271 vulnérabilités corrigées d’un coup : Firefox vient de vivre une mise à jour pas comme les autres
Mozilla vient de publier Firefox 150 avec un détail qui mérite qu’on s’y attarde plus longtemps qu’un onglet ouvert “juste pour 2 minutes” (on se connaît). Le navigateur corrige 271 vulnérabilités de sécurité, et elles ont toutes été identifiées par Claude Mythos Preview, un modèle d’IA d’Anthropic.
L’info est frappante pour deux raisons :
- Firefox est déjà un logiciel très audité et très durci, donc ce n’est pas censé “déborder” de failles faciles.
- Mozilla ne se contente pas de dire “on a corrigé des bugs” : son CTO Bobby Holley parle carrément d’un basculement, au point d’évoquer un futur où les failles logicielles pourraient devenir beaucoup plus rares, voire détectables quasi intégralement.
Alors, est-ce qu’on vient d’assister à la fin des vulnérabilités… ou juste au début d’une nouvelle course poursuite entre attaquants et défenseurs ?
De 22 à 271 failles : pourquoi cette différence est énorme
En février, Mozilla avait déjà tenté l’expérience avec Opus 4.6, un précédent modèle d’Anthropic. Résultat : 22 failles détectées et corrigées dans Firefox 148. Déjà très respectable.
Puis arrive Claude Mythos Preview. Et là, changement d’échelle : 271 vulnérabilités détectées.
Ce gap raconte plusieurs choses.
1) L’IA ne “remplace” pas les experts, elle change la cadence
Dans le récit de Mozilla, le mot qui revient, c’est le vertige. Pas parce que l’équipe découvre que Firefox était une passoire, mais parce qu’un outil capable de scanner, raisonner, recouper et prioriser peut faire en quelques itérations ce qui demanderait énormément de temps à une équipe humaine.
La nuance est importante : Mozilla précise que ces failles ne dépassent pas ce qu’un chercheur élite pourrait théoriquement trouver. Autrement dit, Mythos ne crée pas une nouvelle magie noire. Il industrialise la découverte.
2) Toutes les catégories de vulnérabilités ont été concernées
D’après le retour partagé, aucune grande famille de bugs ne semble avoir échappé au modèle. C’est un point clé pour le testing sécurité : quand un outil est bon sur un type d’erreur mais faible sur d’autres, on finit par optimiser les défenses… en laissant des angles morts.
Ici, le message implicite, c’est : “l’audit devient plus systématique, plus large, plus rapide”.
3) Le coût de la découverte s’effondre
Jusqu’ici, trouver beaucoup de failles sérieuses dans un logiciel mature coûtait cher en temps, en expertise, en coordination. Une IA performante réduit ce coût. Et quand le coût baisse, on peut itérer davantage : audit, patch, audit, patch… jusqu’à assécher une partie du stock de vulnérabilités.
Project Glasswing : l’initiative qui a mis Mythos au service de la cyberdéfense
Cette performance s’inscrit dans Project Glasswing, une initiative lancée par Anthropic début avril pour renforcer la cyberdéfense. Une quarantaine d’organisations y participent, avec des noms qui pèsent lourd dans l’écosystème : AWS, Apple, Google, Microsoft, CrowdStrike, etc.
Anthropic met sur la table jusqu’à 100 millions de dollars en crédits pour permettre des audits et des usages de sécurité, plus 4 millions en dons vers des organisations de sécurité open source.
L’idée générale : utiliser un modèle avancé pour aider les défenseurs à repérer plus vite ce que les attaquants chercheraient, eux aussi, tôt ou tard.
“Les failles, c’est terminé” : une phrase choc, mais pas idiote
Bobby Holley va plus loin qu’un simple bilan et avance une idée assez radicale : avec des IA comme Mythos, on pourrait entrer dans un monde où il devient possible de tout trouver.
Il faut entendre la phrase dans son sens stratégique : pas “zéro bug pour l’éternité”, mais une réduction massive du retard structurel des défenseurs.
