Project Glasswing : première mise à jour
(anthropic.com)- Project Glasswing est un projet collaboratif visant à protéger des logiciels critiques avant qu’ils ne soient exploités abusivement par des modèles d’IA puissants, avec la participation d’environ 50 partenaires
- Claude Mythos Preview a trouvé plus de 10 000 vulnérabilités de sévérité élevée ou critique dans le code des partenaires, et la vitesse de découverte a été multipliée par plus de 10 chez plusieurs d’entre eux
- Dans plus de 1 000 projets open source, 23 019 vulnérabilités ont été estimées, et parmi 1 752 vulnérabilités vérifiées, 90,6 % se sont révélées être de vrais positifs
- Le goulot d’étranglement est passé de la découverte de vulnérabilités à la vérification, au signalement, au correctif et au déploiement, et les bugs de sévérité élevée ou critique nécessitent en moyenne deux semaines avant d’être corrigés
- Anthropic n’a pas encore rendu public un modèle de niveau Mythos, et les développeurs comme les défenseurs doivent raccourcir les cycles de correctifs et renforcer les contrôles de sécurité de base
Premiers résultats et principes de divulgation
- Project Glasswing est un projet collaboratif destiné à protéger les logiciels d’importance mondiale avant qu’ils ne soient exploités abusivement par des modèles d’IA plus puissants
- Anthropic et environ 50 partenaires ont identifié avec Claude Mythos Preview plus de 10 000 vulnérabilités de sévérité élevée ou critique dans des logiciels importants
- Le principal goulot d’étranglement de la sécurité logicielle ne se situe plus dans la vitesse de découverte de nouvelles vulnérabilités, mais dans la vitesse à laquelle il est possible de vérifier, divulguer et corriger les grandes quantités de vulnérabilités trouvées par l’IA
-
Mode de divulgation des vulnérabilités
- La pratique courante de divulgation des vulnérabilités consiste à publier les informations 90 jours après la découverte d’une nouvelle vulnérabilité, ou environ 45 jours après la mise à disposition d’un correctif si celui-ci est prêt avant les 90 jours
- La Coordinated Vulnerability Disclosure policy d’Anthropic suit également cette approche, afin de laisser aux utilisateurs finaux le temps de mettre à jour leurs systèmes avant d’éventuelles attaques
- Une divulgation anticipée des détails sur les vulnérabilités trouvées par Mythos Preview chez les partenaires pourrait mettre les utilisateurs finaux en danger, c’est pourquoi Anthropic ne partage pour l’instant que des exemples représentatifs et des statistiques agrégées
- Des informations techniques plus détaillées seront publiées une fois les correctifs largement déployés
Performances observées chez les partenaires et dans les évaluations externes
- Les premiers partenaires de Project Glasswing développent et maintiennent des logiciels essentiels au fonctionnement d’Internet et des infrastructures critiques
- Corriger les défauts de ce code réduit les risques pour de nombreuses organisations et pour des milliards d’utilisateurs finaux qui dépendent de ces logiciels
- Un mois après le lancement du projet, la plupart des partenaires avaient chacun trouvé plusieurs centaines de vulnérabilités critiques ou de sévérité élevée, et le total dépassait 10 000 découvertes
- La vitesse de découverte de bugs a été multipliée par plus de 10 chez plusieurs partenaires
- Cloudflare a trouvé 2 000 bugs dans ses systèmes de chemin critique, dont 400 de sévérité élevée ou critique, et estime que le taux de faux positifs est meilleur que celui de testeurs humains
-
Tests externes et benchmarks
- Le AI Security Institute du Royaume-Uni a évalué Mythos Preview comme le premier modèle à résoudre de bout en bout ses deux cyber ranges, c’est-à-dire des simulations d’attaques cyber multi-étapes
- Mozilla a trouvé et corrigé 271 vulnérabilités dans les tests de Firefox 150, soit plus de 10 fois le nombre trouvé dans Firefox 148 avec Claude Opus 4.6
- La plateforme de sécurité indépendante XBOW estime que Mythos Preview représente un « saut significatif » par rapport à tous les modèles précédents sur les benchmarks d’exploits web, et offre une « précision sans précédent » par token
- ExploitBench et ExploitGym sont des benchmarks académiques récents mesurant les capacités de développement d’exploits, et Mythos Preview y affiche les meilleures performances
-
Évolution de la vitesse de déploiement des correctifs
- La dernière publication de Palo Alto Networks inclut plus de 5 fois plus de correctifs que d’habitude
