Project Glasswing : 7 mois de bilan mitigé
Original : Tracking Anthropic-discovered vulnerabilities
Pourquoi c'est important
Le bilan illustre l'écart entre promesses marketing des modèles IA et impact réel en cybersécurité.
Sept mois après le lancement de Project Glasswing, VulnCheck recense 442 CVE attribuables à Anthropic, soit 0,5 % des CVE publiés en 2026. Seulement 2 ont été exploités dans la nature, et 217 marqués comme corrigés.
Lancé le 7 avril 2026, Project Glasswing promettait la découverte de « milliers de vulnérabilités critiques » dans des logiciels open source. Sept mois plus tard, Patrick Garrity de VulnCheck dresse un bilan nettement plus nuancé.
Sur 37 966 findings signalés par Anthropic, seulement 7 349 (19,4 %) ont été rendus publics, et 217 marqués comme corrigés. Depuis septembre, Anthropic a ajouté près de 12 000 nouveaux findings tout en n'enregistrant que 15 corrections supplémentaires — un écart qui ne cesse de se creuser. Par comparaison, 1 654 findings (4,4 %) ont été classés en doublon, soit presque huit fois le nombre corrigé, et 419 autres ont été retirés.
Anthropic revendique un taux de vrais positifs en hausse, passé de 90,8 % à 94,2 %, mais ce chiffre soulève des interrogations : comment les doublons et les findings retirés sont-ils comptabilisés ? Sur le terrain, curl a rejeté 19 des 34 rapports publiés comme non-vulnérabilités, confirmé six cas de faible sévérité et laissé neuf en attente d'évaluation. Un contre-exemple concret qui met en doute la fiabilité du taux affiché.