Microsoft en crise : l'IA d'Anthropic découvre des bugs plus vite qu'on ne peut les réparer

Microsoft est en train de vivre un cauchemar : ses propres Outils d'intelligence artificielle découvrent des bugs (des erreurs dans son code) plus vite que ses équipes ne peuvent les corriger. En mai 2025, des centaines d'ingénieurs se réunissent en urgence pour tenter de rattraper le retard. Leur ennemi ? Une IA nommée Mythos, créée par Anthropic, qui scanne les logiciels comme un radar détecte les avions ennemis.

LE PROJET GLASSWING : UNE COURSE CONTRE LA MONTRE

Un après-midi de mi-mai, des dizaines d'ingénieurs et de managers de Microsoft se connectent en ligne ou se rassemblent dans une salle de conférence à Redmond, dans l'État de Washington. L'ordre du jour est simple : discuter du Projet Glasswing, une initiative secrète visant à corriger les faiblesses du code de l'entreprise avant qu'elles ne soient exploitées par des pirates informatiques ou des gouvernements hostiles.

Le problème ? L'IA Mythos, développée par Anthropic, découvre des bugs à une vitesse sans précédent. La version utilisée par Microsoft, appelée Claude Mythos Preview, repère des vulnérabilités plus vite que les équipes ne parviennent à les corriger. Les ingénieurs sont en course effrénée pour combler l'écart.

Un ingénieur ose alors poser la question qui hante la réunion : « Mythos répond-il vraiment aux promesses d'Anthropic ? » La réponse tombe, sans ambiguïté : « Oui. »

90 BUGS CRITIQUES EN UN MOIS : LE CHOC DES CHIFFRES

Une diapositive présentée ce jour-là révèle l'ampleur du désastre. En avril 2025 seulement, Mythos a identifié 90 bugs critiques et 141 bugs importants dans SharePoint, un logiciel de collaboration utilisé par des gouvernements et des entreprises du monde entier. En mai, le nombre de failles découvertes a encore augmenté.

Hans Andersen, un manager en ingénierie, supplie son équipe : « S'il vous plaît, si votre service a des bugs repérés en avril, corrigez-les au plus vite. Nous avons environ deux semaines pour en trouver le plus possible et en tirer le meilleur parti avec cet accès. »

Le 31 mai, explique-t-il, marque la date à laquelle « le reste du monde aura rattrapé son retard ». Une phrase qui glace le sang des participants.

LA FENÊTRE DE SÉCURITÉ SE RÉTRÉCIT

Depuis qu'Anthropic a lancé une discussion nationale sur le pouvoir de l'IA pour traquer les bugs en avril 2025, les experts en sécurité nationale prédisaient que les États-Unis bénéficieraient d'une fenêtre d'opportunité pour corriger les failles avant que des adversaires ne disposent de modèles similaires capables de découvrir les mêmes vulnérabilités.

Fin juin 2025, l'alliance internationale des agences de renseignement connue sous le nom de Five Eyes (composée des États-Unis, de l'Australie, du Canada, de la Nouvelle-Zélande et du Royaume-Uni) a publié une déclaration conjointe inhabituelle. Elle mettait en garde : dans quelques mois, cette fenêtre se refermerait. Pourtant, l'enregistrement de la réunion de Microsoft, ainsi que des documents internes consultés par ProPublica, suggèrent que le jour du reckoning (du règlement de comptes) pourrait déjà être arrivé.

MICROSOFT PRIORITISE LES BUGS LES PLUS DANGEREUX

Face à l'avalanche de failles identifiées par Mythos, Microsoft a jusqu'à présent concentré ses efforts sur la correction des bugs qu'il considère comme les plus dangereux : ceux classés comme critiques ou importants, selon la présentation interne et les mises à jour publiques de correctifs de l'entreprise.

Les documents internes indiquent que Microsoft prévoit à terme de s'attaquer aux bugs de sévérité modérée découverts par Mythos. Aucun document ne mentionne les bugs de sévérité faible.

Cette approche reflète le système de triage (classement par priorité) typique de l'industrie. Tout comme les patients les plus gravement malades sont traités en premier aux urgences, le triage des vulnérabilités priorise les problèmes susceptibles de causer le plus de dégâts s'ils sont exploités par des pirates.