- Microsoft a indiqué que le nombre de nouveaux correctifs « devrait continuer à augmenter pendant un certain temps »
- Oracle détecte et corrige des vulnérabilités dans ses produits et son cloud plusieurs fois plus vite qu’auparavant
- Mythos Preview a aussi été utilisé pour d’autres tâches de sécurité que la détection de vulnérabilités. Dans une banque partenaire de Glasswing, il a contribué à détecter et bloquer un virement frauduleux de 1,5 million de dollars, après qu’un acteur malveillant a compromis un compte e-mail client et utilisé des appels usurpés
Résultats du scan open source
- Au cours des derniers mois, Anthropic a utilisé Mythos Preview pour scanner plus de 1 000 projets open source soutenant une part importante d’Internet et de sa propre infrastructure
- Mythos Preview a estimé un total de 23 019 vulnérabilités dans ces projets, dont 6 202 évaluées comme de sévérité élevée ou critique
-
Chiffres des vulnérabilités vérifiées
- Parmi les vulnérabilités évaluées comme de sévérité élevée ou critique, 1 752 ont été examinées avec soin par six sociétés indépendantes de recherche en sécurité ou, dans certains cas, par Anthropic
- Parmi elles, 90,6 %, soit 1 587, ont été confirmées comme de vrais positifs
- Parmi celles-ci, 62,4 %, soit 1 094, ont été confirmées comme étant de sévérité élevée ou critique
- En appliquant le taux de vrais positifs observé selon les critères de classification a posteriori, près de 3 900 vulnérabilités de sévérité élevée ou critique devraient apparaître dans le code open source même si Mythos Preview ne trouvait plus aucune nouvelle vulnérabilité
- Anthropic prévoit de poursuivre pour l’instant le scan du code open source, et ce nombre devrait donc augmenter
-
Exemple de vulnérabilité dans wolfSSL
- wolfSSL est une bibliothèque de chiffrement open source réputée pour sa sécurité et utilisée sur des milliards d’appareils dans le monde
- Mythos Preview a construit un exploit permettant à un attaquant de falsifier des certificats
- Cette vulnérabilité permet à un attaquant d’exploiter un faux site web de banque ou de fournisseur e-mail qui semble légitime pour l’utilisateur final, alors qu’il est en réalité contrôlé par l’attaquant
- La vulnérabilité a déjà été corrigée et a reçu l’identifiant CVE-2026-5194
- L’analyse technique complète sera publiée dans les prochaines semaines
Goulot d’étranglement : vérification, divulgation et correctifs
- Même si Mythos Preview a grandement facilité la découverte de vulnérabilités, le goulot d’étranglement se situe désormais dans la capacité humaine à classifier, signaler, concevoir des correctifs et les déployer
- Anthropic a publié un tableau de bord des vulnérabilités open source scannées afin de suivre les différentes étapes du processus de divulgation coordonnée et leur progression
- La forte baisse des volumes à chaque étape reflète la charge de travail humaine nécessaire pour vérifier et corriger chaque vulnérabilité individuellement
- Anthropic ou des sociétés externes de sécurité reproduisent les problèmes trouvés par Mythos, réévaluent leur sévérité, vérifient s’ils ont déjà été corrigés, puis rédigent des rapports détaillés à destination des mainteneurs
- Les mainteneurs open source doivent gérer leur charge de maintenance habituelle en plus d’un afflux de rapports de bugs générés par l’IA et de faible qualité
- Plusieurs mainteneurs disposent d’une capacité de traitement très limitée, et certains ont demandé de ralentir le rythme de divulgation afin d’avoir le temps de concevoir des correctifs
- Les bugs de sévérité élevée ou critique trouvés par Mythos Preview nécessitent en moyenne deux semaines avant d’être corrigés
-
Situation des divulgations et des correctifs
- À la demande des mainteneurs, certains bugs sont parfois signalés directement sans évaluation supplémentaire
- À ce jour, 1 129 bugs non vérifiés ont été signalés directement, dont 175 estimés par Mythos Preview comme de sévérité élevée ou critique
- À ce jour, environ 530 bugs de sévérité élevée ou critique auraient été divulgués aux mainteneurs
- En plus, 827 vulnérabilités confirmées sont estimées de la même manière comme élevées ou critiques et doivent être divulguées aussi vite que possible
- Parmi les 530 bugs de sévérité élevée ou critique signalés, 75 ont été corrigés, dont 65 ont fait l’objet d’un avis public
- La fenêtre de 90 jours de la Coordinated Vulnerability Disclosure policy n’en est encore qu’à ses débuts, donc davantage de correctifs sont attendus
