Cauchemar ou prouesse technique ? Une IA non dévoilée d’Anthropic a réussi l’impensable : s’échapper du bac à sable de Chrome et provoquer des failles de sécurité comme extraire des photos d’un Google Pixel 9 verrouillé, simplement branché en USB.
En enchaînant quatre failles, le modèle a exécuté un code hors de son environnement sécurisé. Anthropic assure avoir signalé les failles et que Google les a corrigées. Mais cette démonstration soulève des questions vertigineuses sur les capacités et les risques des IA de nouvelle génération.
Trois choses méritent d’être retenues de ce dossier.
- Les failles sont réelles et corrigées. 62 CVE Chrome, des correctifs Apple et Microsoft, des crédits officiels : le socle factuel est là.
- La part de l’IA reste difficile à isoler. Sans accès au modèle ni au détail des interventions humaines, il est impossible de trancher entre « l’IA a tout fait » et « l’IA a accéléré un travail humain ». Les divergences CVE — QUIC vs HTTP.sys pour Windows, MPTCP vs TCP IPv4 pour Linux — fragilisent la précision du récit, même si elles ne l’invalident pas.
- L’enjeu dépasse la performance. Si un modèle peut enchaîner seul plusieurs failles, le rapport de force entre défenseurs et attaquants change. Les correctifs arriveront peut-être plus vite — mais les attaques aussi. Anthropic présente ce travail comme une aide concrète aux défenseurs, et c’est peut-être là l’essentiel : la vitesse de découverte pourrait basculer du côté de la défense. À condition, bien sûr, que la démonstration soit reproductible — et pas seulement racontée.
Une intelligence artificielle qui enchaîne les failles toute seule
À première vue, l’affaire ressemble à un scénario de film. Pourtant, Anthropic affirme qu’un de ses modèles non publiés a trouvé des failles dans Chrome, Safari, Android, Windows et Linux. Mieux encore, la société assure que l’intelligence artificielle les a combinées en exploits fonctionnels. Toutefois, ces attaques ont été construites en laboratoire, après des consignes humaines. De plus, aucune n’a été observée lors d’une véritable attaque. Surtout, Anthropic a prévenu chaque éditeur avant toute publication. Conséquemment, l’ensemble des failles est déjà corrigé aujourd’hui. Enfin, une démonstration ouvre l’application Calculatrice sur un Mac de série, quelques secondes après le chargement d’une page.
La chaîne Chrome mobilise quatre défauts successifs
Dans le détail, la chaîne Chrome repose sur 4 failles bien distinctes. D’abord, une page piégée corrompt la mémoire de V8, le moteur JavaScript du navigateur. Ensuite, une seconde faille fait sortir le code du bac à sable mémoire de V8. Puis, une condition de course dans CacheStorage autorise la lecture de zones normalement inaccessibles. Par ailleurs, cette lecture révèle la structure du processus navigateur, bien plus privilégié. Finalement, un défaut d’usage après libération dans FedCM libère complètement l’exécution hors du bac à sable. À titre de comparaison, Anthropic dit avoir signalé 62 failles à Google, toutes corrigées dans Chrome 156. D’ailleurs, 13 d’entre elles permettent de s’échapper du bac à sable. Les notes de version créditent Xinyang Ge d’Anthropic, assisté par Claude, pour certains correctifs.
Safari : pas de code exécuté, mais tout est lisible
Autre méthode, autre logique : la chaîne Safari n’exécute pas la moindre ligne de code. À la place, elle obtient un accès complet en lecture et en écriture à la mémoire du navigateur. Dès lors, une seule valeur modifiée suffit à désactiver la politique de même origine. En outre, une page malveillante peut lire l’historique et les cookies de l’utilisateur. À vrai dire, elle peut aussi envoyer des requêtes authentifiées vers d’autres sites, comme une messagerie ou une banque. Cependant, aucune élévation de privilèges n’est nécessaire ici. Apple a corrigé le défaut central dans iOS et iPadOS 26.5.2, le 29 juin. La firme crédite Milad Nasr et Nicholas Carlini, avec Claude et Anthropic.
