Anthropic fait trembler la cybersécurité : 500 Failles Zero-Day Trouvées en Quelques Jours !

Imaginez un assistant IA capable de décortiquer votre code comme un hacker éthique chevronné, repérant des bugs invisibles même aux meilleurs outils classiques. Anthropic vient de lâcher Claude Code Security, une arme redoutable pour les développeurs, qui fait vaciller les géants de la cybersécurité et booste la productivité des studios indie comme des triples A.

Une extension turbo pour Claude Code, star des devs

Claude Code, l’outil agentique d’Anthropic qui cartonne depuis son lancement public en mai 2025, affiche déjà un revenu annualisé de 2,5 milliards de dollars, avec des abonnements pros multipliés par quatre depuis le début de l’année. Près de 4 % des commits publics sur GitHub portent sa signature, transformant la façon dont on code, y compris pour les mods de jeux ou les engines maison. Vous pourriez aussi être intéressé par commits publics sur GitHub.

Sa nouvelle variante Security débarque en preview recherche, accessible aux abos Enterprise et Team, plus un accès gratuit prioritaire pour les mainteneurs open source. Elle balaie les dépôts entiers, piste les flux de données, analyse les interactions entre modules et débusque des vulnérabilités logiques complexes – celles que les scanners traditionnels, focalisés sur des motifs basiques, loupent complètement.

L’IA auto-vérifie ses alertes pour virer les faux positifs, assigne des scores de gravité et de fiabilité, puis balance des patches prêts à l’emploi dans un dashboard clair. Tout reste sous contrôle humain : pas d’appli auto, juste des suggestions solides pour accélérer les fixes.

Plus de 500 zero-days dénichés : une démo qui claque

Pour prouver son mojo, l’équipe Frontier Red Team d’Anthropic a lâché Claude Opus 4.6 sur du code open source ultra-testé, avec des millions d’heures de fuzzing derrière. Résultat : plus de 500 failles high-severity, certaines traînant depuis des décennies malgré les audits experts. Dans la lib CGIF pour les GIF, elle a capté un dépassement de tampon via un raisonnement fin sur l’algo LZW de compression – impossible pour un fuzzer pur. Pareil pour Ghostscript : l’IA a scruté l’historique Git, repéré un patch passé et chassé les clones non corrigés.

Anthropic pousse la divulgation responsable et l’outil tourne déjà en interne pour blinder leurs systèmes. Pour les geeks du gaming, c’est gold : ces libs open source squattent les pipelines graphiques de pas mal de projets, et des failles comme ça pourraient ouvrir la porte à des cheats ou crashes en multi.

Wall Street panique, les boss cyber contre-attaquent

L’annonce a fait plonger les actions : CrowdStrike a perdu près de 8 % le jour J, grignotant 20 % en une semaine, Cloudflare et Okta suivent avec des chutes similaires, l’ETF cyber en berne de 9 %. George Kurtz, big boss de CrowdStrike, a testé Claude en lui demandant de cloner Falcon : verdict IA, mission impossible face à une infra kernel-level sur des millions de machines. Il balance sur LinkedIn : « L’innovation IA est inspirante. Mais restons ancrés dans la réalité : une capacité IA qui scanne du code ne remplace pas la plateforme Falcon, ni votre programme de sécurité. La sécurité exige une plateforme indépendante, éprouvée au combat, conçue pour stopper les brèches. »

Nikesh Arora de Palo Alto trouve le marché « confus », ses clients réclamant plus d’IA. Les pros AppSec tempèrent : enthousiasme pour le shift-left, mais soif de stats sur faux positifs et coûts réels. Des outils comme Snyk ou Sonar y voient un allié, pas un tueur.

Pas de test runtime ici – pas de probes API ou checks auth en live –, ce qui le cantonne en amont du dev cycle, complément parfait aux EDR/XDR. Anthropic mise sur des garde-fous anti-abus, avec sondes pour bloquer les jailbreaks cyber.

Dans l’univers geek, où le code open source fuel le gaming et les mods, cet outil élève le baseline sécu sans ringardiser les humains. Les devs gagnent du temps pour peaufiner univers et mécaniques, pendant que l’IA garde les portes fermées aux exploiteurs. Le futur du code safe s’annonce plus accessible, et franchement excitant.