Un résultat de laboratoire, mais un signal stratégique
La divulgation d’Anthropic ne décrit pas une campagne déjà observée chez des victimes réelles. Elle est pourtant importante parce qu’elle montre une capacité qui pourrait modifier l’économie de la recherche de vulnérabilités. Anthropic indique qu’un modèle Claude interne, encore non publié, a trouvé des failles dans des logiciels majeurs, les a combinées en chaînes d’exploitation fonctionnelles et l’a fait sur plusieurs environnements critiques, notamment Chrome, Safari, Android, Windows et Linux .
Ce n’est donc pas simplement une histoire de chatbot qui reformule un avis de sécurité ou génère un bout de code approximatif. Anthropic affirme avoir obtenu cinq chaînes d’attaque couvrant l’exécution de code à distance, l’évasion de sandbox, l’extraction de données depuis un téléphone verrouillé, le déni de service réseau et l’exploitation du noyau Linux . The Hacker News a rapporté que ces exploits avaient été créés en laboratoire après amorçage du modèle, qu’ils n’avaient pas été observés dans des attaques réelles et qu’ils avaient été signalés aux éditeurs concernés avant la publication .
La nuance est essentielle. Le résultat ne prouve pas que des groupes criminels disposent déjà de ce modèle précis. Il suggère en revanche que la frontière entre découverte de bug, construction d’exploit, analyse de variantes et raisonnement multiplateforme est en train de se raccourcir. Pour les défenseurs, le problème n’est plus seulement de savoir si une faille existe, mais à quelle vitesse elle peut être trouvée, validée et intégrée dans une chaîne opérationnelle.
Ce qu’Anthropic attribue à Claude
Le cas Chrome est le plus spectaculaire. Anthropic dit que Claude a construit une chaîne complète permettant d’exécuter du code avec les privilèges de l’utilisateur en dehors de la sandbox du navigateur, depuis un Chrome standard sur macOS; la preuve de concept ouvrait l’application Calculator peu après le chargement d’une page . La chaîne décrite combine une faille dans V8, le moteur JavaScript de Chrome, une étape pour sortir du sandbox mémoire de V8 et contourner l’ASLR, une condition de course dans CacheStorage pour comprendre la disposition mémoire du processus privilégié, puis une faille use-after-free dans FedCM pour sortir de la sandbox de Chrome .
Anthropic affirme avoir signalé 62 CVE Chrome à Google, toutes classées critiques ou élevées, et indique qu’elles ont été corrigées à partir de Chrome 156 . The Hacker News note que les notes publiques de Google créditent un chercheur d’Anthropic assisté par Claude pour certaines corrections Chrome, tout en soulignant que le niveau exact d’autonomie du modèle dans chaque chaîne repose surtout sur le récit d’Anthropic .
Le cas Safari illustre un autre type de risque. Selon Anthropic, le modèle a produit une chaîne permettant de contourner la same-origin policy, la règle qui empêche normalement un site de lire les données d’un autre site . Au lieu de chercher d’abord une exécution de code arbitraire, la chaîne décrite s’appuie sur un accès en lecture et écriture à la mémoire du navigateur pour modifier des états de sécurité, ce qui permettrait à une page malveillante d’accéder à des informations comme l’historique, des cookies ou des sessions authentifiées .
Sur Android, Anthropic décrit un travail combinant analyse du code source ouvert, rétro-ingénierie de composants Google Play services et tests sur un Pixel 9 physique . Le modèle aurait trouvé une voie d’extraction de données par USB depuis un téléphone verrouillé, en contournant plusieurs protections prévues dans le mécanisme de transfert d’appareil à appareil, notamment l’autorisation et la vérification utilisateur . Anthropic indique que Google a corrigé le problème .
Les exemples Windows et Linux élargissent encore la portée. Côté Windows, Anthropic parle d’une vulnérabilité de déni de service accessible à distance dans l’implémentation QUIC du noyau Windows, assignée à CVE-2026-33096 par Microsoft . Côté Linux, l’entreprise dit que Claude a trouvé une faille réseau zéro-clic dans le noyau permettant d’exécuter des commandes en root sur des serveurs disposant d’un listener multipath TCP, et rattache cette chaîne à CVE-2026-98432 .
La limite: capacité démontrée ne veut pas dire compromission réelle
Il faut éviter deux lectures excessives. La première serait de minimiser l’affaire parce qu’elle s’est déroulée en laboratoire. La seconde serait d’affirmer que l’IA remplace déjà les meilleurs exploit developers humains. La position prudente est intermédiaire: Anthropic démontre une capacité sérieuse, mais le public ne peut pas vérifier précisément la part du travail accomplie par le modèle seul dans chaque chaîne .