- Certaines vulnérabilités sont corrigées sans avis public, ce qui impose de scanner directement l’état des correctifs avec Claude ; le nombre de correctifs peut donc être sous-estimé
- La découverte de vulnérabilités est devenue plus facile, mais la lenteur des corrections crée un déséquilibre qui devient un enjeu majeur de cybersécurité ; bien géré, il pourrait rendre les logiciels bien plus sûrs qu’auparavant
Réponse à une nouvelle phase de la cybersécurité
- Des modèles dotés de capacités en cybersécurité comparables à Mythos Preview devraient bientôt être plus largement disponibles
- L’ensemble de l’industrie logicielle devra fournir des efforts à plus grande échelle pour gérer les très nombreux résultats que ces modèles produiront
- Il existe déjà fréquemment de longs délais entre la découverte d’une vulnérabilité, la rédaction d’un correctif et son déploiement massif chez les utilisateurs finaux
- Les modèles de niveau Mythos réduisent fortement le temps et le coût nécessaires pour trouver et exploiter des vulnérabilités, ce qui accroît les risques créés par ces délais
- À long terme, les modèles de niveau Mythos pourraient aider les développeurs à détecter les bugs avant le déploiement et à produire des logiciels beaucoup plus sûrs
- Mais dans cette période intermédiaire où les vulnérabilités sont découvertes rapidement tandis que les correctifs arrivent lentement, de nouveaux risques apparaissent
-
Mesures nécessaires pour les développeurs logiciels
- Les développeurs doivent raccourcir leurs cycles de correctifs et fournir les correctifs de sécurité aussi vite que possible
- L’usage prudent de modèles d’IA accessibles publiquement peut aider dans ce travail
- Il faut rendre l’installation des mises à jour aussi simple que possible afin que les utilisateurs restent sur la dernière version
- Pour les utilisateurs qui continuent à exécuter des logiciels comportant des vulnérabilités connues, il faut les pousser à mettre à jour de manière plus insistante, dans la mesure du possible
-
Mesures nécessaires pour les défenseurs réseau
- Les défenseurs réseau doivent réduire les délais de test et de déploiement des correctifs
- Les contrôles essentiels recommandés par le National Institute of Standards and Technology et le National Cyber Security Centre du Royaume-Uni gagnent en importance, car ils renforcent la sécurité sans dépendre de l’application à temps d’un correctif particulier
- Cela inclut le durcissement de la configuration réseau de base, l’obligation d’authentification multifacteur, et la conservation de logs complets pour la détection et la réponse
Outils de défense exploitant des modèles d’IA publics
- En général, de nombreux modèles accessibles publiquement ne trouvent pas les vulnérabilités les plus sophistiquées et n’exploitent pas celles-ci aussi efficacement que Claude Mythos Preview, mais ils sont déjà capables de découvrir de nombreuses vulnérabilités logicielles
- Project Glasswing a poussé plusieurs organisations à examiner leur propre base de code avec des modèles publiquement disponibles, et Anthropic travaille à rendre cela plus simple
-
Claude Security
- Claude Security a été lancé en bêta publique pour les clients Claude Enterprise
- Cet outil aide les équipes à scanner leurs bases de code à la recherche de vulnérabilités et à générer des correctifs proposés
- Pendant les trois premières semaines après le lancement, Claude Opus 4.7 a été utilisé pour corriger plus de 2 100 vulnérabilités
- Les entreprises corrigent leur propre code, alors que les corrections open source nécessitent généralement un processus de divulgation coordonnée et des mainteneurs bénévoles ; la vitesse de correctif de Claude Security est donc plus rapide que celle observée précédemment dans l’open source
-
Cyber Verification Program
- Le Cyber Verification Program permet aux experts en sécurité d’utiliser les modèles d’Anthropic à des fins légitimes de cybersécurité
- Pour des usages comme la recherche de vulnérabilités, les tests d’intrusion ou les exercices de red team, les modèles peuvent être utilisés sans certaines protections conçues pour prévenir les abus cyber
-
Outils utilisés avec Mythos Preview
- Les outils utilisés par Anthropic et ses partenaires avec Mythos Preview sont proposés sur demande aux équipes sécurité de clients qualifiés
- L’objectif est de les aider à mieux exploiter les capacités de modèles publics puissants, sans configuration complexe
- skills : des instructions personnalisées pour des tâches répétitives, créées et partagées par Anthropic et ses partenaires
