Claude du côté des défenseurs : la Cyber Mission d'Anthropic, des réseaux électriques au code ouvert

Le constat de départ, inscrit dans l'annonce officielle d'Anthropic, est sans détour : les modèles d'intelligence artificielle dotés de fortes capacités cyber sont désormais largement accessibles aux attaquants. C'est pourquoi, le 8 octobre 2026, l'entreprise a présenté sa Cyber Mission, un engagement de long terme visant à placer ces mêmes ressources technologiques entre les mains de ceux qui doivent défendre les systèmes numériques. L'initiative se concentre sur deux domaines précis : les technologies opérationnelles qui pilotent les réseaux d'eau, d'électricité et de transport, et les logiciels open source sur lesquels repose une grande partie des services web.

Du côté des infrastructures physiques, le Critical Infrastructure Defense Program (CIDP) prévoit de fournir des modèles Claude de pointe et un accompagnement d'ingénierie sur le terrain à une première cohorte de fournisseurs technologiques. Parmi les partenaires fondateurs figurent onze entreprises du secteur, dont CrowdStrike, Deloitte et Palo Alto Networks ; sur la page de présentation d'Anthropic, le vice-président senior de cette dernière, Sam Rubin, a souligné que les attaquants utilisent déjà l'intelligence artificielle pour trouver et exploiter des vulnérabilités à la vitesse de la machine. Pour l'instant, toutefois, la documentation d'Anthropic ne précise ni les conditions commerciales du service une fois la phase initiale terminée, ni la date à laquelle le programme s'ouvrira au-delà de la première cohorte ; en attendant, les autres entreprises du secteur peuvent manifester leur intérêt via un formulaire.

Le deuxième pilier est OSS Scanner, un service gratuit et sur inscription volontaire, inspiré d'OSS-Fuzz de Google. Il analyse régulièrement le code open source et envoie aux mainteneurs des rapports générés directement par les modèles, comprenant une preuve de concept de l'exploitation, une explication et, lorsqu'elle existe, une correction proposée. Anthropic précise que ces rapports partent sans aucune relecture humaine préalable et prévient qu'ils peuvent contenir des imprécisions, comme une gravité mal évaluée, tout en prévoyant en interne un taux de vrais positifs supérieur à 90 %. Le service s'adresse aux projets capables de traiter les résultats : ceux qui ne peuvent pas examiner des rapports bruts continueront de recevoir des signalements vérifiés par des humains via la procédure de divulgation coordonnée déjà en place. Reste à savoir quelle charge de travail il fera peser sur les mainteneurs participants, ce qui rappelle le récent débat sur l'arrêt par Google des signalements automatisés dans son programme de bug bounty.

Le cadre financier et opérationnel de ces nouveautés comprend l'extension du Cyber Verification Program, qui, en intégrant Project Glasswing, promet aux professionnels de la sécurité un accès facilité aux capacités cyber avancées des modèles, et le Defender Advantage Fund. Ce fonds, lancé en août notamment pour garantir la gratuité d'OSS Scanner, n'a pas de montant public, mais il soutient déjà la Python Software Foundation, l'Apache Software Foundation et, via la Linux Foundation, Alpha-Omega et OpenSSF.

Si l'intelligence artificielle promet d'accélérer la découverte des failles, le vrai nœud risque de rester le travail de vérification. Automatiser la production de rapports de bugs sans contrôle préalable reporte le poids de l'analyse sur ceux qui les reçoivent. Dans le logiciel libre, où le temps est la ressource la plus rare, l'utilité réelle de cet outil se mesurera à la solidité de cette prévision : un taux de vrais positifs supérieur à 90 % que personne, pour l'instant, n'a vérifié de manière indépendante. — Olya