Anthropic au cœur des correctifs de sécurité Chrome : qui sont les 77 failles attribuées ?

Le 27 octobre, Google a déployé une mise à jour de Chrome qui corrige 52 failles. Plus d’un tiers d’entre elles, soit 18, sont attribuées à Xinyang Ge, chercheur chez Anthropic, ou directement à l’entreprise. Le même jour, Anthropic a publié un billet de son équipe Frontier Red Team, dont Ge fait partie, présentant un modèle interne non commercialisé capable de générer des chaînes d’attaque complètes contre les navigateurs Chrome et Safari, ainsi que contre Android, Linux et Windows. Selon le billet, 62 CVE ont été découverts, attribués et corrigés dans Chrome jusqu’à la version 156, toutes classées critiques ou élevées.

Une présence soutenue dans les bulletins d’octobre

ActuIA a recoupé les onze bulletins de sécurité Chrome publiés entre le 15 septembre et le 29 octobre 2026. Sur les 929 failles recensées, 77 portent le nom de Xinyang Ge ou d’Anthropic, soit environ une sur dix. Le premier signalement date du 10 septembre, le dernier du 23 octobre, sans indication de prime financière à ce jour.

Google a publié sept correctifs mensuels (1, 6, 13, 15, 20, 27, 29 octobre). Au total, 731 failles ont été corrigées, dont 72 attribuées à Anthropic ou à son chercheur. La part varie fortement : la mise à jour du 6 octobre (Chrome 155) ne compte que 14 failles sur 247, tandis que le correctif du 13 octobre enregistre 15 failles sur 37, soit plus d’un tiers. Le bulletin du 27 octobre, qui coïncide avec le billet d’Anthropic, recense 18 failles sur 52.

Qui est crédité ?

Parmi les 77 références, 49 mentionnent simplement « Xinyang Ge », 26 ajoutent « Xinyang Ge (Anthropic), assisted by Claude », et deux indiquent « Anthropic and Ada Logics ». Toutes les failles sont classées critiques (18) ou élevées (59). La colonne récompense indique « N/A » ou « TBD », ce qui signifie qu’aucune prime n’a encore été fixée. Pour comparaison, 15 failles attribuées à OpenAI Codex Security présentent la même situation.

Au‑delà de Chrome : corrections sur d’autres plateformes

Anthropic cite également des vulnérabilités hors Chrome. La faille Windows (CVE‑2026‑33096) affecte le pilote HTTP.sys et permet un déni de service à distance (CVSS 7,5). Elle a été corrigée lors du Patch Tuesday du 14 avril 2026, et l’entreprise estime que plusieurs millions de serveurs pourraient être concernés. Une faille du noyau Linux (CVE‑2026‑98432) a été publiée le 15 octobre, notée 9,8, et corrigée dans toutes les branches stables.

Le bulletin Apple mentionné porte sur iOS/iPadOS 26.5.2 (29 juin) et crédite une faille WebKit à « Milad Nasr and Nicholas Carlini with Claude, Anthropic ». Plusieurs autres corrections sont attribuées à OpenAI Codex Security. Pour Android, Anthropic indique simplement que le problème a été « traité par Google », sans numéro de CVE.

Délais de correction et processus de divulgation

ActuIA a calculé que le délai médian entre le signalement et la publication du correctif pour les 77 failles Chrome était de 12 jours (minimum 3, maximum 41). En octobre, deux correctifs ont été publiés à moins d’une semaine d’intervalle, ce qui laisse peu de marge aux administrateurs qui mettent habituellement deux semaines à déployer une nouvelle version. Au 29 octobre, la version recommandée était 156.0.8078.79 pour Linux et 156.0.8078.80 pour Windows/Mac.

Anthropic accorde 90 jours aux éditeurs pour corriger une faille, puis attend 45 jours supplémentaires avant de publier des détails plus complets. Le billet recommande aux développeurs d’analyser le code à chaque demande de fusion, estimant que l’analyse du propre code devient « plus importante que jamais ». Chez Google, la moitié des failles ont été corrigées en moins de deux semaines après leur signalement.

Enjeux pour les utilisateurs et les développeurs

Pour les utilisateurs finaux, ces correctifs signifient surtout une meilleure protection contre les attaques à distance qui exploitent les navigateurs ou les systèmes d’exploitation. Les développeurs, quant à eux, voient s’affirmer l’importance d’une collaboration ouverte entre équipes internes et chercheurs externes. Le fait que des modèles d’IAIntelligence artificielleEnsemble de techniques permettant à des machines d'accomplir des tâches nécessitant habituellement certaines capacités humaines, comme la reconnaissance, la prédiction ou la prise de décision. comme celui d’Anthropic puissent automatiser la découverte de chaînes d’attaque montre que la surface d’exposition des logiciels modernes s’élargit, rendant les programmes de bug bounty plus critiques.

En pratique, rester à jour avec les dernières versions de Chrome reste la meilleure défense. Les entreprises qui déploient des versions figées de leurs navigateurs doivent planifier des mises à jour fréquentes pour éviter d’accumuler un retard de plusieurs semaines, ce qui pourrait exposer leurs réseaux à des vulnérabilités déjà connues.

Ainsi, le rôle d’Anthropic, d’OpenAI et d’autres acteurs spécialisés dans la sécurité automatisée devient un maillon essentiel de la chaîne de protection des utilisateurs, même si les listes détaillées des CVE restent partiellement confidentielles.