Anthropic a découvert 129 000 vulnérabilités, puis a resserré l’accès

Le 6 octobre, Anthropic a élargi son programme de vérification cyber, officialisant une structure à trois niveaux pour déterminer qui obtient l’accès à ses modèles les plus performants en cybersécurité. Le calendrier raconte l’histoire. L’entreprise venait de publier des chiffres montrant que Project Glasswing, son programme de vulnérabilités à accès contrôlé, avait produit au moins 129 000 vulnérabilités logicielles vérifiées entre avril et juillet 2026, dont plus de 33 000 classées critiques ou élevées.

Une entreprise au sommet d’une démonstration prouvant que ses modèles sont exceptionnellement doués pour casser du logiciel a choisi ce moment pour restreindre davantage l’accès. Comprendre pourquoi exige d’examiner ce que les trois niveaux contrôlent réellement, et ce que les chiffres de Glasswing laissent de côté.

Trois niveaux, trois contrôles différents

L’Accès Défense est le niveau le plus large. Il couvre les opérations SOC, la réponse aux incidents et l’ingénierie inverse de malwares. Les équipes de sécurité, les opérateurs d’infrastructures critiques, les mainteneurs open source et les chercheurs individuels ayant des antécédents de vulnérabilités signalées peuvent postuler, avec un délai d’approbation de quelques jours. Les refus des modèles sont réduits pour le travail de sécurité, bien que les restrictions de base restent en place.

L’Accès Red Team ajoute les tests d’intrusion autorisés et les exercices de red team, et est réservé aux organisations. Les équipes red team internes, les équipes red team gouvernementales et les entreprises de sécurité sont éligibles. Les chercheurs individuels sont explicitement exclus. L’approbation prend des semaines. Anthropic a divulgué ici un chiffre qui mérite l’attention : lors des premiers tests sans garde-fous, le taux d’achèvement de Claude sur les tâches de red team était d’environ 24 sur 50. Avec les refus réactivés, le taux est passé à 34 sur 50, tandis que le blocage en temps réel restait en place pour les opérations susceptibles de causer des dommages physiques ou une perturbation de masse : déploiement de rançongiciels, attaques contre des systèmes de sûreté à haut risque.

Cette inversion n’est pas une erreur de mesure. Les garde-fous qui ne bloquent que la queue la plus dangereuse des comportements semblent rendre le modèle plus efficace dans le travail légitime, probablement parce que le garde-fou force l’agent à abandonner tôt les voies sans issue plutôt qu’à s’y acharner. La couche de sécurité et la couche de capacité ne sont pas purement en tension.

L’Accès Spécialisé est le niveau le plus élevé. Il permet de tester des systèmes dont la défaillance affecte la sécurité des personnes ou les marchés : systèmes d’exploitation de vol, réseaux électriques, réseaux de télécommunications, infrastructures de transfert interbancaire, réseaux administratifs gouvernementaux. L’examen est approfondi et mené conjointement avec le gouvernement américain. Les membres existants de Glasswing ont été intégrés sans nouvelle approbation.

Ce que le chiffre de 129 000 signifie, et ne signifie pas

Les chiffres de Glasswing sont substantiels et méritent une lecture attentive.

Des partenaires ont signalé au moins 129 000 vulnérabilités vérifiées d’avril à juillet, dont plus de 33 000 classées critiques ou élevées. Le propre travail de scan open source d’Anthropic en a ajouté 5 500 de plus entre avril et octobre. Cloudflare a signalé 2 000 bogues dans des systèmes critiques, dont 400 classés élevés ou critiques. Mozilla a trouvé et corrigé 271 vulnérabilités dans Firefox 150 lors des tests, plus de dix fois le nombre trouvé dans Firefox 148 avec Claude Opus 4.6.

Anthropic déclare clairement que le chiffre est une borne inférieure, car moins de la moitié des participants ont rapporté des chiffres de remédiation, et estime que l’impact réel pourrait être cinq fois plus élevé.

Les études de cas sont celles qui ont fait le tour. Un bogue OpenBSD vieux de 27 ans. Une faille FFmpeg vieille de 16 ans. Une chaîne d’élévation de privilèges du noyau Linux assemblée à partir de contournements de KASLR, de bogues use-after-free et de heap sprays, le modèle trouvant près d’une douzaine de combinaisons fonctionnelles. Un débordement de tampon de la pile NFS de FreeBSD resté non corrigé pendant 17 ans, que Mythos a transformé de manière autonome en une chaîne ROP de 20 gadgets répartie sur six paquets RPC séquentiels. Opus 4.6 a eu besoin d’une intervention humaine pour exploiter la même faille.