- harness : une configuration qui aide Claude à cartographier une base de code, lancer des sous-agents de scan, classifier les découvertes et rédiger des rapports
- générateur de modèles de menace : cartographie une base de code afin d’identifier les cibles d’attaque potentielles et de prioriser le travail du modèle
- Cisco fait partie des partenaires de Project Glasswing et a récemment publié en open source Foundry Security Spec afin d’aider d’autres défenseurs à construire un système d’évaluation similaire au sien
Soutien à l’écosystème et prochaines étapes
- Anthropic s’est associé au projet Alpha-Omega de l’Open Source Security Foundation via un partenariat pour aider les mainteneurs à traiter et classifier les rapports de bugs
- Anthropic soutient aussi le développement de nouveaux benchmarks, ExploitBench et ExploitGym, afin de suivre dans le temps les capacités de développement d’exploits des modèles d’IA de frontière
- Ces benchmarks sont détaillés davantage sur le Frontier Red Team blog
- Le External Researcher Access Program soutient également le développement d’autres benchmarks quantitatifs de haute qualité
- Claude for Open Source accompagne les mainteneurs et contributeurs, et Anthropic a indiqué qu’il scannerait à l’avenir tous les paquets open source qu’il adopte lui-même
- Au vu du rythme des avancées de l’IA, des modèles aussi puissants que Mythos Preview devraient bientôt être développés par plusieurs entreprises du secteur
- À l’heure actuelle, aucune entreprise, y compris Anthropic, n’a encore mis au point des protections suffisamment robustes pour empêcher qu’un tel modèle soit détourné et cause de graves dommages
- C’est pourquoi Anthropic n’a pas encore publié au grand public de modèle de niveau Mythos
- Project Glasswing est né du constat que si des modèles aux capacités comparables étaient rendus publics sans protections suffisantes, il deviendrait beaucoup moins coûteux et bien plus facile pour presque n’importe qui dans le monde d’exploiter des logiciels vulnérables
- Glasswing aide les défenseurs cyber les plus systémiquement importants à obtenir un avantage asymétrique, mais il existe un besoin urgent de renforcer les capacités défensives du plus grand nombre d’organisations possible
- Anthropic prévoit d’étendre Project Glasswing à davantage de partenaires en coopération avec des partenaires clés, notamment le gouvernement américain et ceux de ses alliés
- L’objectif est de proposer dans un avenir proche des modèles de niveau Mythos sous forme de disponibilité générale, une fois développées les protections beaucoup plus robustes nécessaires
- L’objectif à long terme est de créer un environnement où le code critique sera bien mieux protégé qu’aujourd’hui et où le piratage sera beaucoup moins fréquent
1 commentaires
Réactions sur Hacker News
On a activé Codex Security à titre expérimental, et en moins d’une semaine c’était devenu un outil obligatoire pour toute l’équipe
La précision était étonnante, il a trouvé beaucoup de problèmes de sécurité dans le code existant, et il continuait à en attraper à chaque commit
Chez nous, on est à environ 90 % de précision, et même les éléments marqués « Low » se sont souvent révélés réellement exploitables quand on creusait
Comme ce type d’erreurs est une catégorie de bugs que tout le monde commet, des juniors aux seniors, j’ai l’impression qu’on va vers un cycle de développement où coder avec l’IA, relire avec l’IA et chercher les vulnérabilités avec l’IA deviendront des éléments normaux du process
J’ai essayé une approche basée sur une boucle itérative qui traque les problèmes et les bugs à chaque étape du développement, de la conception au code, afin de vérifier que le logiciel final fonctionne bien comme prévu
L’UI est un peu déroutante, car il est écrit « 5 scans », mais un scan signifie une surveillance continue de la branche par défaut du dépôt
Presque toutes les découvertes à fort impact étaient exactes, et j’ai surtout été impressionné par la qualité de la documentation et le caractère ciblé et précis des suggestions de correction
Codex avait souvent tendance à produire nettement plus de code que nécessaire, mais les correctifs du modèle de sécurité font souvent moins de 10 lignes et visent précisément le bon endroit
Quand la bêta sera terminée, ça coûtera probablement assez cher, mais côté entreprise c’est suffisamment bon pour donner envie de l’adopter immédiatement
En code, je suis plutôt de l’avis que moins il y en a, mieux c’est, donc cette tendance est assez frustrante
Comment vous évitez ce piège ?
