L’outil de sécurité IA d’Anthropic vient de trouver 500 bugs que les humains ont manqués, et Wall Street panique

Anthropic a lancé un aperçu de recherche limité de Claude Code Security, un nouvel outil qui analyse les logiciels à la recherche de vulnérabilités et recommande des correctifs, marquant une étape significative dans l’utilisation de l’intelligence artificielle pour la défense cybernétique et provoquant des secousses dans l’industrie de la cybersécurité.

L’outil, intégré à la plateforme Claude Code d’Anthropic, est désormais disponible pour les clients Enterprise et Team, avec un accès accéléré gratuit offert aux responsables de projets open source. Cela intervient alors que l’entreprise d’IA basée à San Francisco prévoit que l’IA analysera une part significative du code mondial dans un avenir proche.

Les outils de sécurité existants ne fonctionnent qu’à travers les schémas de problèmes courants, comme les mots de passe exposés ou le chiffrement obsolète.

Claude Code Security est censé aller au-delà de la correspondance de motifs. Il fonctionne à travers une base de code complètee la façon dont un chercheur humain le ferait, suivant le chemin que prennent les données à travers un système et détectant les problèmes que les scanners standard négligent.

Les résultats passent par plusieurs rounds de vérifications avant qu’un développeur ne les voie, réduisant ainsi les impasses. Chaque problème est également classé par niveau de gravité, afin que les équipes sachent par où commencer.

Il fonctionne sur Claude Opus 4.6, le tout dernier modèle d’Anthropic, que l’équipe interne de test de pointe de l’entreprise a été amenée à tester intensivement. Ces tests ont révélé plus de 500 vulnérabilités présentes dans des bases de code open source en production — dont certaines y étaient depuis des décennies sans qu’elles ne soient détectées, même après des années d’examen par des experts.

Anthropic indique qu’elle est en train de notifier les personnes responsables de ces projets. L’entreprise a également fait tourner Claude sur son propre code interne et dit que les résultats ont été solides.

Les analystes contestent, mais les marchés ne sont pas convaincus

L’information a secoué les investisseurs en cybersécurité. Les actions de CrowdStrike ont chuté de 6,8 % le vendredi et celles d’Okta de 9,2 %, alors que les marchés commençaient à s’interroger sur la capacité des outils d’IA à grignoter les activités des entreprises de sécurité établies.

Cloudflare a perdu 6,7 %, SailPoint a reculé de 9,1 % et Palo Alto Networks a chuté de 1,5 %. Zscaler était en baisse de 5,47 %. L’ETF Global X Cybersecurity, qui suit les entreprises de sécurité dans le monde, a clôturé la journée en baisse de près de 5 %.

Tout le monde n’a pas jugé cette réaction justifiée. Les analystes de Barclays l’ont qualifiée d’« incongrue », estimant qu’un outil conçu pour la sécurité du code ne s’attaque pas vraiment à ce que font réellement des entreprises comme CrowdStrike ou Palo Alto Networks.

Mais l’écart entre ce qui a effrayé les marchés et ce que les analystes minimisent cohabite mal avec un fait indéniable : l’IA d’Anthropic a révélé plus de 500 vulnérabilités dans des bases de code en production qui y étaient présentes depuis des années, voire des décennies, sans qu’aucun expert humain ne les détecte.

Quelles que soient les limites concurrentielles que les analystes tracent, l’outil a accompli quelque chose que l’industrie de la sécurité n’avait pas réussi à faire seule.

L’avertissement sur les cyberattaques par IA ajoute à la pression

Le calendrier du lancement comporte sa propre ironie inconfortable. Claude Opus 4.6, le modèle exact qui est désormais présenté comme un défenseur de la sécurité, avait été mis en cause quelques jours plus tôt pour une perte de 1,78 million de dollars au sein du protocole de prêt décentralisé Moonwell.

La barre pour causer des dommages sérieux avec du code écrit par l’IA est devenue si basse qu’elle ne nécessite plus du tout un attaquant. Les experts en sécurité avertissent de ce changement depuis des mois.

Anthropic a reconnu la même tendance dans sa propre communication, avertissant que « des groupes moins expérimentés et moins bien dotés en ressources peuvent désormais potentiellement mener des attaques à grande échelle de cette nature ».

« Les attaquants utiliseront l’IA pour trouver des faiblesses exploitables plus rapidement que jamais », a déclaré l’entreprise . « Mais les défenseurs qui agissent rapidement peuvent trouver ces mêmes faiblesses, les corriger et réduire le risque d’attaque ».

Ses recherches internes, publiées en décembre 2025, vont plus loin, montrant qu’une version antérieure du modèle, Claude Opus 4.5, pouvait identifier et exploiter indépendamment des vulnérabilités de contrats intelligents d’une valeur allant jusqu’à 4,6 millions de dollars dans un environnement contrôlé, avec une intervention humaine minimale.

L’entreprise était consciente que ses modèles pouvaient avoir deux tranchants. Claude Code Security est sa réponse à ce problème. Prendre la même capacité et la mettre entre les mains des défenseurs avant que les attaquants ne le fassent.

Le rival d’Anthropic, OpenAI, a lancé son propre outil de sécurité automatisé, appelé Aardvark, en octobre de l’année dernière, signalant que la sécurité pilotée par l’IA devient un champ de bataille concurrentiel.