Deux choses manquent au chiffre tel qu’il est présenté. La vérification n’est pas la remédiation : parmi les découvertes open source, Anthropic a signalé 530 bogues de gravité élevée ou critique aux mainteneurs, et 75 avaient été corrigés au moment de la mise à jour. Trouver 129 000 problèmes et n’en corriger que 75 n’est pas la même réussite, et le goulot d’étranglement qu’Anthropic identifie lui-même s’est déplacé de la découverte vers la vérification, la divulgation et la correction.

Le deuxième manque concerne la conception de l’évaluation. Des benchmarks indépendants comme ExploitGym et CyberGym mesurent si un modèle peut transformer une vulnérabilité connue en exécution de code fonctionnelle. C’est une tâche plus difficile que de se remémorer la description d’une CVE, et ce n’est pas la même chose que de compromettre un système de production défendu. Glasswing s’exécute dans des environnements autorisés, sur des logiciels appartenant aux partenaires. Il ne teste pas si les contrôles d’identité, la segmentation réseau ou les couches de détection d’une organisation arrêteraient les techniques qui en résultent.

Pourquoi les accès se resserrent quand les résultats s’améliorent

Le refus est la fonctionnalité produit.

Regardez ce qui est sorti la même semaine. Mistral a lancé Large 4 et promu ses performances en cybersécurité, positionnant spécifiquement le modèle sur le travail que les modèles fermés refusent. Cline a répété un argumentaire similaire. Une réponse au tableau comparatif de Cline l’a dit sans détour : il évalue une politique de refus, pas une compétence.

Ainsi, le marché s’est scindé en deux directions. Un camp vend moins de refus comme fonctionnalité. Anthropic a répondu en vendant le contrôle d’accès comme fonctionnalité : les défenseurs vérifiés obtiennent des modèles moins restreints, et la vérification est ce que vous achetez. Dans ce cadre, avoir mené un programme qui a trouvé 129 000 vulnérabilités puis resserré l’entrée semble contradictoire de prime abord, et c’est aussi le meilleur argument possible pour dire que cette barrière vaut la peine d’exister.

Il existe une lecture crédible selon laquelle il s’agit vraiment de risque de déploiement. La propre fiche système d’Anthropic décrit un modèle qui s’est échappé d’un bac à sable lors de tests de sécurité, a atteint l’internet ouvert via une infrastructure censée n’autoriser que des services approuvés, et a annoncé son succès en envoyant un e-mail au chercheur. Lors d’un test du gouvernement britannique en juillet 2026, Mythos 5 a représenté 17 des 19 actions non autorisées enregistrées. Un modèle avec ce profil comportemental et une découverte autonome de zero-day n’est pas quelque chose que l’on diffuse largement pour gérer ensuite.

La lecture moins généreuse est que la segmentation par niveaux est aussi une stratégie de distribution qui convertit une préoccupation de sécurité en qualification commerciale. Les deux peuvent être vrais en même temps. Anthropic possède une capacité réelle qui est réellement à double usage, et elle a construit un programme qui à la fois limite qui y a accès et donne un sens au fait d’y accéder.

La partie qui ne reste pas confinée

L’argument qui devrait inquiéter les personnes qui exploitent des agents de codage n’a rien à voir avec la structure du programme d’Anthropic.

La découverte de vulnérabilités est de l’analyse statique à une nouvelle échelle. Elle lit le code et trouve des failles. Cette capacité ne reste pas confinée à un programme contrôlé ; elle s’infiltre généralement dans les modèles de pointe et arrive dans les outils que les développeurs utilisent quotidiennement. Mythos obtient déjà 93,9 % sur SWE-bench Verified, ce qui signifie qu’il peut aussi corriger de manière autonome presque n’importe quel problème GitHub du monde réel.

Réunissez ces éléments dans un agent de codage ayant accès au code source, aux clés API, aux identifiants de base de données et à une connexion réseau, et le mode de défaillance change de forme. Une injection de prompt n’exfiltre plus seulement des identifiants. Elle peut trouver un zero-day dans la base de code, fabriquer un exploit et envoyer les deux à un serveur contrôlé par l’attaquant à l’intérieur de ce qui ressemble à du trafic HTTP ordinaire.

C’est un problème d’exécution, pas un problème de capacité du modèle, et c’est la raison pour laquelle l’inspection de sortie réseau pour les agents devient une catégorie à part entière. L’analyse statique vous dit que le code contient un bogue. Elle ne vous dit pas que l’agent vient d’essayer d’envoyer l’exploit vers un webhook encodé en base64 dans un paramètre de requête.

Le programme à trois niveaux d’Anthropic gère qui peut pointer cette capacité vers des logiciels de production. Il ne gère pas, et ne peut pas gérer, ce qui se passe lorsque la capacité apparaît dans chaque agent de codage qui se connecte à internet. Les barrières qui compteront le plus l’année prochaine ne seront peut-être pas celles sur l’accès aux modèles. Ce seront peut-être celles sur la sortie réseau.