Dans le cadre d’un partenariat avec la fondation Mozilla, Anthropic a utilisé son modèle Claude Opus 4.6 pour tester la sécurité du navigateur Firefox, en analysant le code source. En seulement deux semaines, l’IA a permis d’identifier et de corriger 22 nouvelles failles de sécurité dans le navigateur de Mozilla !

Une chasse aux bugs fructueuse pour Claude Opus 4.6

Dans le sillage du lancement de Claude Code Security, Anthropic continue de montrer l’efficacité de ses outils pour des missions liées à la cybersécurité. À l’occasion d’un partenariat avec Mozilla, Anthropic a utilisé son modèle le plus performant, Claude Opus 4.6, pour l’analyse du code C++ de Firefox.

Suite à cet audit, d’une durée de deux semaines, l’IA a soumis 112 rapports après avoir scanné près de 6 000 fichiers. Surtout, ce travail de recherche a permis de dénicher 22 failles de sécurité dans le navigateur Firefox. Soit :

• 14 failles considérées comme élevées (high),
• 7 failles modérées,
• 1 faille de faible sévérité.

Ce qu’il est intéressant de noter, c’est la capacité de l’IA à être directement plongée dans le code et à commencer son analyse de façon très rapide. D’ailleurs, Anthropic a précisé que son IA avait détecté un bug de type use-after-free dans le moteur JavaScript de Firefox seulement 20 minutes après le début de l’analyse.

À chaque fois, une validation par un humain a été intégrée dans la boucle. L’idée n’étant pas de laisser travailler l’IA sans supervision humaine. Désormais, des correctifs pour ces vulnérabilités ont été intégrés dans la version Firefox 148, déployée à la fin du mois dernier.

En plus des 22 vulnérabilités découvertes, validées et patchées, cette approche assistée par l’IA a permis d’identifier 90 autres bugs. Il s’agit notamment de bugs pouvant impacter la stabilité du navigateur, comme des échecs d’assertion et des erreurs logiques que les techniques classiques de fuzzing n’avaient pas détectés.

“Les modèles linguistiques de pointe sont désormais des chercheurs en vulnérabilité de classe mondiale. En plus des 22 CVE que nous avons identifiés dans Firefox, nous avons utilisé Claude Opus 4.6 pour découvrir des vulnérabilités dans d’autres projets logiciels importants tels que le noyau Linux. Au cours des semaines et des mois à venir, nous continuerons à rendre compte de la manière dont nous utilisons nos modèles et collaborons avec la communauté open source pour améliorer la sécurité.”, précise Anthropic dans son rapport.

Détecter est plus simple qu’exploiter

Anthropic a voulu tester les capacités offensives de son IA. L’entreprise a fourni à Claude la liste des vulnérabilités découvertes et lui a demandé de développer des exploits fonctionnels. Malgré des centaines de tentatives et une facture d’environ 4 000 dollars en crédits API, Claude Opus 4.6 n’a réussi à produire des exploits fonctionnels que pour deux vulnérabilités.

L’IA est notamment parvenue à créer un exploit pour la faille de sécurité CVE-2026-2796 (score CVSS de 9.8 sur 10), une erreur de compilation JIT (Just-In-Time) dans le composant WebAssembly.

“Premièrement, Claude est bien plus doué pour trouver ces bugs que pour les exploiter. Deuxièmement, le coût de l’identification des vulnérabilités est nettement inférieur à celui de la création d’un exploit pour les exploiter. Cependant, le fait que Claude ait réussi à développer automatiquement un exploit pour navigateur, même si ce n’est que dans quelques cas, est préoccupant.”, précise Anthropic dans son rapport.

Les modèles actuels seraient donc plus efficaces pour défendre que pour attaquer. Cette démonstration montre que l’IA peut aider les développeurs à mieux sécuriser leur application. À l’inverse, c’est aussi vrai pour les attaquants qui peuvent découvrir de nouvelles failles plus facilement.

Cela pourrait donc accélérer la découverte de nouvelles failles zero-day dans les applications et les systèmes d’exploitation. Une chose semble évidente : l’IA devrait jouer un rôle essentiel dans la découverte de vulnérabilités, et cela dans les deux camps.

Qu’en pensez-vous ?