Une prépublication de novembre, rédigée par Thomas Mosk, indique que les sociétés ayant reçu un accès anticipé au modèle d’IA Claude Mythos Preview d’Anthropic – dans le cadre du projet Glasswing – ont divulgué environ 120 % de vulnérabilités logicielles supplémentaires par rapport à un groupe de contrôle de 267 entreprises chinoises n’ayant pas cet accès. L’analyse, couvrant la période d’octobre 2025 à septembre 2026, montre que cette hausse des divulgations publiques ne s’est pas accompagnée d’un ralentissement mesurable des processus de réparation étudiés.

Conception de l’étude et groupes de comparaison

La recherche compare 13 entreprises participantes ayant reçu l’accès Glasswing à un ensemble plus large d’entreprises chinoises pouvant utiliser d’autres outils d’IA mais pas le modèle d’Anthropic. La sélection dans Glasswing n’était pas aléatoire, et les différences de pratiques de divulgation nationales limitent la capacité à tirer des conclusions causales fermes, selon la prépublication. Néanmoins, l’augmentation relative d’environ 120 % des failles divulguées est cohérente dans l’échantillon.

La vitesse de réparation reste stable

Mosk a examiné deux principaux canaux de réparation : les correctifs des fournisseurs suivis par la Zero Day Initiative (ZDI) et les correctifs intégrés aux principales distributions Linux telles que Debian, Ubuntu, Red Hat et SUSE. Sur 658 failles signalées par ZDI (jusqu’en juin 2026) et 14 855 vulnérabilités des distributions Linux (jusqu’en juillet 2026), le temps médian pour obtenir un correctif est resté d’un jour, et les tests statistiques n’ont détecté aucun ralentissement. L’analyse au niveau des fournisseurs exclut un ralentissement supérieur à environ 13 %, bien que des effets plus faibles ne puissent être écartés.

Implications pour la cryptomonnaie et la sécurité logicielle au sens large

CryptoSlate avait déjà signalé que Bitcoin Core avait divulgué trois failles découvertes par IA après validation et publication du correctif, soulignant la pertinence de la chasse aux bugs assistée par IA pour les infrastructures blockchain. Cependant, l’étude insiste sur le fait que le nombre de divulgations publiques omet les découvertes non divulguées et ne capture pas les facteurs en aval tels que l’installation des correctifs par les utilisateurs. Bien que la part des failles divulguées et connues comme exploitées ait diminué dans certaines comparaisons, le nombre absolu de vulnérabilités exploitées reste trop imprécis pour confirmer une réduction des attaques réelles.