Mythos, d'Anthropic, redéfinit l'approche de Firefox en matière de cybersécurité

Lorsque Anthropic a présenté son modèle Mythos en avril, l'entreprise a également lancé un avertissement solennel aux développeurs de logiciels. Selon le laboratoire, le modèle s'est révélé si efficace pour identifier les failles logicielles qu'il a mis au jour des milliers de bogues très graves qui ont dû être corrigés avant que le modèle puisse être rendu public.

Aujourd'hui, les chercheurs en sécurité travaillant sur le navigateur Firefox de Mozilla offrent un aperçu détaillé de la manière dont ce processus s'est déroulé dans la pratique et de ce que les capacités de Mythos signifient pour la sécurité logicielle de manière plus générale.

Dans un article publié jeudi, Mozilla a déclaré que Mythos avait révélé un grand nombre de failles de gravité élevée, dont certaines étaient restées cachées dans le code pendant plus d’une décennie.

Cela marque un bond en avant considérable par rapport à ce que les outils de sécurité basés sur l’IA pouvaient accomplir il y a seulement six mois. Jusqu’à récemment, les outils de détection de bogues alimentés par l’IA présentaient de sérieuses limites, submergeant souvent les équipes de sécurité de rapports de mauvaise qualité et de fausses alertes. Cependant, les chercheurs de Mozilla affirment que la dernière génération d’outils a atteint un tournant, d’autant plus que les systèmes agents peuvent désormais évaluer leur propre travail et filtrer les résultats médiocres.

« On ne saurait trop insister sur l’ampleur du changement que cette dynamique a entraîné pour nous en l’espace de quelques mois seulement », ont écrit les chercheurs. « Premièrement, les modèles sont devenus beaucoup plus performants. Deuxièmement, nous avons considérablement amélioré nos techniques pour exploiter ces modèles. »

Crédits image :Firefox

Les résultats sont frappants : en avril 2026, Firefox a publié 423 corrections de bogues, contre seulement 31 le même mois l’année précédente. Les chercheurs ont également partagé des détails sur 12 de ces bogues, allant de deux vulnérabilités inhabituelles dans le bac à sable à une erreur vieille de 15 ans dans la manière dont le navigateur analyse un élément HTML.

« Ces éléments sont en fait soudainement très performants », a déclaré Brian Grinstead, ingénieur émérite chez Mozilla, à TechCrunch. « Nous le constatons lors de nos propres analyses internes, nous le constatons dans les rapports de bogues externes, et nous le constatons dans toutes sortes de signaux à travers le secteur. »

Le fait que le système ait permis de mettre au jour des vulnérabilités dans le système de « sandbox » de Firefox est particulièrement remarquable, compte tenu de la complexité requise pour une exploitation le ciblant. Pour trouver des vulnérabilités de la sandbox, le modèle doit créer un correctif compromis pour le navigateur, puis attaquer la partie la plus sécurisée du logiciel avec le nouveau code en place. Trouver et démontrer le bug est un processus délicat en plusieurs étapes qui exige à la fois créativité et précision.

Pour mettre cela en perspective, le programme de prime aux bogues de Mozilla offre aux chercheurs jusqu’à 20 000 dollars pour la découverte d’un bogue dans le bac à sable de Firefox — la récompense la plus élevée disponible. Malgré cette prime très généreuse, M. Grinstead affirme que Mythos détecte plus de problèmes dans le bac à sable que les chercheurs humains ne l’ont jamais fait. « Nous en trouvons », a-t-il déclaré à TechCrunch, « mais pas en quantité comparable à ce que nous parvenons à détecter grâce à cette technique. »

Il est à noter que l’équipe Firefox n’utilise toujours pas l’IA pour corriger les bugs, malgré des progrès bien documentés dans les outils de codage basés sur l’IA. L’équipe demande certes à l’IA d’écrire des correctifs pour chaque bug, mais le code obtenu ne peut généralement pas être déployé directement et sert plutôt de référence pour un ingénieur humain.

« Pour les bugs dont nous parlons dans cet article, chacun d’entre eux nécessite qu’un ingénieur rédige un correctif et qu’un autre l’examine », explique Grinstead. « Nous n’avons pas trouvé de moyen de l’automatiser. »

On ne sait pas encore comment les capacités émergentes de l’IA vont remodeler le paysage global de la cybersécurité. Un mois après la présentation de Mythos, la plupart des bugs qu’il a découverts n’ont probablement pas encore été corrigés, ce qui rend difficile d’évaluer leur impact total. Anthropic s’est montré méticuleux dans le respect des normes de divulgation responsable, mais il est probable que des acteurs malveillants utilisent des techniques similaires en coulisses, même si les modèles qu’ils emploient sont moins avancés.

S’exprimant lors d’un événement récent, le PDG d’Anthropic, Dario Amodei, s’est montré optimiste quant au fait que ces nouveaux outils finiraient par favoriser les défenseurs. « Si nous gérons cela correctement, nous pourrions nous retrouver dans une meilleure position qu’au départ, car nous aurons corrigé tous ces bugs. Il n’y a qu’un nombre limité de bugs à trouver », a déclaré M. Amodei. « Je pense donc qu’un monde meilleur nous attend au bout du chemin. »

Ayant pris en compte les réalités pratiques, Grinstead offre une vision plus nuancée : « C’est utile tant pour les attaquants que pour les défenseurs, mais le fait de disposer de cet outil fait légèrement pencher la balance en faveur de la défense. En réalité, personne ne connaît encore la réponse à cette question. »