Mais cette stratégie comporte un risque dans cette ère où l'IA révolutionne la détection des bugs. Les nouveaux outils révèlent un volume record de faiblesses dans les produits que nous utilisons quotidiennement. Mythos, par exemple, est capable de chaîner (combiner) une série de bugs qui s'enchaînent les uns aux autres. Résultat : les vulnérabilités de faible ou de sévérité modérée, non corrigées, pourraient créer une brèche permettant des attaques dévastatrices.

Vinh Nguyen, conseiller technique principal chez Anthropic et ancien responsable de l'IA à la NSA, met en garde : « Les failles de faible ou de sévérité modérée, autrefois considérées comme mineures, pourraient devenir des portes d'entrée majeures pour des attaques. »

MICROSOFT DÉFEND SA STRATÉGIE, MAIS LES EXPERTS S'INQUIÈTENT

Dans des réponses envoyées par e-mail à ProPublica, Microsoft a défendu son approche. La société affirme que ses décisions de triage reposent sur plusieurs facteurs, notamment l'exploitabilité (la facilité avec laquelle un bug peut être exploité) et l'impact sur les clients.

La présentation interne de Microsoft ne mentionnait pas le chaînage des bugs, mais un porte-parole a précisé à ProPublica que cette technique « est depuis longtemps prise en compte dans l'évaluation des vulnérabilités et l'analyse des risques. »

Interrogé sur la présentation interne et la date limite du 31 mai, le porte-parole a minimisé son importance. « L'exploitation accélérée et ciblée de nouvelles vulnérabilités n'est pas un phénomène nouveau », a-t-il déclaré. Il a ajouté que les commentaires faits lors de la réunion reflètent simplement la volonté de l'entreprise « de ressentir un sentiment d'urgence pour aider nos clients en ce moment. »

Microsoft a refusé de répondre à des questions sur le nombre de bugs que ses ingénieurs avaient corrigés depuis la présentation.

DES MOIS DE TRAVAIL EN PERSPECTIVE POUR SHAREPOINT

La présentation interne de Microsoft et les diapositives qui l'accompagnaient prédisaient que l'équipe travaillant sur SharePoint, un logiciel utilisé par des gouvernements et des entreprises du monde entier pour gérer des données et des documents, « sera très occupée pendant des mois ». D'abord, elle traiterait les bugs critiques de plus haute priorité, puis s'attaquerait aux bugs importants en août 2025.

Microsoft explique que les vulnérabilités classées comme critiques incluent des vers informatiques (des programmes qui se propagent automatiquement) capables de planter des systèmes et de diffuser des malwares en traversant les réseaux informatiques. Les bugs importants pourraient entraîner une « compromission de la confidentialité, de l'intégrité ou de la disponibilité des données utilisateur » ainsi que la « disponibilité des ressources de traitement ». Une fois ces catégories traitées, l'équipe commencerait à travailler sur environ 300 bugs de sévérité modérée, selon la présentation.

HUNDREDS DE BUGS DANS LES PRODUITS POPULAIRES

Bien que les documents internes consultés par ProPublica ne couvrent pas l'ensemble des offres de Microsoft, ils donnent une idée de l'ampleur du problème. Un document indique que, depuis que l'entreprise a commencé à utiliser Mythos plus tôt en 2025, elle a collectivement découvert des centaines de bugs classés comme critiques ou importants dans des produits populaires tels que Microsoft 365, la plateforme de visioconférence Teams et l'outil d'IA Copilot. En mi-mai 2025, la plupart d'entre eux n'avaient pas encore été corrigés.

« Ils ne sont pas profonds ou exotiques, mais ils sont réels, » a déclaré Hans Andersen lors de la réunion. « Et beaucoup d'entre eux sont exploitables. »

Il est impossible de savoir si des pirates ont exploité des bugs spécifiques identifiés par Mythos, mais certains ont déjà commencé à utiliser l'IA pour automatiser leurs attaques. Certains semblent même utiliser des technologies similaires à Mythos pour trouver et exploiter des faiblesses.

