Microsoft peine à corriger les bogues découverts par Claude Mythos d’Anthropic

Claude Mythos d’Anthropic aurait trouvé des centaines de vulnérabilités de sécurité dans les produits Microsoft, dont 231 failles SharePoint graves rien qu’en avril.

Ces résultats montrent comment l’intelligence artificielle peut accélérer la détection des bogues. Ils mettent toutefois en lumière la pression croissante qui pèse sur les équipes d’ingénierie de Microsoft pour examiner et corriger rapidement ces vulnérabilités.

Des employés de Microsoft ont salué Claude Mythos

Selon ProPublica, des employés de Microsoft ont salué Claude Mythos Preview d’Anthropic lors d’une réunion interne tenue en mai.

Anthropic aurait fourni un accès anticipé à une quarantaine de partenaires, dont Microsoft, Google, Apple et Amazon. L’entreprise a depuis rétabli l’accès à Mythos 5 après l’approbation du gouvernement américain.

Lors de la réunion chez Microsoft, les employés ont discuté de l’efficacité avec laquelle le modèle pouvait examiner de grandes bases de code et identifier les faiblesses de sécurité potentielles.

Claude Mythos a trouvé 231 vulnérabilités SharePoint graves

Claude Mythos aurait identifié 90 vulnérabilités SharePoint critiques et 141 importantes au cours du mois d’avril.

Les chiffres ne concernaient que SharePoint. Des centaines de vulnérabilités supplémentaires auraient été découvertes dans d’autres produits et services Microsoft.

Les responsables de Microsoft ont demandé aux équipes d’ingénierie de prioriser les problèmes critiques et importants. Les développeurs traiteraient les vulnérabilités de sévérité modérée plus tard, car les équipes manquaient de ressources pour résoudre immédiatement chaque trouvaille.

Les vulnérabilités modérées peuvent malgré tout créer des risques sérieux

Une vulnérabilité de sévérité modérée peut sembler moins urgente lorsqu’elle est examinée individuellement. Cependant, des attaquants peuvent combiner plusieurs faiblesses de gravité inférieure pour créer une chaîne d’exploitation plus dangereuse.

Cela rend la correction différée risquée, d’autant que les outils d’IA améliorent la vitesse à laquelle les chercheurs en sécurité et les attaquants peuvent analyser les logiciels.

Microsoft a déjà averti que l’IA rend le report des mises à jour Windows plus dangereux. Une découverte plus rapide des vulnérabilités pourrait raccourcir le délai entre l’identification d’une faille et son exploitation.

L’IA modifie le processus de sécurité de Microsoft

Microsoft a élargi sa stratégie de sécurité Windows axée sur l’IA en introduisant des outils d’IA dans ses pipelines de développement, de test et de sécurité.

L’entreprise a également lancé récemment MAI-Cyber-1-Flash, un modèle de cybersécurité conçu pour réduire le coût des enquêtes de sécurité automatisées. Microsoft prévoit d’intégrer le modèle dans MDASH.

Ces systèmes peuvent examiner plus de code et détecter plus de faiblesses que les équipes de sécurité traditionnelles ne pourraient le faire manuellement. Cependant, trouver davantage de vulnérabilités crée également un retard de correction plus important.

Le code hérité de Microsoft alourdit la charge de travail

Les produits Microsoft tels que Windows, SharePoint et Microsoft 365 contiennent du code développé sur plusieurs décennies.

Certains composants plus anciens peuvent ne pas suivre les normes de sécurité ou les pratiques de développement modernes. Examiner, remplacer et moderniser ces systèmes nécessite des ressources d’ingénierie considérables.

L’IA peut aider à identifier les faiblesses dans ces vastes bases de code, mais Microsoft a toujours besoin de développeurs pour valider les résultats, créer des correctifs, tester les mises à jour et déployer des correctifs sans perturber les clients.

Microsoft examine les effectifs et les investissements en sécurité

Microsoft a déclaré à ProPublica qu’il continuait d’examiner la façon dont ses équipes classent et priorisent les vulnérabilités.

L’entreprise évalue également les niveaux d’effectifs, les investissements en sécurité et les outils de développement alors que l’IA augmente le nombre de problèmes découverts.

Le défi ne consiste plus seulement à trouver des vulnérabilités. Microsoft doit également s’assurer que ses équipes d’ingénierie peuvent les traiter et les corriger suffisamment rapidement.

La stratégie d’IA plus large de l’entreprise pourrait l’aider à choisir le meilleur modèle pour chaque tâche. Microsoft défie OpenAI et Anthropic en évitant de dépendre d’un seul fournisseur d’IA, donnant à ses équipes l’accès à différents modèles selon le coût, les performances et les exigences de sécurité.

La détection de bogues pilotée par l’IA pourrait améliorer considérablement la sécurité des logiciels. Elle pourrait aussi exposer plus de vulnérabilités que les équipes d’ingénierie ne peuvent en traiter immédiatement, ce qui accroît l’importance des effectifs, de la priorisation et d’un développement plus rapide des correctifs.