Le fait
Le 8 octobre 2026, Anthropic lance l’Anthropic Cyber Mission, présentée comme un engagement de long terme pour aider les défenseurs à sécuriser les systèmes dont tout le monde dépend. Deux premiers volets : un programme de défense des infrastructures critiques (Critical Infrastructure Defense Program) et OSS Scanner, un service gratuit d’analyse de sécurité pour les logiciels open source.
Onze prestataires pour l’informatique industrielle
Le programme cible l’informatique industrielle (operational technology en anglais) : automates, logiciels de contrôle et réseaux industriels qui font tourner l’électricité, l’eau, les usines et les transports. Ces équipements, conçus pour durer des décennies, ne peuvent souvent pas être arrêtés pour être corrigés, si bien que des failles connues restent ouvertes pendant des années. Anthropic apporte ses modèles Claude les plus avancés, des ingénieurs sur site et sa veille sur les menaces.
Plutôt que les opérateurs eux-mêmes, Anthropic vise les prestataires sur lesquels ils s’appuient. Les onze partenaires fondateurs : Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC et Rockwell Automation. Plusieurs utilisent déjà Claude pour corriger des vulnérabilités. Anthropic reconnaît que « les infrastructures critiques sont difficiles à défendre de bien des façons que l’IA ne peut pas résoudre » et commence avec ce petit groupe pour apprendre ce qui marche. Depuis juin, un programme comparable destiné aux collectivités américaines a touché plus de la moitié des États, selon l’entreprise.
OSS Scanner : des rapports envoyés sans relecture humaine
Inspiré d’OSS-Fuzz de Google, OSS Scanner analyse périodiquement, sur inscription, des projets open source établis avec les modèles les plus puissants d’Anthropic. Chaque rapport contient une preuve d’exploitation, une explication et, si possible, un correctif proposé. Les rapports sont générés par le modèle et envoyés sans relecture humaine ; Anthropic vise plus de 90 % de vrais positifs.
Chiffres revendiqués, détaillés par The Next Web :
- sur six mois, plus de 29 000 vulnérabilités candidates repérées, dont environ 6 000 seulement relues par les équipes d’Anthropic ;
- sur 97 failles critiques ou élevées vérifiées dans 48 projets, 85 ont franchi le seuil de divulgation, 11 étaient réelles mais déjà connues, une seule était un faux positif ;
- le projet wolfSSL a reçu 74 rapports, tous valides sauf deux, dont cinq sont devenus des CVE (identifiants publics de vulnérabilité).
Le contrat de service plafonne la responsabilité d’Anthropic à 1 000 dollars et impose aux mainteneurs de vérifier chaque rapport.
Pourquoi ça compte
Anthropic prévoit que « dans deux ans, l’IA favorisera la défense », tout en admettant qu’à court terme exploiter une faille coûte désormais moins cher que la vérifier et la corriger. Des experts interrogés par BankInfoSecurity préviennent du risque de « fatigue des vulnérabilités » : découvrir plus vite ne protège pas une station d’eau si le correctif ne peut être appliqué qu’une fois par an. Josh Corman (Institute for Security and Technology) rappelle qu’un simple scan réseau peut faire redémarrer de vieux automates, et que certains équipements restent en service plus de 30 ans.
Lecture Neurone21
Les laboratoires d’IA vendent désormais leurs modèles de pointe comme outils de défense, en passant par les intégrateurs et les fabricants d’automates plutôt que par les exploitants. Pour une entreprise industrielle, l’intérêt deviendra concret si Rockwell ou Hitachi en tirent des correctifs applicables sur des machines en marche. Deux questions restent ouvertes, relevées par Axios et The Next Web : qui paie le calcul, et comment tester les correctifs sans perturber les services.