On obtient déjà de très bons résultats avec cette approche
Je ne sais pas trop comment concilier la mise à jour d’Anthropic et certaines réactions très enthousiastes ici avec l’évaluation récente de Daniel Steinberg, mainteneur de curl
« Je ne vois aucune preuve que cette configuration [Mythos] trouve des problèmes à un niveau spécialement plus élevé ou plus avancé que les autres outils d’avant Mythos. Le modèle est peut-être un peu meilleur, mais pas au point de changer de manière significative l’analyse de code. »
https://daniel.haxx.se/blog/2026/05/11/mythos-finds-a-curl-v...
Mais le rapport du gouvernement britannique est aussi un point de donnée, tout comme le rapport Firefox, et ils indiquent que c’est réellement nettement meilleur que les modèles de la génération actuelle
Peut-être que curl est simplement un code bien plus durci que la plupart des projets
De toute façon, ce n’est pas si important, parce que comme Anthropic le reconnaît aussi, les modèles du niveau suivant arrivent, et Mythos n’en est qu’un parmi d’autres
Les modèles actuels sont déjà bons pour suivre les flux de données dans des systèmes complexes, et rien n’indique que cette capacité ait atteint sa limite
Il semble très probable que d’ici un an, plusieurs modèles commerciaux puissent trouver des vulnérabilités à faible coût
En revanche, on dirait qu’il y a beaucoup moins de progrès sur la conception des correctifs pour ce type de problèmes
Les outils, au sens large, progressent beaucoup dans leur capacité à trouver des bugs de sécurité, et si son expérience d’usage ne permettait pas de dire clairement si Mythos lui-même est un bond gigantesque, les LLM de la génération Mythos, eux, le sont clairement
Cela dit, Daniel a utilisé Mythos de façon assez indirecte
La conclusion que je tire du débat Mythos, c’est que a) Anthropic a probablement dû limiter l’accès à Mythos à cause d’un manque de GPU, ce qui a aussi pesé dans le calcul d’une éventuelle ouverture générale, et b) trouver des bugs avec Mythos ou un modèle similaire reste coûteux
Si curl avait bénéficié d’une exécution Mythos à 20 000 ou 100 000 dollars, il aurait peut-être produit un niveau de résultats comparable à d’autres projets comme Firefox, mais Daniel n’a pas eu ce niveau d’accès
Une mise à jour générale publiée aujourd’hui sur LinkedIn donne un contexte plus large
https://www.linkedin.com/feed/update/urn:li:activity:7463481...
