Anthropic a annoncé Cyber Mission le 8 octobre 2026. Deux dispositifs ouvrent ce programme : Critical Infrastructure Defense Program, ou CIDP, pour les systèmes industriels et publics, et OSS Scanner, un service gratuit pour certains projets open source volontaires. Le premier associe des modèles Claude, des ingénieurs sur site et de la recherche sur les menaces auprès de prestataires spécialisés. Onze partenaires fondateurs sont nommés, dont Dragos, Hitachi et Rockwell Automation. L’annonce porte sur une organisation de la défense, pas sur la sortie d’un nouveau modèle.
Un prolongement distinct des permissions cyber
COHEZI a déjà traité l’élargissement du Cyber Verification Program annoncé le 6 octobre. Cette nouvelle étape concerne les moyens d’intervention et les signalements. Anthropic explique que les découvertes de Glasswing n’ont pas encore suffisamment réduit le risque : vérifier, classer et corriger les failles demeure difficile. L’entreprise prévoit que l’IA favorisera la défense dans deux ans. C’est sa projection, pas un résultat acquis.
Ce que les travaux antérieurs permettent réellement de dire
En janvier, le laboratoire public américain PNNL avait décrit ALOHA, un agent utilisé pour rejouer des attaques dans une simulation d’usine de traitement de l’eau. Une chaîne de plus de cent étapes avait été reconstruite en trois heures, contre plusieurs semaines estimées avec les méthodes habituelles. PNNL demandait alors des essais sur davantage de systèmes. Cette publication extérieure à Anthropic confirme un travail expérimental concret ; elle ne mesure ni les performances du CIDP actuel ni une baisse des incidents dans des installations en exploitation.
Cette limite change la lecture des démonstrations. Dans une simulation, on peut reproduire une erreur sans couper l’eau d’un quartier. Sur un site réel, le résultat intéressant est une amélioration qui respecte les contraintes d’exploitation. Notre lecture : un correctif proposé doit être examiné avec les responsables du système, essayé dans un environnement adapté et accompagné d’un moyen de revenir en arrière. Accélérer l’analyse peut être utile ; accélérer une modification mal comprise peut déplacer le risque vers les usagers.
OSS Scanner accélère les rapports, avec une limite assumée
Le service open source envoie des résultats entièrement générés par modèle, sans relecture ni tri humain. La publication technique décrit des rapports contenant un exemple permettant de reproduire la faille, une explication et, lorsqu’il existe, un correctif proposé. Les mainteneurs principaux peuvent demander l’inscription via une pull request suivant le modèle du dépôt indiqué ; l’éligibilité est examinée au cas par cas, selon l’importance du projet pour les infrastructures et la sécurité.
Anthropic rapporte un essai de 97 signalements graves ou critiques issus de 48 projets : 85 ont satisfait ses critères de divulgation coordonnée. Onze autres correspondaient à de vrais problèmes déjà connus ou doublonnés ; un était invalide. Ce bilan déclaré ne garantit pas le même taux pour un nouveau dépôt. Des retours ont aussi signalé une gravité exagérée ou une mauvaise compréhension du contexte. La voie de divulgation avec vérification humaine reste proposée aux projets qui ont besoin de ce soutien.
Gratuit pour le scan, pas pour le travail de correction
Pour une équipe de maintenance, notre conseil serait d’estimer sa capacité de traitement avant de s’inscrire. Recevoir un rapport exploitable peut aider à comprendre un problème plus vite. Mais quelqu’un doit encore le reproduire, vérifier la version concernée, examiner le correctif et préparer une livraison. Si dix rapports arrivent pendant une semaine déjà chargée, leur valeur dépend aussi de la possibilité de traiter les plus utiles en premier. La gratuité du service ne rend pas gratuit ce temps humain.
Les projets disposant d’une équipe stable peuvent y gagner un renfort d’analyse. Ceux dont la maintenance repose sur quelques bénévoles risquent de recevoir une charge supplémentaire. Anthropic gagne des occasions d’intégrer ses modèles au travail de sécurité ; les partenaires industriels doivent traduire leurs sorties en interventions compatibles avec les installations. Ce partage des responsabilités mérite d’être observé autant que la puissance du modèle. Les utilisateurs finaux ont surtout besoin que les corrections arrivent dans les logiciels effectivement déployés.
