStrike ou Palo Alto Networks pour étendre ces analyses aux infrastructures critiques et aux administrations publiques américaines confrontées à un manque sévère de ressources techniques.
Anthropic met à disposition des projets open source son outil OSS Scanner, un service d’audit gratuit basé sur l’intelligence artificielle pour identifier et corriger les failles avant leur exploitation malveillante. Cette initiative fait suite aux enseignements tirés du projet Glasswing, au cours duquel les modèles Claude ont servi à traquer les faiblesses logicielles. En ouvrant ce dispositif sans frais aux mainteneurs du monde entier, le laboratoire technologique cherche à sécuriser des briques de code partagées qui soutiennent l’ensemble des systèmes d’information modernes, selon The Hacker News.
Les modèles Claude transforment la détection des failles logicielles
Les progrès récents des modèles de fondation ont modifié l’efficacité des audits automatisés au sein des dépôts de code. Sur le banc d’essai académique CyberGym, les systèmes d’apprentissage automatique sont passés en un an d’un taux de découverte inférieur à 20% à plus de 85% de vulnérabilités repérées. Cette progression permet aux développeurs de recevoir des analyses techniques exploitables et des propositions de correctifs, loin des signalements imprécis générés par les premières versions d’assistants numériques.
Le service fonctionne sur une base volontaire et s’inspire du projet OSS-Fuzz de Google, qui teste en continu la robustesse des programmes par injection aléatoire de données. Dans un billet technique publié par Anthropic, l’organisation précise que ses modèles les plus performants, notamment Claude Mythos, exécutent des analyses régulières et complètes du code source sans réclamer de compensation financière aux projets communautaires.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Le volume massif de vulnérabilités impose une transmission sans filtre
Au cours des six derniers mois, les analyses menées sur des briques logicielles critiques ont mis en évidence plus de 29’000 vulnérabilités potentielles. Les équipes de recherche n’ont toutefois réussi à trier et valider manuellement qu’environ 6’000 de ces dossiers, ce qui a créé un engorgement opérationnel important. Face à ce goulot d’étranglement, la divulgation coordonnée classique ne permettait plus de suivre le rythme imposé par l’analyse algorithmique.
De nombreux mainteneurs de logiciels libres ont donc réclamé l’accès direct à l’ensemble des résultats bruts, acceptant le risque d’inexactitudes ou de faux positifs pour accélérer la sécurisation de leurs dépôts. Anthropic a ainsi déjà expédié près de 5’000 signalements non vérifiés accompagnés d’ébauches de correctifs à des équipes demandeuses. La création d’une voie rapide automatisée répond à cette urgence, les attaquants concevant désormais des méthodes d’exploitation en quelques minutes à peine.
Analyse
L’initiative d’Anthropic avec son OSS Scanner apporte une réponse bienvenue pour l’écosystème open source. Quand on connaît l’omniprésence de ces développements dans tous les logiciels, l’analogie avec les subprimes prend tout son sens : cette démarche aide à éviter une crise des vulnérabilités dissimulées au cœur d’innombrables solutions informatiques.
Les partenariats industriels protègent les services essentiels
Cette démarche en faveur des logiciels ouverts s’intègre dans un plan défensif plus vaste ciblant les infrastructures critiques. Comme le rapporte CyberScoop, le programme associe les modèles d’intelligence artificielle à des acteurs spécialisés tels que CrowdStrike, Palo Alto Networks et Deloitte. L’objectif consiste à épauler les exploitants de réseaux d’énergie ou de distribution d’eau, ainsi que plus de la moitié des États américains, face aux pénuries structurelles d’experts en sécurité.
À long terme, les concepteurs du programme souhaitent automatiser l’essentiel du tri et de la correction de code, tout en établissant de nouvelles normes d’architecture logicielle. Cette diffusion d’outils défensifs gratuits répond à la crainte partagée avec d’autres acteurs comme OpenAI de voir des groupes hostiles détourner les capacités offensives des modèles avant que les organisations légitimes ne sécurisent leurs accès.
En assainissant gratuitement les briques libres qui soutiennent les infrastructures mondiales, le déploiement d’OSS Scanner neutralise des faiblesses structurelles comparables à des actifs toxiques enfouis dans l’économie numérique. Cette accélération de la correction logicielle offre aux défenseurs un levier nécessaire pour devancer la création automatisée d’exploits malveillants.
Questions fréquentes sur OSS Scanner et la sécurité open source
Qu’est-ce que le service OSS Scanner développé par Anthropic ?
OSS Scanner est un service d’audit de sécurité gratuit destiné aux logiciels libres et open source. Il utilise les modèles de langage de la gamme Claude pour analyser périodiquement le code et identifier des vulnérabilités potentielles. Le dispositif fournit aux responsables de projets des explications techniques ainsi que des suggestions de correctifs.
Pourquoi les rapports de vulnérabilités sont-ils transmis sans vérification humaine ?
L’analyse automatisée a découvert des dizaines de milliers de failles potentielles, créant un volume impossible à valider manuellement par les équipes d’Anthropic. Pour éviter tout retard face à des attaquants capables d’écrire des exploits en quelques minutes, les développeurs volontaires reçoivent directement les résultats bruts. Cette méthode accélère la correction tout en assumant la présence possible d’inexactitudes.
Quelle est la différence entre OSS Scanner et Claude Security ?
Claude Security est une solution payante conçue pour les entreprises qui souhaitent auditer et corriger le code de leurs systèmes internes. À l’inverse, OSS Scanner est entièrement gratuit et réservé aux projets communautaires open source sur adhésion volontaire. Il s’inspire du modèle d’évaluation continue initié par des programmes comme OSS-Fuzz de Google.
En quoi la sécurisation du code open source réduit-elle le risque systémique ?
Les composants logiciels libres sont intégrés dans la quasi-totalité des systèmes d’information des entreprises et des infrastructures vitales. Une faille non détectée dans une bibliothèque partagée fragilise l’ensemble de la chaîne applicative, à l’image des risques financiers diffusés par les crédits toxiques. En éliminant ces faiblesses à la racine, le scanner protège l’ensemble des services dépendants.
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions.