Android : un téléphone verrouillé, mais nu
Plus dérangeant encore, la chaîne Android cible un téléphone volé et verrouillé. Certes, elle exige un accès physique à l’appareil, par le port USB. Malgré cette contrainte, elle copie photos et autres données sans aucun déverrouillage. En effet, le vol d’un smartphone devient alors une fuite directe de contenu privé. Or, Anthropic affirme que Google a corrigé le problème. Bref, aucun avis public n’a été retrouvé pour ce cas précis. Il faut donc s’en remettre à la parole du chercheur et à celle de l’éditeur. Voilà pourquoi la vérification indépendante reste impossible pour un lecteur extérieur.
Windows : un déni de service, mais une divergence gênante
La chaîne Windows est la plus étroite : quelques paquets réseau suffisent à faire tomber un serveur qui répond aux requêtes HTTP/3, et l’attaquant peut maintenir la machine hors service en répétant l’envoi. En revanche, aucun code n’est exécuté et aucune donnée n’est dérobée.
C’est ici que le dossier se fissure. Anthropic décrit une lecture hors limites dans la pile QUIC du noyau et associe la faille à CVE-2026-33096. Or, la fiche publique de cette CVE désigne HTTP.sys, avec une note de 7,5/10 (Important), et ne crédite aucun découvreur. La description d’Anthropic et le registre public ne concordent pas, et rien ne permet de confirmer indépendamment le lien entre les deux.
Linux : le shell root à distance, et une autre divergence
La chaîne Linux est la plus grave : elle ouvre un shell root à distance, sans identifiant ni interaction utilisateur, si un service TCP multipoint (MPTCP) est actif. Le prototype aurait mis 48 minutes à fuiter une adresse noyau, puis 5 minutes de plus à obtenir le shell, sans faire crasher la cible lors des tentatives échouées.
Mais là encore, les descriptions divergent. Anthropic cite CVE-2026-98432 et parle de multipath TCP. La fiche publique de cette CVE décrit une condition de course dans la gestion des connexions TCP IPv4, avec un use-after-free, et ne mentionne pas MPTCP. Le lien entre la faille et le multipath TCP vient du texte d’Anthropic, pas du registre public. La note, elle, varie : le kernel CVE team la classe à 9,8/10, tandis que Red Hat, Amazon, Oracle et SUSE la notent entre 5,9 et 8,1.
Ce qui est vérifiable, ce qui repose sur la confiance
Reste la question de la preuve, absolument centrale dans ce dossier. D’un côté, les correctifs existent et les éditeurs créditent bien Anthropic. Apple et Google confirment donc une partie du travail accompli. De l’autre, personne ne peut mesurer la part réelle du modèle dans chaque chaîne. La société parle d’un amorçage initial et d’une faible intervention humaine. Or, elle ne détaille jamais les gestes humains étape par étape. De surcroît, elle ne nomme pas le modèle, présenté comme interne et non publié. Pour Windows, la fiche CVE ne crédite aucun découvreur. En dernier lieu, les descriptions divergent entre le texte d’Anthropic et les registres publics.
Un rapport de force qui pourrait basculer durablement
Au final, l’intérêt dépasse largement la seule performance technique. Anthropic présente ce travail comme une aide concrète aux défenseurs. L’entreprise applique une divulgation coordonnée de 90 jours, plus 45 avant tout détail supplémentaire. Elle ouvre aussi son programme de vérification à des professionnels agréés. Qui plus est, elle affirme qu’un modèle peut désormais enchaîner seul plusieurs failles. Jusqu’ici, cette compétence restait réservée à quelques équipes très spécialisées. Si la démonstration se confirme, le rapport de force change réellement. Les correctifs arriveront peut-être plus vite. Mais les attaquants gagneront aussi en vitesse. Voilà pourquoi ce sujet mérite une attention durable.
Restez toujours informé avec TECHNPLAY.COM !
Abonnez-vous à notre chaîne YouTube et ajoutez-nous à vos favoris sur Google Actualités pour ne rien rater.
- Partager l'article :
Arrivée chez Publithings en 2022 en tant que rédactrice web, je pilote aujourd'hui la ligne éditoriale de technplay.com comme rédactrice en chef. De l’analyse des derniers blockbusters aux nouveautés sur la mobilité douce, en passant par l’actu du jeu vidéo et des séries cultes, je décrypte la pop culture et...
