Claude a passé au crible 25 logiciels gratuits et y a trouvé 493 problèmes de sécurité
Anthropic, le créateur de Claude, a confié à son IA l’inspection de 25 logiciels open source (dont le code est public et gratuit), soit plus de 5 millions de lignes. Elle a repéré des portes laissées ouvertes, parfois depuis 21 ans.
L’étude, publiée mardi par l’équipe de sécurité d’Anthropic, ne cherchait pas les bugs un par un. Elle visait ce que les spécialistes appellent la surface d’attaque : tout le code qu’un pirate peut atteindre, même s’il ne sert à rien. Claude a passé en revue plus de 17 000 réglages, dont 3 842 liés à la sécurité, pour repérer les options activées par défaut sans raison, les combinaisons de réglages qui coupent une protection sans prévenir, et le code qui s’exécute avant même que l’utilisateur se soit identifié.
L’exemple le plus parlant concerne OpenSSH, le logiciel qu’utilisent des millions de serveurs pour s’y connecter à distance. Environ 4 500 lignes de code expérimental y étaient accessibles à n’importe qui, avant toute identification, soit à peu près 16 % de cette partie sensible. Les responsables du projet ont corrigé le problème en 2 versions successives. Ailleurs, Claude a trouvé une vérification de certificat (la carte d’identité numérique d’un appareil) désactivée sans avertissement depuis 21 ans.
Anthropic précise que tout changement touchant un réglage choisi par l’utilisateur reste soumis à la décision d’un humain, et la méthode doit rejoindre un outil d’analyse gratuit. Pour une fois, le message est rassurant : la même IA qui aide les pirates à attaquer plus vite aide aussi à fermer les portes oubliées. Et pour quiconque gère un site ou un serveur, la leçon vaut sans IA : chaque option inutile laissée active est une porte de plus.