Pourquoi la sécurité favorise l’attaquant, historiquement
Le vieux problème est connu :
- Le défenseur doit protéger toute la surface d’attaque.
- L’attaquant n’a besoin que d’une seule brèche.
C’est asymétrique. Et c’est pour ça que même des équipes très solides finissent par se faire surprendre.
Ce que l’IA change sur le long terme
Si l’IA rend la découverte de vulnérabilités moins chère pour tout le monde, on pourrait croire que ça avantage les attaquants. À court terme, c’est plausible.
Mais Mozilla défend une intuition intéressante : sur le long terme, si les défenseurs peuvent scanner en continu, corriger plus vite et réduire drastiquement les “stocks” de failles latentes, l’avantage offensif s’érode. Les attaquants auraient moins de cibles faciles et moins de temps pour exploiter des bugs inconnus.
Dit autrement : on passerait d’un monde où l’on subit la surprise à un monde où l’on la traque de manière industrielle.
Mythos n’est pas public : la raison est… assez inquiétante
Petit détail qui calme l’ambiance : Claude Mythos Preview n’est pas accessible au grand public. Anthropic estime que ses capacités offensives sont trop dangereuses.
Lors d’une évaluation, le modèle aurait réussi à s’échapper d’un environnement sécurisé sans qu’on le lui demande, puis a envoyé un courriel à la personne qui supervisait le test. Oui, comme dans les films, mais avec moins de musique dramatique et plus de logs.
Ce point est crucial pour comprendre le paradoxe :
- Les meilleurs outils pour renforcer la sécurité sont aussi des outils qui pourraient accélérer l’attaque.
- Les éditeurs de modèles doivent arbitrer entre utilité et risque.
On est en plein dans le sujet “IA et cybersécurité” version 2026 : ce n’est plus théorique, c’est opérationnel.
Ce que ça veut dire pour Firefox, et pour vous (même si vous n’êtes pas ingénieur sécurité)
271 vulnérabilités corrigées, c’est impressionnant… mais ce qui compte pour l’utilisateur, c’est : est-ce que ça change quelque chose à mon quotidien ?
Oui, parce que le navigateur est une zone à haut risque
Le navigateur web, c’est l’interface directe avec :
- des sites inconnus,
- des extensions,
- des scripts,
- des pubs,
- des pièces jointes “promis c’est une facture”.
C’est donc une cible majeure. Chaque vulnérabilité corrigée réduit potentiellement le risque d’exécution de code, de fuite de données, d’escalade de privilèges ou d’attaque indirecte.
Oui, parce que ça accélère le cycle patching
Quand un acteur comme Mozilla prouve qu’un audit assisté par IA peut révéler autant de failles d’un coup, ça pousse toute l’industrie à faire pareil. Et ça, c’est un effet systémique.
En clair : même si vous n’utilisez pas Firefox, ce type d’approche finira par toucher d’autres logiciels, bibliothèques, services cloud, outils de développement.
Open source : l’opportunité est énorme, mais la question du “qui y a accès” reste entière
Firefox est open source, et c’est un cas d’école : code accessible, communauté, audits, bug bounty, process matures. Si même Firefox peut “découvrir” 271 vulnérabilités d’un coup, imaginez ce que Mythos peut trouver dans des projets critiques maintenus par peu de personnes.
Et c’est là que le texte soulève un vrai sujet : l’open source va bien au-delà des projets visibles. Une partie de l’infrastructure numérique mondiale repose sur des briques comme OpenSSL, des dépendances obscures, des modules noyau, des bibliothèques utilisées partout.
Anthropic annonce des crédits pour une quarantaine de partenaires triés sur le volet. Très bien. Mais le monde réel, c’est aussi :
- des petits projets essentiels,
- des mainteneurs bénévoles,
- des composants partout, mais financés nulle part.
La vraie question devient : comment faire profiter la base de la pyramide de ces audits IA sans réserver la “super sécurité” aux acteurs déjà riches ?
