Un logiciel peut offrir trop de prises à un attaquant sans qu’une faille immédiatement exploitable ait déjà été découverte. C’est ce qu’Anthropic a demandé à Claude d’examiner dans 25 projets open source. L’étude publiée le 20 octobre rapporte 493 problèmes liés à leur exposition, avec une méthode qui cherche à limiter les chemins accessibles plutôt qu’à collectionner les exploits.
Le chiffre est frappant, mais son sens compte davantage. Ces 493 constats ne doivent pas devenir une liste de 493 vulnérabilités critiques. Le travail porte sur la surface d’attaque : les parties d’un logiciel qu’une entrée extérieure peut atteindre.
Mettre une porte avant le code sensible
Anthropic explique notamment vouloir déplacer certains traitements après une authentification ou derrière une option explicite. Un service peut avoir de bonnes raisons d’exposer une fonction à ses utilisateurs autorisés. Il n’a pas forcément besoin de la rendre accessible avant même de savoir qui lui parle.
La différence se comprend sans connaître le code : un contrôle d’accès installé après une opération complexe laisse cette opération traiter des données venues de l’extérieur. Le placer avant réduit le nombre de situations dans lesquelles un inconnu peut la solliciter. Cela peut limiter l’impact d’un défaut qui n’a pas encore été identifié.
Il ne s’agit pas de supprimer toutes les fonctions disponibles. Le travail consiste à rapprocher les possibilités du programme de ce que son utilisation exige réellement. Un logiciel destiné à répondre à tous les internautes n’a naturellement pas le même périmètre qu’un service réservé à un groupe authentifié.
Des réglages raisonnables peuvent se combiner de travers
La recherche examine aussi les configurations par défaut et les interactions entre options. Deux réglages compréhensibles séparément peuvent, ensemble, affaiblir un contrôle. Le problème n’apparaît alors pas nécessairement dans une simple lecture de l’une des options.
Cette approche donne un autre rôle à l’IA : suivre les relations entre les parties d’un grand programme. La question n’est plus seulement « cette fonction comporte-t-elle un bug ? », mais aussi « pourquoi cette fonction peut-elle être appelée dans cette situation ? » La réponse peut conduire à modifier une condition d’accès plutôt qu’à réécrire toute la fonction.
Pour les équipes, la conséquence est concrète : un résultat d’analyse doit déboucher sur une modification vérifiable du comportement. Réduire l’exposition d’un service n’a d’intérêt que si les utilisateurs légitimes peuvent toujours réaliser les opérations prévues. Une liste de constats, même longue, ne remplace pas ce contrôle.
OpenSSH montre pourquoi l’ordre des contrôles change la protection
Le cas le plus parlant détaillé par Anthropic concerne OpenSSH. Du code de traitement de signatures pouvait être atteint avant que certaines restrictions de configuration soient appliquées. Les correctifs ont rapproché ces vérifications du traitement des clés, pour rejeter plus tôt ce qui n’était pas autorisé.
Le gain est une réduction du code accessible avant authentification. Le code nécessaire aux usages autorisés peut rester présent, mais une connexion non autorisée rencontre le contrôle avant de le faire travailler. Cet exemple donne un contenu concret au chiffre de 493 constats : changer l’ordre d’exécution peut compter autant que corriger une fonction isolée.
Les 493 constats ne sont pas 493 attaques démontrées
Les chiffres publiés décrivent les projets et la méthode étudiés par Anthropic. Ils ne permettent pas de promettre que Claude trouvera le même nombre de problèmes dans n’importe quelle application. Ils montrent surtout pourquoi le bilan de sécurité d’une IA ne devrait pas être réduit au nombre de failles annoncées.
Une barrière placée plus tôt peut rendre un bug futur plus difficile à atteindre. C’est une amélioration moins spectaculaire qu’un exploit de démonstration, mais directement utile lorsqu’un logiciel devra continuer à fonctionner malgré des défauts encore inconnus.
Source : Anthropic, recherche sur la réduction de surface d’attaque.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
