Il aura fallu \u00e0 peine une journ\u00e9e. Une vuln\u00e9rabilit\u00e9 critique rep\u00e9r\u00e9e gr\u00e2ce \u00e0 Mythos, le mod\u00e8le d’intelligence artificielle d’Anthropic sp\u00e9cialis\u00e9 dans la chasse aux bugs, fait d\u00e9j\u00e0 l’objet d’attaques r\u00e9elles. Elle touche Rejetto HTTP File Server (HFS), un serveur de fichiers web open source, et permet de contourner l’authentification pour obtenir les droits d’administrateur, puis d’ex\u00e9cuter du code \u00e0 distance sur la machine.<\/p>\n
La faille, enregistr\u00e9e sous la r\u00e9f\u00e9rence CVE-2026-61500, a \u00e9t\u00e9 rendue publique mercredi par Zach Hanley, chercheur chez Horizon3, une soci\u00e9t\u00e9 de tests d’intrusion automatis\u00e9s. D\u00e8s jeudi soir, la firme de veille VulnCheck a d\u00e9tect\u00e9 les premi\u00e8res tentatives d’exploitation : selon son chercheur Patrick Garrity, elles provenaient d’une adresse IP h\u00e9berg\u00e9e en Chine et visaient des serveurs vuln\u00e9rables aux \u00c9tats-Unis et au Japon. Le lendemain, quatre nouvelles tentatives sont arriv\u00e9es depuis deux adresses am\u00e9ricaines voisines, qui semblent correspondre \u00e0 un relais servant \u00e0 masquer l’origine du trafic. Les utilisateurs de HFS doivent passer \u00e0 la version 3.2.1 ou ult\u00e9rieure, qui corrige ce probl\u00e8me ainsi que d’autres.<\/p>\n
Le d\u00e9faut tient \u00e0 la fa\u00e7on dont HFS signe les cookies de session. Le logiciel g\u00e9n\u00e8re la cl\u00e9 de signature avec la fonction Math.random() de JavaScript, dont l’algorithme dans le moteur V8 (xorshift128+) n’est pas con\u00e7u pour la cryptographie : \u00e0 partir de quelques valeurs observ\u00e9es, on peut remonter \u00e0 son \u00e9tat interne. Or l’application laissait justement fuiter ces valeurs par un autre chemin du code. Mythos a reli\u00e9 les deux constats et propos\u00e9 d’utiliser Z3, un solveur math\u00e9matique publi\u00e9 par Microsoft, pour retrouver la graine du g\u00e9n\u00e9rateur, puis fabriquer de faux cookies valides. Chez Horizon3, on affirme n’avoir jamais vu un tel outil employ\u00e9 de cette mani\u00e8re contre une application r\u00e9elle.<\/p>\n
Anthropic r\u00e9serve Mythos \u00e0 un cercle restreint de partenaires via le programme Project Glasswing, lanc\u00e9 en avril, en expliquant que le mod\u00e8le est trop puissant pour \u00eatre diffus\u00e9 librement. Horizon3 y participe depuis juillet. D’apr\u00e8s le d\u00e9compte tenu par VulnCheck, Mythos et Glasswing ont d\u00e9j\u00e0 permis de recenser 286 vuln\u00e9rabilit\u00e9s ; jusqu’\u00e0 jeudi, une seule avait \u00e9t\u00e9 exploit\u00e9e dans la nature. Celle-ci est donc la deuxi\u00e8me.<\/p>\n
L’\u00e9pisode illustre le dilemme de ces IA de recherche de failles : elles acc\u00e9l\u00e8rent la d\u00e9couverte des bugs, mais chaque divulgation donne aussi le signal de d\u00e9part aux attaquants. Le d\u00e9lai entre publication d’un correctif et premi\u00e8res attaques se r\u00e9duit, et les administrateurs n’ont plus que quelques heures pour mettre \u00e0 jour leurs syst\u00e8mes.<\/p>\n
\u00c0 lire aussi :<\/strong> Mozilla : l\u2019outil Mythos d\u2019Anthropic a d\u00e9couvert 271 vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 dans Firefox 150<\/a> \u00b7 Une attaque Mythos \u00e9limine un candidat d\u2019algorithme cryptographique post-quantique du troisi\u00e8me tour<\/a><\/p>\n <\/p>\n