Claude trouve 22 failles dans Firefox : l'audit IA accessible

En deux semaines et pour 4 000 dollars de crédits API, Claude Opus 4.6 a identifié 22 vulnérabilités dans le code source de Firefox – dont 14 classées haute sévérité par Mozilla. Ces chiffres, publiés le 6 mars 2026 par Anthropic et Mozilla, marquent un tournant : l’audit de sécurité du code, jusqu’ici réservé aux grandes entreprises, devient accessible a des budgets PME.

Les faits : 6 000 fichiers C++ passés au crible

Le partenariat entre Anthropic et Mozilla s’est deroule en février 2026. L’équipe a utilise Claude Opus 4.6 pour analyser près de 6 000 fichiers C++ du code source de Firefox, en commençant par le moteur JavaScript avant d’élargir a l’ensemble du navigateur.

Le bilan est significatif :

• 22 vulnérabilités de sécurité identifiées, dont 14 de haute sévérité
• 112 rapports de vulnérabilités uniques soumis au total
• 90 bugs supplémentaires non liés a la sécurité, dont la plupart sont désormais corrigés
• Coût total : environ 4 000 $ en crédits API

Parmi les failles découvertes, des vulnérabilités de type Use After Free dans le moteur JavaScript – des défauts de gestion mémoire qui pourraient permettre a un attaquant d’écrire des données malveillantes en mémoire. Ces 14 failles haute sévérité représentent a elles seules près d’un cinquieme de toutes les failles critiques corrigées dans Firefox l’année précédente.

Mozilla a reagi avec une rapidité remarquable : les ingénieurs ont commence a corriger les failles en quelques heures après réception des rapports. La quasi-totalité des correctifs est intégrée dans Firefox 148, déployé auprès de centaines de millions d’utilisateurs.

Pourquoi 4 000 $ changent la donne pour les PME

Un audit de sécurité traditionnel realise par des experts humains coûte entre 30 000 et 100 000 euros selon la taille du projet. C’est un investissement que la plupart des PME ne peuvent pas se permettre, surtout de manière régulière.

L’audit Firefox par Claude remet cette équation en perspective :

• Coût : 4 000 $ contre 30 000 a 100 000 EUR pour un audit humain
• Délai : 2 semaines contre 4 a 12 semaines habituellement
• Couverture : 6 000 fichiers analyses, une échelle difficile a atteindre manuellement
• Qualité des rapports : chaque faille accompagnee d’un cas de test minimal et d’un correctif candidat

Ce qui distingue cette approche des précédentes tentatives d’audit par IA, c’est la qualité des livrables. Mozilla a souligne que les rapports incluaient des cas de test minimaux permettant une vérification rapide – un niveau de détail que les soumissions automatisées n’atteignaient pas jusqu’ici. Si votre PME s’interroge sur les obligations de sécurité qui arrivent, notre guide sur la directive NIS2 detaille les nouvelles exigences applicables des octobre 2026.

Ce que votre PME peut faire concrètement

Vous n’avez pas besoin de scanner un navigateur de 6 000 fichiers. Mais vous pouvez tirer parti de cette même technologie a votre échelle :

Auditer vos dépendances open source

Votre stack technique repose probablement sur des dizaines de bibliothèques open source. Un audit IA peut identifier des vulnérabilités connues et inconnues dans ces composants pour une fraction du coût d’un audit manuel.

Scanner votre code métier

Si vous developpez des outils internes ou des applications client, un passage régulier par un outil d’analyse IA peut détecter des failles de sécurité avant qu’elles ne soient exploitees.

Préparer vos obligations réglementaires. Avec NIS2 en octobre 2026 et l’AI Act dont les sanctions sur la formation et la transparence courent au 2 août 2026, la pression réglementaire sur la sécurité augmente. L’audit IA offre un moyen concret et abordable de documenter vos efforts de conformité. Pour anticiper l’ensemble de vos obligations IA, consultez notre guide pratique sur l’AI Act 2026.

Évaluer la sécurité de vos prestataires

Vous pouvez demander a vos fournisseurs de soumettre leur code a un audit IA, ou l’intégrer comme critère dans vos appels d’offres.

Les limites a connaître avant de foncer

L’enthousiasme autour de ces résultats ne doit pas masquer les limites bien réelles de l’approche :

L’IA ne remplace pas un expert sécurité

Sur les 22 failles identifiées, Claude n’a reussi a produire un exploit fonctionnel que dans 2 cas – et uniquement dans un environnement de test contraint ou les protections du navigateur (notamment le sandbox) étaient desactivees. Identifier une faille et l’exploiter sont deux compétences distinctes, et l’analyse humaine reste indispensable pour évaluer la gravité réelle d’une vulnérabilité.

La couverture n’est pas exhaustive. L’audit IA excelle a détecter certaines classes d’erreurs logiques que les outils de fuzzing traditionnels manquaient. Mais les failles liées aux identités, aux credentials, aux configurations et aux facteurs humains restent hors de portée. Une stratégie de sécurité complète ne peut pas reposer uniquement sur l’analyse de code. Pour comprendre comment protéger globalement vos données face aux risques IA, une approche multicouche reste nécessaire.

Le risque dual

La même technologie qui permet de trouver des failles est accessible aux attaquants. Anthropic a note que trouver des vulnérabilités coûte un ordre de grandeur moins cher que de créer des exploits – mais cet écart pourrait se réduire avec les progres des modèles.

Un signal fort pour la sécurité des PME

L’audit Firefox par Claude n’est pas un cas isole. Anthropic a annonce avoir identifie plus de 500 vulnérabilités dans d’autres projets open source avec la même approche. Mozilla prévoit d’intégrer l’analyse assistee par IA dans ses processus de sécurité internes.

Pour les PME, le message est pragmatique : l’audit de sécurité du code n’est plus un luxe reserve aux entreprises du CAC 40. Les outils existent, les coûts sont accessibles et la réglementation pousse dans cette direction.

La prochaine étape n’est pas de remplacer vos pratiques de sécurité actuelles, mais de les renforcer. Un audit IA ponctuel sur vos composants critiques, combine a une stratégie de sécurité globale, constitue une première action concrète et mesurable.