LE RECORD DE PATCH TUESDAY : UNE PREMIÈRE ALERTE

Il y a des signes concrets de la lutte interne de Microsoft pour faire face à la liste croissante de bugs à corriger. Chaque mois, l'entreprise publie publiquement des correctifs pour ses vulnérabilités logicielles lors du Patch Tuesday (le mardi des correctifs). En juin 2025, elle a publié des correctifs pour plus de 200 bugs, un nombre record selon les experts du secteur. Mais le 14 juillet 2025, l'entreprise a pulvérisé ce record en publiant des correctifs pour plus de 600 bugs. Seuls sept d'entre eux étaient classés comme de sévérité faible ou modérée, dont un qui était activement exploité par des pirates, selon Dustin Childs, responsable du programme de primes aux bugs Zero Day Initiative, une initiative de l'entreprise de cybersécurité TrendAI. Tous les autres étaient importants ou critiques.

Microsoft a indiqué à ProPublica que le volume global de bugs « ne va pas se stabiliser de sitôt », mais un porte-parole a ajouté que l'entreprise a « investi massivement, tant en personnel qu'en solutions de triage basées sur l'IA, capables de s'adapter rapidement pour gérer le nombre croissant de vulnérabilités. »

L'ÈRE DE L'IA : UN CHANGEMENT DE PARADIGME POUR LA SÉCURITÉ

Face à ces nouvelles réalités de l'ère de l'IA, y compris les capacités de chaînage des bugs, des entreprises comme Microsoft pourraient devoir repenser leur approche du triage, estime Vinh Nguyen, ancien responsable de l'IA à la NSA. Plutôt que de mettre de côté les failles désormais considérées comme à faible risque, les entreprises devraient consacrer du personnel au développement et au test de correctifs pour l'ensemble du spectre des vulnérabilités.

En d'autres termes, les services d'urgence cybernétiques doivent embaucher plus de médecins et d'infirmières pour soigner non seulement les maladies potentiellement mortelles, mais aussi les blessures mineures qui pourraient plus tard devenir mortelles.

Microsoft a déclaré à ProPublica qu'elle « réévaluera toujours et prendra en compte si les bugs précédemment classés comme faibles ou modérés doivent être reclassés ou repensés. Avec ces systèmes d'IA, cela nous amène à reconsidérer certaines de ces choses. Dans toute l'industrie, nous cherchons à voir à quel point ce changement sera radical. »

LES UTILISATEURS DE MICROSOFT, CIBLES PRIVILÉGIÉES

Les utilisateurs de Microsoft pourraient être particulièrement vulnérables. La popularité de ses produits, utilisés dans le monde entier, en fait une cible fréquente et lucrative pour les pirates. De plus, beaucoup de ses logiciels contiennent du code hérité (legacy code), développé il y a des décennies avec des technologies aujourd'hui obsolètes. Ce code contient des failles non corrigées et contribue à ce que l'industrie appelle la dette technique.

Mais le défi de corriger l'avalanche de bugs nouvellement découverts ne concerne pas seulement Microsoft. Il s'étend à l'ensemble de l'industrie du logiciel, y compris les logiciels open source, généralement gratuits et maintenus par des bénévoles. Les logiciels open source sous-tendent l'infrastructure d'Internet et sont intégrés dans une grande partie de la technologie moderne du monde, y compris les produits proposés par des géants technologiques comme Microsoft.

« Personne n'a vraiment trouvé comment gérer cela, et tout le monde cherche désespérément ce qu'il faut faire, » déclare J. Michael Daniel, ancien conseiller en cybersécurité du président Barack Obama et président de la Cyber Threat Alliance, une organisation à but non lucratif axée sur la cybersécurité. « Notre dette technique arrive à échéance. »

Ben Edwards, un data scientist spécialisé dans la gestion des vulnérabilités logicielles, compare la situation à un problème de volume : « L'industrie du logiciel gérait déjà un volume intense, même avant l'IA. C'était comme boire à un tuyau d'arrosage en mode jet avant, et maintenant c'est comme boire à un tuyau d'incendie. Ils avaient peut-être les équipes pour gérer ce tuyau d'arrosage. S'ils peuvent gérer le tuyau d'incendie, c'est une autre question. »

UN CENTRE DE SÉCURITÉ SOUS PRESSION

Bien que le volume de vulnérabilités ait augmenté au fil des années, le groupe interne de Microsoft chargé de les traiter, le Microsoft Security Response Center, est depuis toujours en sous-effectif. Même avant l'afflux de bugs identifiés par l'IA, ce centre recevait des centaines, voire des milliers de rapports par mois, le poussant à ses limites, comme l'a rapporté ProPublica.

