Anthropic Claude Détecte 22 Failles Firefox

Imaginez un instant qu’une intelligence artificielle, en l’espace de seulement deux semaines, parvienne à dénicher plus de vingt failles de sécurité dans l’un des navigateurs web les plus scrutés et les mieux testés au monde. Cela semble presque irréel, et pourtant c’est exactement ce qui s’est produit récemment entre Anthropic et Mozilla.

Cette collaboration inattendue marque un tournant dans la manière dont on envisage aujourd’hui la chasse aux vulnérabilités logicielles. Loin des traditionnelles équipes de pentesters humains, c’est Claude Opus 4.6, le modèle le plus avancé d’Anthropic à ce jour, qui a pris les rênes de cette mission d’audit intensif sur le code de Firefox.

Quand l’IA s’attaque à l’un des projets open source les plus sécurisés

Mozilla a toujours été fier de la robustesse de Firefox. Ce navigateur, développé en open source depuis des décennies, bénéficie d’une communauté extrêmement active et d’innombrables audits manuels et automatisés. Pourtant, même les projets les mieux défendus ne sont jamais totalement à l’abri.

Les équipes d’Anthropic ont choisi Firefox précisément parce que c’est l’un des logiciels les plus durs à casser. L’objectif ? Tester les limites réelles des capacités actuelles des grands modèles de langage dans un contexte de sécurité logicielle exigeant.

22 vulnérabilités découvertes, dont 14 classées haute gravité

Le bilan est sans appel : en quatorze jours seulement, Claude a identifié 22 failles différentes. Parmi elles, quatorze ont été considérées comme high-severity par les standards de Mozilla. La majorité de ces bugs ont déjà été corrigés dans Firefox 148, publié en février 2026, tandis que quelques correctifs plus complexes attendent la prochaine mise à jour.

Le travail a débuté par le moteur JavaScript SpiderMonkey, pièce maîtresse et souvent complexe du navigateur. Très vite, l’IA a élargi son champ d’investigation à d’autres parties du code, démontrant une capacité d’adaptation remarquable.

Firefox est à la fois un code extrêmement complexe et l’un des projets open source les plus rigoureusement testés et sécurisés au monde.

– Équipe Anthropic

Cette citation illustre parfaitement l’ambition derrière cette expérience : confronter l’IA à un environnement qui représente le summum de la sécurité logicielle actuelle.

Des failles trouvées, mais des exploits très difficiles à produire

Si Claude excelle dans la détection de bugs, il rencontre en revanche de sérieuses difficultés lorsqu’il s’agit de transformer ces découvertes en véritables preuves de concept exploitables. Les ingénieurs d’Anthropic ont dépensé environ 4 000 dollars en crédits API pour tenter de créer des exploits fonctionnels… sans grand succès.

Seuls deux cas ont abouti à un proof-of-concept réellement concluant. Ce contraste est révélateur : trouver une vulnérabilité est une chose, la comprendre suffisamment pour la transformer en attaque concrète en est une autre. Et sur ce terrain, l’humain garde encore une longueur d’avance.

Les forces et les limites actuelles de l’IA en cybersécurité

Cette expérience met en lumière plusieurs réalités importantes sur l’utilisation des grands modèles de langage dans le domaine de la sécurité :

• L’IA est extrêmement rapide pour parcourir des dizaines de milliers de lignes de code et repérer des patterns suspects.
• Elle excelle dans la génération d’hypothèses et la détection de logiques défaillantes.
• En revanche, elle peine encore à raisonner de manière créative sur des chaînes d’exploitation complexes.
• Les faux positifs restent nombreux, obligeant les experts humains à trier et valider les rapports.

Ces points montrent que nous sommes encore loin d’une autonomie totale de l’IA en matière de pentesting. Mais la vitesse à laquelle elle trouve des bugs critiques change déjà la donne pour les projets open source qui manquent de ressources humaines dédiées à la sécurité.

Un impact majeur pour l’écosystème open source

Firefox n’est que le premier exemple visible de ce que l’IA peut apporter à des projets open source majeurs. Des milliers de dépôts GitHub souffrent d’un manque cruel de contributeurs spécialisés en sécurité. L’arrivée d’outils comme Claude pourrait multiplier par dix ou vingt le volume de rapports de bugs pertinents.

Mais cette abondance soulève aussi de nouveaux défis : comment trier efficacement des centaines de rapports potentiellement redondants ou inexacts ? Comment éviter que des attaquants malveillants n’utilisent ces mêmes modèles pour découvrir des failles avant les mainteneurs ?

La question de l’équilibre entre démocratisation de la découverte de vulnérabilités et protection contre leur exploitation devient centrale.

Vers une nouvelle ère de la sécurité collaborative

Cette collaboration entre Anthropic et Mozilla pourrait préfigurer un modèle hybride où l’IA agit comme un premier filtre ultra-rapide, tandis que les experts humains se concentrent sur l’analyse approfondie, la priorisation et la création d’exploits de démonstration.

Certains imaginent déjà des “IA red team” dédiées, fonctionnant en continu sur les dépôts les plus critiques, alertant immédiatement les mainteneurs dès qu’un pattern dangereux est détecté. Firefox, Chromium, Linux kernel… tous ces projets pourraient bénéficier d’une telle surveillance augmentée.

À l’inverse, les acteurs malveillants disposent eux aussi de ces outils. La course à l’armement en cybersécurité entre défenseurs et attaquants s’accélère donc encore davantage grâce à l’intelligence artificielle.

Que retenir pour l’avenir ?

Ce cas d’étude est bien plus qu’une simple anecdote technique. Il montre que les grands modèles de langage ont franchi un cap important dans leur capacité à comprendre et à auditer du code complexe et critique.

Pour les startups qui développent des produits sécurité, pour les éditeurs de logiciels open source, pour les entreprises qui maintiennent des infrastructures critiques, ignorer cette nouvelle donne reviendrait à se priver d’un levier puissant… et à laisser potentiellement des concurrents ou des attaquants l’exploiter en premier.

Chez Anthropic, on parle déjà de poursuivre ce type d’expérimentations sur d’autres projets majeurs. Mozilla, de son côté, semble satisfait des résultats et ouvert à de futures collaborations du même type.

Une chose est sûre : la sécurité logicielle telle que nous la connaissions est en train de muter rapidement. L’intelligence artificielle n’est plus seulement un outil d’assistance ; elle devient un véritable coéquipier – parfois même le plus productif – dans la chasse aux bugs critiques.

Et si la prochaine grande faille zero-day corrigée grâce à une IA était déjà en train d’être écrite dans un prompt en ce moment même ?