Microsoft peine à corriger les bogues découverts par Claude Mythos d’Anthropic

Selon certaines informations, Claude Mythos d’Anthropic aurait découvert des centaines de vulnérabilités de sécurité dans les produits Microsoft, dont 231 failles sérieuses dans SharePoint rien qu’au mois d’avril.

Ces résultats montrent comment l’intelligence artificielle peut accélérer la détection des bogues. Ils soulignent toutefois la pression croissante sur les équipes d’ingénierie de Microsoft pour enquêter sur les vulnérabilités et les corriger rapidement.

Les employés de Microsoft ont salué Claude Mythos

D’après ProPublica, des employés de Microsoft ont salué Claude Mythos Preview d’Anthropic lors d’une réunion interne tenue en mai.

Anthropic aurait fourni un accès anticipé à une quarantaine de partenaires, dont Microsoft, Google, Apple et Amazon. L’entreprise a depuis rétabli l’accès à Mythos 5 après approbation du gouvernement américain.

Lors de la réunion chez Microsoft, les employés ont discuté de l’efficacité du modèle pour examiner de vastes bases de code et identifier des faiblesses de sécurité potentielles.

Claude Mythos a trouvé 231 vulnérabilités sérieuses dans SharePoint

Claude Mythos aurait identifié 90 vulnérabilités critiques et 141 vulnérabilités importantes dans SharePoint au cours du mois d’avril.

Ces chiffres ne concernent que SharePoint. Des centaines de vulnérabilités supplémentaires auraient été découvertes dans d’autres produits et services Microsoft.

Les responsables de Microsoft ont demandé aux équipes d’ingénierie de prioriser les problèmes critiques et importants. Les développeurs traiteront les vulnérabilités de sévérité modérée ultérieurement, car les équipes ne disposaient pas de ressources suffisantes pour résoudre immédiatement chaque découverte.

Les vulnérabilités de sévérité modérée peuvent tout de même créer des risques sérieux

Une vulnérabilité de sévérité modérée peut sembler moins urgente lorsqu’elle est examinée individuellement. Cependant, des attaquants peuvent combiner plusieurs faiblesses de sévérité inférieure pour créer une chaîne d’exploitation plus dangereuse.

Cela rend la correction différée risquée, d’autant plus que les outils d’IA améliorent la vitesse à laquelle chercheurs en sécurité et attaquants peuvent analyser les logiciels.

Microsoft a déjà averti que l’IA rend le report des mises à jour de Windows plus dangereux. Une découverte plus rapide des vulnérabilités pourrait raccourcir le délai entre l’identification d’une faille et son exploitation.

L’IA modifie le processus de sécurité de Microsoft

Microsoft a étendu sa stratégie de sécurité de Windows pilotée par l’IA en introduisant des outils d’IA dans ses pipelines de développement, de test et de sécurité.

L’entreprise a également récemment présenté MAI-Cyber-1-Flash, un modèle de cybersécurité conçu pour réduire le coût des enquêtes de sécurité automatisées. Microsoft prévoit d’intégrer ce modèle dans MDASH.

Ces systèmes peuvent examiner plus de code et détecter plus de faiblesses que les équipes de sécurité traditionnelles ne pourraient en identifier manuellement. Cependant, trouver plus de vulnérabilités crée également un retard de correction plus important.

Le code hérité de Microsoft alourdit la charge de travail

Les produits Microsoft tels que Windows, SharePoint et Microsoft 365 contiennent du code développé sur plusieurs décennies.

Certains composants plus anciens peuvent ne pas respecter les normes de sécurité ou les pratiques de développement modernes. L’examen, le remplacement et la modernisation de ces systèmes exigent des ressources d’ingénierie considérables.

L’IA peut aider à identifier les faiblesses dans ces vastes bases de code, mais Microsoft a toujours besoin de développeurs pour valider les résultats, produire des correctifs, tester les mises à jour et déployer les patches sans perturber les clients.

Microsoft réexamine les effectifs et les investissements en sécurité

Microsoft a déclaré à ProPublica qu’il continue d’examiner comment ses équipes classifient et priorisent les vulnérabilités.

L’entreprise évalue également les niveaux d’effectifs, les investissements en sécurité et les outils de développement à mesure que l’IA augmente le nombre de problèmes découverts.

Le défi ne consiste plus seulement à trouver des vulnérabilités. Microsoft doit aussi s’assurer que ses équipes d’ingénierie peuvent les traiter et les réparer assez rapidement.

La stratégie d’IA plus large de l’entreprise pourrait l’aider à choisir le meilleur modèle pour chaque tâche. Microsoft défie OpenAI et Anthropic en évitant de dépendre d’un seul fournisseur d’IA, ce qui donne à ses équipes accès à différents modèles en fonction du coût, des performances et des exigences de sécurité.

La détection de bogues pilotée par l’IA pourrait nettement améliorer la sécurité des logiciels. Elle pourrait également exposer plus de vulnérabilités que les équipes d’ingénierie ne peuvent traiter immédiatement, ce qui renforce l’importance des effectifs, de la priorisation et d’un développement plus rapide des patches.