« Nous n’avons même pas encore atteint la moitié de ce cycle de publication de curl, et nous avons déjà 11 vulnérabilités confirmées, 3 autres en attente d’évaluation, et de nouveaux signalements continuent d’arriver à un rythme supérieur à un par jour. »
« Annoncer 11 CVE dans une seule release est un record depuis le premier audit de sécurité de Cure 53 en 2016. »
« C’est la période la plus intense de toute l’histoire de curl dont je me souvienne. »
Ce n’est pas du tout un cas typique, donc ce genre de facteurs a pu jouer
Bien sûr, on ne peut pas être certain qu’il y ait un biais ; Daniel a peut-être tout simplement raison
Le code source de curl était peut-être tout simplement déjà assez propre
Je ne m’attendrais pas à ce que curl soit le cas moyen pour Mythos
Il y a eu beaucoup de cynisme autour de Mythos, présenté comme « juste un modèle public existant avec les garde-fous retirés », mais ces chiffres racontent autre chose
« 1 752 vulnérabilités de niveau high ou critique ont été examinées avec soin par 6 sociétés indépendantes de recherche en sécurité ou, dans quelques cas, via notre propre évaluation. Parmi elles, 90,6 % (1 587) se sont avérées être de vrais positifs valides, et 62,4 % (1 094) ont été confirmées comme étant de gravité high ou critique. »
Quiconque a déjà fait du scan de vulnérabilités avec Opus, Codex ou des modèles open source sait que le taux de vrais positifs et le volume de découvertes représentent clairement un changement de palier[0]
La plupart des quelque 50 partenaires de Glasswing avaient déjà fait tourner des harnais avec d’autres modèles auparavant, et leur réaction a généralement été du genre « wow, c’est différent »
La question maintenant, c’est à quoi ressemblera l’accès aux niveaux 2 et 3, et quelles familles de systèmes seront protégées en priorité
Routeurs, pare-feu, SaaS, ERP, contrôleurs d’usine, SCADA, passerelles VPN zero trust, équipements télécoms et réseaux, dispositifs médicaux : il y a énormément à faire
C’est pourquoi je pense que Mythos restera fermé pendant un moment
La surface d’attaque à protéger est trop vaste, et il y a trop de choses à trier, corriger et déployer
Ça peut aussi convenir à Anthropic, puisqu’un modèle fermé ne peut pas être distillé
Il y a aussi un effet d’emballement dans l’amélioration du modèle à partir des données de découverte, de triage et de correction
C’est probablement déjà le corpus de données d’attaque le plus puissamment curé jamais réuni à ce jour, et il va encore s’améliorer
J’ai du mal à imaginer qu’une entreprise chinoise obtienne bientôt, voire jamais, un accès
Il se peut qu’on arrive bientôt à un monde où la CISA imposera des audits, et où acheter une passerelle VPN ou un routeur domestique résistant à Mythos signifiera acheter américain[1]
[0] Comparé aux ~30 % habituels des outils d’audit classiques
[1] Ou d’un pays allié
J’ai du mal à croire qu’on ne puisse pas le reproduire
Il existe déjà suffisamment de données annotées, comme les CVE et les correctifs, et Mythos ne fait qu’en augmenter le volume ; avec du reinforcement learning adapté à ce scénario, on peut sans doute améliorer la détection des vulnérabilités même sans accès à Mythos
OpenAI avait alors limité l’accès au modèle pour la première fois en disant que « l’humanité n’était pas encore prête », alors que ce modèle savait surtout écrire de la poésie et ce genre de choses
Depuis, je ne me souviens pas d’une seule annonce de modèle d’OAI/Anthropic qui n’emploie pas des formulations du même style
Le modèle « fuité », c’est du marketing ; le modèle dangereux, c’est du marketing ; le monde pas prêt, c’est du marketing
Et les gens qui ont l’accès et disent « wow », c’est aussi du marketing, à prendre ou à laisser
On peut déjà obtenir les mêmes résultats avec les 5 à 10 meilleurs modèles disponibles au grand public
Mythos est juste la manière pour Anthropic de vendre une nouvelle idée après la démocratisation des précédentes
On peut donc s’attendre à quelque chose d’impressionnant avec Sonnet 4.8
Si vous n’appliquez toujours pas d’analyse statique ni de linter à votre base de code, il faut d’abord se demander pourquoi vous voulez déployer un outil LLM coûteux
Ça ne veut pas dire que ce genre d’outil ne peut pas attraper des vulnérabilités que les outils statiques ratent ; je pense qu’il le peut
Mais nous avons déjà la capacité de capturer automatiquement une large zone de vulnérabilités courantes, et pourtant nous avons choisi de ne pas le faire, souvent pour des raisons de coût
Si une équipe applique déjà plusieurs couches d’analyse et de linting et veut ajouter ça par-dessus, je suis totalement pour
Je suis dans la FAANG, et même nos outils d’analyse statique ne sont pas excellents pour identifier combien de problèmes sont réellement atteignables