La taille de ce centre reflète la philosophie corporative de Microsoft : corriger les failles de sécurité est un centre de coûts, tandis que le développement de nouveaux produits est un centre de profits, ont déclaré d'anciens employés. L'entreprise est réticente à mobiliser ses meilleurs ingénieurs pour créer des correctifs de sécurité — un centre de coûts — au lieu de développer de nouveaux produits et fonctionnalités générateurs de profits, selon ProPublica.

Microsoft a indiqué à ProPublica qu'elle ne commente pas les décisions internes en matière de personnel, mais a investi ces dernières années pour « concentrer nos équipes sur la sécurité de nos clients ». L'entreprise « évalue en continu le personnel, les processus et les technologies nécessaires pour soutenir la réponse aux incidents et la gestion des vulnérabilités, » a déclaré un porte-parole.

ANTHROPIC DONNE ACCÈS À 50 EMPLOYÉS DE MICROSOFT

Selon les diapositives accompagnant la présentation interne de mai 2025, Anthropic a fourni à Microsoft un accès à Mythos pour environ 50 employés à temps plein. L'objectif était de « renforcer les services critiques avant que les modèles disponibles publiquement ne rattrapent leur retard. » Une diapositive intitulée « Qu'est-ce qui vient ensuite ? » prévoyait que le Microsoft Security Response Center verrait un volume continu de cas « à mesure que les outils publics rattraperont Mythos. »

Lors de la réunion de mai, un employé semblait se rassurer en pensant que les adversaires « n'ont pas le code source » que ce type d'outil d'IA pourrait analyser pour trouver des faiblesses. Ses collègues l'ont rapidement corrigé. Des portions du code de Microsoft sont en effet tombées entre les mains de pirates au fil des années.

L'INDUSTRIE FACE À UN DÉFI SANS PRÉCÉDENT

Le défi de corriger l'afflux de bugs nouvellement découverts dépasse largement le cadre de Microsoft. Il touche l'ensemble de l'industrie du logiciel, y compris les logiciels open source, généralement gratuits et maintenus par des bénévoles. Les logiciels open source constituent la base de l'infrastructure d'Internet et sont intégrés dans une grande partie de la technologie moderne du monde, y compris les produits proposés par des géants technologiques comme Microsoft.

« Personne n'a vraiment trouvé comment gérer cela, et tout le monde cherche désespérément ce qu'il faut faire, » déclare J. Michael Daniel, ancien conseiller en cybersécurité du président Barack Obama et président de la Cyber Threat Alliance. « Notre dette technique arrive à échéance. »

Ben Edwards, un data scientist spécialisé dans la gestion des vulnérabilités logicielles, compare la situation à un problème de volume : « L'industrie du logiciel gérait déjà un volume intense, même avant l'IA. C'était comme boire à un tuyau d'arrosage en mode jet avant, et maintenant c'est comme boire à un tuyau d'incendie. Ils avaient peut-être les équipes pour gérer ce tuyau d'arrosage. S'ils peuvent gérer le tuyau d'incendie, c'est une autre question. »

LES PIRATES UTILISENT DÉJÀ L'IA POUR AUTOMATISER LEURS ATTAQUES

Il est impossible de savoir si des pirates ont exploité des bugs spécifiques identifiés par Mythos, mais certains ont déjà commencé à utiliser l'IA pour automatiser leurs attaques. Certains semblent même utiliser des technologies similaires à Mythos pour trouver et exploiter des failles. L'ère de l'IA a ouvert une nouvelle frontière dans la guerre cybernétique, où les attaquants et les défenseurs se livrent une course aux armements technologique.

Les logiciels open source, en particulier, sont vulnérables. Ils sont souvent maintenus par des bénévoles et peuvent contenir des failles non détectées pendant des années. Avec l'arrivée de l'IA, ces failles deviennent plus faciles à exploiter, ce qui expose des millions d'utilisateurs à travers le monde.

LA DETTE TECHNIQUE : UN FARDEAU QUI PÈSE SUR L'INDUSTRIE

Le code hérité (legacy code) de Microsoft, développé il y a des décennies, est un exemple frappant de la dette technique qui pèse sur l'industrie. Ce code, souvent obsolète et mal documenté, contient des failles qui n'ont jamais été corrigées. Aujourd'hui, avec l'IA qui découvre des bugs à un rythme effréné, cette dette technique devient un fardeau insupportable.