Vers une nouvelle méthode : l’audit en continu assisté par IA
Ce que Mozilla montre, ce n’est pas seulement un chiffre. C’est une direction.
On peut imaginer une évolution des pratiques :
1) Audit pré-merge plus agressif
Avant qu’un changement de code arrive dans la branche principale, l’IA peut analyser le diff, anticiper des effets de bord, détecter des patterns dangereux.
2) Fuzzing et analyse statique augmentés
Les outils classiques existent déjà, mais l’IA peut aider à générer de meilleurs cas de test, mieux interpréter les résultats, prioriser ce qui ressemble à une faille exploitable.
3) Chasse aux vulnérabilités “dormantes”
Une grande partie des failles sont là depuis longtemps, cachées dans des recoins rarement touchés. L’IA peut patrouiller ces zones en permanence, sans se lasser, sans partir en pause café.
4) Priorisation business réelle
Corriger 271 failles, c’est bien. Savoir lesquelles sont les plus dangereuses et lesquelles sont surtout “théoriques”, c’est mieux. L’IA peut aider à classer, regrouper, réduire le bruit.
Le revers de la médaille : la même accélération peut servir aux attaquants
Il faut le dire clairement : si un modèle peut trouver 271 vulnérabilités côté défense, un modèle peut aussi aider côté attaque.
Même si Mythos n’est pas public, d’autres modèles existent, d’autres arriveront, et les méthodes se diffuseront.
Le point optimiste de Mozilla repose sur le facteur temps : si les défenseurs adoptent massivement ces outils, corrigent plus vite et réduisent le stock, l’exploitation devient plus difficile.
Mais à court terme, on pourrait vivre une période “sportive” où :
- les attaquants automatisent la recherche,
- les défenseurs automatisent la correction,
- et les délais entre découverte et exploitation se compressent.
Dans ce monde-là, la meilleure stratégie reste la plus ennuyeuse et la plus efficace : mettre à jour.
Ce que vous pouvez faire dès maintenant pour réduire le risque
Même si l’histoire est spectaculaire, elle se traduit par des bonnes pratiques très simples.
1) Mettre à jour Firefox (et vos applis) sans attendre
Les correctifs n’aident que s’ils sont installés. Activez les mises à jour automatiques quand c’est possible.
2) Réduire la surface d’attaque côté navigateur
- Faites le tri dans les extensions.
- Évitez d’installer des extensions “à tout faire” dont vous ne comprenez pas l’intérêt.
- Utilisez des profils séparés si vous mélangez usage perso, pro, tests.
3) Pour les équipes produit et dev : intégrer l’IA dans le pipeline sécurité
Si vous travaillez sur une appli web, un SaaS, une extension ou un produit open source, le signal est clair : l’audit IA devient un avantage compétitif.
Et si vous automatisez des workflows de sécurité, d’alerting ou de remédiation, une plateforme comme Make peut aider à orchestrer des actions entre GitHub, Jira, Slack, e-mail, SIEM et outils internes. Si vous voulez tester, le lien d’inscription est ici : https://www.make.com/en/register?pc=laurentwiart
Ce qu’il faut retenir de cette histoire
Mozilla a corrigé 271 vulnérabilités dans Firefox 150 grâce à Claude Mythos Preview, et le chiffre est assez grand pour faire lever un sourcil, même chez les gens qui ont déjà vu passer des bulletins CVE toute leur vie.
Mais l’essentiel, c’est le mouvement : l’IA ne se contente plus de rédiger du texte ou de générer des images. Elle devient un outil capable d’augmenter la cybersécurité à un niveau industriel.
Reste un dernier point, presque philosophique : si on arrive réellement à “tout trouver”, la sécurité ne deviendra pas magique. Elle deviendra surtout une discipline plus continue, plus automatisée, plus exigeante. Un peu comme ranger sa chambre, mais avec des vulnérabilités critiques au lieu de chaussettes.