IA11 novembre 2026Annoncé

Glasswing : 217 failles marquées corrigées sur 37 966 signalées

Le 9 novembre, VulnCheck, société qui suit les failles de sécurité, a publié un bilan du projet Glasswing d'Anthropic, qui utilise l'intelligence artificielle pour repérer des failles dans des logiciels libres : 217 corrigées sur 37 966 signalées, d'après les données d'Anthropic.

Selon VulnCheck, le registre d'Anthropic comptait 37 966 signalements au 2 novembre, contre 26 153 le 8 septembre. Seuls 7 349 (19,4 %) sont publics ; la plupart des autres attendent encore la fin du délai de divulgation, donc ce ratio ne mesure pas un taux d'échec. Les corrigés étaient 202 en septembre.
VulnCheck a recensé 442 failles publiques attribuées à Anthropic depuis avril, soit environ 0,5 % des 93 450 publiées cette année. D'après son catalogue, seules deux ont été exploitées par des pirates.
L'équipe de curl, un outil libre de transfert de données très répandu, a reçu d'Anthropic 45 rapports de failles présumées. Sur les 34 rapports déjà publiés par le responsable de curl, 19 sont classés « pas une faille », 6 de gravité faible, et 9 restent à évaluer.

Ce que ça change pour une direction

Classez vos correctifs selon les failles déjà exploitées par des pirates, par exemple dans le catalogue public américain des failles exploitées (KEV), plutôt que selon le nombre annoncé par un outil.
Avant de tester un outil d'IA qui cherche des failles dans votre code, prévoyez des experts pour trier ses rapports : d'après VulnCheck, ce tri pèse sur l'équipe de curl.
Demandez à tout fournisseur d'analyse de sécurité par IA son taux de faux signalements et le nombre de failles réellement corrigées, pas seulement le nombre de failles trouvées.

Sources :

En parler pour votre direction, 30 minutes

Analyse

Ce que Glasswing promettait

Anthropic avait annoncé le 7 avril avoir trouvé « des milliers » de failles de gravité haute ou critique dans des logiciels libres, rappelle VulnCheck. Le 8 octobre, en lançant OSS Scanner, un service gratuit d'analyse de code pour projets libres, Anthropic a reconnu n'avoir vérifié manuellement qu'environ 6 000 de ses 29 000 failles présumées, faute de personnes pour valider le reste.

Qui a produit quel chiffre

Les 37 966 signalements, les 217 corrigés, les 1 654 doublons (failles déjà signalées par quelqu'un d'autre) et les 419 retraits viennent du registre d'Anthropic. Le compte de 442 failles et le suivi des exploitations sont l'œuvre de VulnCheck, qui vend des données sur les failles. Les écarts relevés sur curl viennent de l'évaluation de son équipe, relayée par VulnCheck, et ne concernent que ce projet.

Les chiffres d'Anthropic face aux doutes de VulnCheck

VulnCheck met en doute le taux de 94,2 % de signalements justes affiché par Anthropic, et rappelle que le responsable de curl avait écrit en mai que cinq failles présumées trouvées par Mythos, outil d'IA d'Anthropic, n'avaient abouti qu'à une seule faille confirmée. En octobre, d'après Help Net Security, Anthropic citait 97 failles graves examinées par des testeurs d'intrusion sur 48 projets, avec une version préliminaire de son outil d'analyse de code : 85 répondent à ses critères de divulgation, 11 doublonnent des failles connues, une est invalide.