Idéalement, il faut utiliser les deux
Le mieux, c’est un modèle d’IA qui intègre l’analyse statique comme composant du harnais afin d’évaluer chaque découverte potentielle
Des outils plus intelligents peuvent aider à ne pas gaspiller un temps d’ingénierie limité
La plupart de ceux qui font ça aujourd’hui n’utilisaient pas les outils d’analyse statique parce qu’ils les considéraient comme des ajouts inutiles
Les seules vulnérabilités que j’aimerais qu’on corrige tout de suite sont celles qui se trouvent dans les 3 800 dépôts volés sur GitHub
Honnêtement, « les vulnérabilités dans les logiciels qui fabriquent Internet » passent après « la plateforme utilisée par ces logiciels pour produire leurs releases »
Si ceux qui ont acheté ces dépôts internes trouvent un moyen d’entrer dans GitHub pour compromettre des releases logicielles, ou de contaminer GitHub Actions à distance, tout le monde va se retrouver dans une situation très grave
Il ne faut pas oublier que parmi ces 3 800 dépôts, il y a probablement aussi npmjs.org lui-même
Avec des modèles grand public de pointe, on développe dans la legal tech ce qu’on appelle des « lexploits », et ils sont absurdement efficaces pour trouver des bugs à travers des pipelines intégrés de bout en bout
Ils sont aussi étonnamment bons pour construire des atténuations
Les vulnérabilités de sécurité sont importantes, mais dans le droit on avance aussi la notion de sécurité des connaissances, qui vise à protéger la fidélité contextuelle juridique d’un agent
Les bugs logiciels semblent beaucoup plus faciles à traiter, parce qu’ils sont gérés par des ingénieurs logiciels, tandis que les « vulnérabilités » de pipeline qu’on cherche ne le sont pas
J’ai écrit un peu ici au sujet d’un chemin où les documents juridiques ne sont pas ce qu’ils paraissent être : https://tritium.legal/blog/noroboto
Il doit y avoir beaucoup de domaines de connaissance exposés de cette manière, et c’est encore plus inquiétant parce qu’ils manquent souvent de personnel et sont gérés par des non-techniciens
Mythos n’est même pas nécessaire pour ça
Quand ils disent « Ensuite, nous travaillerons avec des partenaires clés supplémentaires, y compris le gouvernement américain et ceux de ses alliés, afin d’étendre Project Glasswing à d’autres partenaires », j’y vois surtout « on va gagner beaucoup d’argent avant une ouverture générale »
Bonne stratégie
J’ai du mal à y croire
Une part non négligeable de ce que trouve cet outil est simplement fausse, et à cause des couches supérieures ou inférieures du code, ça se retrouve parfois signalé comme un vrai problème alors qu’il n’y a pas de possibilité réelle d’exploitation
C’est aussi un compromis entre performance et sécurité, et ça l’a toujours été
Les vérifications supplémentaires et autres mesures doivent réellement être mises en place pour des raisons de sécurité
Le marketing est toujours excellent, mais la vision très rose que beaucoup de gens en ont me semble déplacée, presque par procuration
Ce ne sont pas des vulnérabilités inatteignables
« Le goulot d’étranglement pour corriger ce type de bugs, c’est la capacité des gens à trier, signaler, concevoir et déployer des correctifs. Grâce à Mythos Preview, l’étape initiale de découverte est devenue beaucoup plus simple. »
Ça a toujours été le goulot d’étranglement
Les outils automatisés adorent signaler des vulnérabilités, mais c’est presque toujours plein de faux positifs, et des humains doivent les trier et les évaluer
Et c’est très bien comme ça
Je préfère qu’on ferme des faux positifs après examen attentif plutôt que de passer totalement à côté de quelque chose
Appeler les humains un goulot d’étranglement n’est pas approprié
Les humains sont un élément indispensable du processus, et Mythos en sera le catalyseur
Prouver l’existence d’une vulnérabilité était bien plus difficile que la corriger
Journée assez amusante aujourd’hui
J’ai demandé à des sous-agents deepseek-v4-flash de produire des correctifs pour obtenir les privilèges root via Dirty Frag sur un système où AF_ALG est désactivé et nscd activé
L’exploit publié à l’origine ne fonctionnait pas, mais la version patchée, elle, marchait très bien
Je continue à penser qu’avec 100 sous-agents d’intelligence moyenne, on peut obtenir les mêmes résultats que Mythos
Je suis prêt à abandonner cette idée le jour où j’essaierai Mythos moi-même, et je suppose que d’autres ici l’ont déjà utilisé
Donc la vraie question n’est pas « est-ce qu’un modèle plus bête peut le faire ? », mais si trouver un exploit avec le raisonnement de Mythos coûte 5 000 heures de GPU, alors combien d’heures GPU faut-il à un modèle plus bête ?