Les entreprises comme Microsoft doivent désormais investir massivement dans la modernisation de leur code et dans la formation de leurs équipes pour faire face à cette nouvelle ère. Mais le temps presse : chaque jour sans correctif est un jour de plus où les pirates peuvent exploiter les failles.

UNE COURSE CONTRE LA MONTRE POUR L'INDUSTRIE

L'industrie du logiciel est à un tournant. L'IA a changé la donne : elle permet de découvrir des bugs à une vitesse inégalée, mais elle expose aussi les entreprises à des risques qu'elles n'avaient jamais anticipés. Microsoft, comme ses concurrents, doit repenser sa stratégie de sécurité pour éviter de se faire dépasser par les événements.

Les experts s'accordent sur un point : l'ère de l'IA a rendu la sécurité informatique plus complexe que jamais. Les entreprises doivent désormais anticiper non seulement les attaques traditionnelles, mais aussi celles qui exploitent les failles découvertes par l'IA. Une tâche qui semble impossible sans une refonte complète de leurs approches.

LES GOUVERNEMENTS S'ALERTENT : LA FENÊTRE SE FERME

Fin juin 2025, les agences de renseignement des pays membres des Five Eyes ont publié une déclaration conjointe. Elles ont mis en garde contre le fait que la fenêtre d'opportunité pour corriger les failles avant que des adversaires ne disposent de modèles similaires à Mythos se refermait rapidement. Cette alerte montre que les gouvernements prennent la menace au sérieux et craignent une escalade des cyberattaques.

Pourtant, les documents internes de Microsoft suggèrent que cette fenêtre pourrait déjà être fermée. Les pirates, qu'ils soient des États hostiles ou des groupes criminels, utilisent désormais des outils basés sur l'IA pour scanner les logiciels à la recherche de failles. Une fois ces failles identifiées, elles peuvent être exploitées en quelques heures, voire quelques minutes.

L'AVENIR DE LA SÉCURITÉ INFORMATIQUE : UN NOUVEAU PARADIGME

Face à cette situation, l'industrie du logiciel doit adopter un nouveau paradigme. Les approches traditionnelles de triage des vulnérabilités ne suffisent plus. Les entreprises doivent investir dans des solutions basées sur l'IA pour automatiser la détection et la correction des bugs, mais aussi dans la formation de leurs équipes pour qu'elles puissent faire face à cette nouvelle réalité.

Les gouvernements, de leur côté, doivent renforcer leurs collaborations avec les entreprises pour partager les informations sur les vulnérabilités et développer des stratégies communes. La cybersécurité n'est plus l'affaire d'une seule entreprise ou d'un seul pays : c'est un enjeu mondial qui nécessite une réponse coordonnée.

LES UTILISATEURS FINAUX : PREMIÈRES VICTIMES OU ACTEURS DE LA SÉCURITÉ ?

Les utilisateurs finaux, qu'ils soient des particuliers ou des entreprises, sont les premières victimes potentielles des failles de sécurité. Mais ils peuvent aussi jouer un rôle clé dans la détection et la correction des bugs. En signalant les anomalies qu'ils observent, ils contribuent à renforcer la sécurité de l'ensemble de l'écosystème.

Les entreprises comme Microsoft doivent donc encourager cette participation en mettant en place des programmes de primes aux bugs et en communiquant clairement sur les vulnérabilités découvertes. La transparence est essentielle pour gagner la confiance des utilisateurs et les inciter à contribuer à la sécurité collective.

CONCLUSION : L'IA A CHANGÉ LA DONNE, ET PERSONNE N'EST PRÊT

L'ère de l'IA a transformé la cybersécurité en un champ de bataille où les attaquants et les défenseurs s'affrontent à une vitesse sans précédent. Microsoft, comme le reste de l'industrie, est en train de réaliser que ses anciennes méthodes ne suffisent plus. La course contre la montre est lancée, et le temps presse.

Les experts s'accordent sur un point : l'IA a rendu la sécurité informatique plus complexe que jamais. Les entreprises doivent désormais anticiper non seulement les attaques traditionnelles, mais aussi celles qui exploitent les failles découvertes par l'IA. Une tâche qui semble impossible sans une refonte complète de leurs approches.

Pour les utilisateurs, la situation est claire : la sécurité de leurs données dépend désormais de la capacité des entreprises à s'adapter à cette nouvelle ère. Et pour l'industrie, le défi est de taille : innover sans compromettre la sécurité, une équation qui semble de plus en plus difficile à résoudre.