Cette limite compte. Derrière l’expression “l’IA a trouvé un exploit”, il peut y avoir beaucoup d’échafaudage humain: choix des cibles, formulation des prompts, environnement d’outillage, triage des crashes, fiabilisation, reproduction, notation du risque et coordination avec les éditeurs. Anthropic dit que le modèle a fonctionné après amorçage initial et avec peu d’intervention humaine, mais les détails publics restent principalement ceux fournis par l’entreprise .
Cela ne rend pas le signal moins important. Même si le modèle ne fait qu’accélérer certaines étapes, le résultat change déjà l’équation. Anthropic explique avoir utilisé de nombreux agents de scan en parallèle, suivi leur couverture et fait passer les résultats dans un pipeline standardisé de vérification et de notation du risque . Pour les défenseurs, cela montre que le goulot d’étranglement se déplace: il ne s’agit plus seulement d’avoir une intuition brillante, mais d’organiser un workflow capable d’explorer, tester et chaîner beaucoup d’hypothèses très vite.
Le signal des 44 agents
Une autre publication récente montre pourquoi l’orchestration compte autant que la puissance brute du modèle. TrendAI a publié le 27 octobre une analyse de trois infrastructures d’attaque visant principalement le Japon, avec différents niveaux d’implication de l’IA . Dans le cas le plus net, les chercheurs disent que des attaquants ont détourné CyberStrikeAI, une plateforme open source de test d’intrusion construite autour d’agents d’IA, pour automatiser la reconnaissance, la découverte de vulnérabilités, l’exploitation, le commandement et contrôle, la persistance, l’exfiltration et le reporting .
TrendAI indique que des traces comme “credential-search agent 8/44” confirmaient une configuration où 44 agents se partageaient le travail . La plateforme écrivait les résultats dans une base de données, produisait des rapports structurés et générait des formulaires ainsi que de fausses pages de connexion en japonais . Sur une courte période en octobre 2026, TrendAI a identifié une activité de validation contre au moins 19 organisations, dont au moins 16 au Japon .
The Hacker News a repris les mêmes éléments centraux, décrivant un workflow répétable déléguant les tâches à 44 agents, tout en précisant que les trois cas étudiés ne semblaient pas nécessairement liés au même opérateur . NDTV a présenté CyberStrikeAI comme un exemple du passage d’une IA qui aide les attaquants à écrire du code vers des systèmes capables de coordonner des opérations en plusieurs étapes, en rappelant aussi que les modèles d’IA précis utilisés dans cette opération n’étaient pas identifiés .
Ce que les défenseurs doivent retenir
Pris ensemble, le laboratoire d’Anthropic et le cas CyberStrikeAI racontent la même évolution: la vitesse, la parallélisation et la coordination deviennent des dimensions centrales du risque cyber. D’un côté, un modèle non publié semble capable de raisonner à travers des navigateurs, des noyaux et des systèmes mobiles . De l’autre, des agents multiples divisent des tâches offensives plus classiques, les exécutent contre plusieurs cibles et produisent des rapports homogènes .
Le cas CyberStrikeAI évite toutefois de tomber dans le sensationnalisme. TrendAI insiste sur le fait que les attaquants se sont surtout appuyés sur des faiblesses anciennes: systèmes web exposés, interfaces d’administration publiques, identifiants par défaut, configurations VPN ou edge mal gérées et opportunisme de scan . L’IA a augmenté l’échelle et la répétabilité, mais elle n’a pas supprimé le besoin d’une porte déjà mal fermée .
Les priorités défensives deviennent donc plus urgentes que nouvelles. Les organisations doivent accélérer le patching des systèmes exposés à Internet, inventorier les services web, les interfaces d’administration, les VPN, les équipements en périphérie, les services GPU et les plateformes d’inférence accessibles depuis l’extérieur . Elles doivent aussi surveiller les signaux faibles distribués, car une activité peu bruyante vue depuis une seule organisation peut appartenir à une campagne plus large .
Pour les éditeurs et les fournisseurs d’IA, l’autre priorité est la divulgation coordonnée. Anthropic affirme avoir signalé les vulnérabilités aux vendeurs concernés avant de publier les détails, dans un cadre laissant du temps pour corriger . Si des capacités comparables se diffusent, l’accès contrôlé des chercheurs défensifs et la coopération rapide avec les éditeurs deviendront aussi importants que les garde-fous contre les usages malveillants.
La conclusion n’est pas que l’IA a remplacé les experts humains. Elle est plutôt que l’IA commence à compresser tout ce qui les entoure: recherche, triage, tests, variantes, chaînage et passage à l’échelle. Le modèle d’Anthropic a peut-être trouvé les cheat codes avant le Patch Tuesday; le vrai sujet est que ce type de workflow pourrait bientôt devenir beaucoup moins rare.
Commentaires
Sois le premier à commenter.