Mozilla trouve 423 bugs avec Claude en un mois
Pourquoi ça compte pour toi
Pendant longtemps, les rapports de bugs générés par l'IA étaient du bruit polluant pour les mainteneurs open-source. Là, Mozilla montre que quand tu affines vraiment la technique, l'IA trouve des failles réelles et critiques à l'échelle. C'est un tournant : les équipes de sécu peuvent enfin automatiser les audits sans noyer les devs sous les faux positifs.
Ce qu'il faut retenir
- 1.Mozilla a passé de 20-30 bugs corrigés/mois à 423 en avril avec Claude Mythos
- 2.La clé : améliorer les modèles ET développer des techniques pour les « piloter » et filtrer le bruit
- 3.Bugs découverts : certains dormaient depuis 20 ans, bloqués par les défenses existantes de Firefox
Tu galères avec le jargon ?
Lis la version réécrite en mode débutant — toutes les idées, sans le jargon.
Pourquoi ça change tout
Pendant des années, balancer un prompt LLM sur une base de code pour trouver des failles, c'était perdre du temps. Les mainteneurs recevaient des rapports « qui semblent corrects mais sont faux » — asymétriquement coûteux : facile d'en générer 100, difficile d'en vérifier un seul.
Mozilla a cassé cette dynamique en deux étapes :
1. Les modèles se sont améliorés. Claude Mythos comprend mieux le code, trouve de vrais problèmes, avec moins d'hallucinations.
2. L'orchestration s'est raffinée. Au lieu de balancer un prompt brut, Mozilla a construit un « harnais » : piloter l'IA, l'utiliser à grande échelle (lancer des centaines d'analyses en parallèle), puis filtrer automatiquement les faux positifs. Le bruit chute, le signal monte.
Les résultats concrets
Avril 2026 : 423 bugs corrigés. Contre 20-30/mois avant. C'est 14× plus.
Parmi eux :
- ▸Un bug XSLT oublié depuis 2006
- ▸Une faille dans l'élément
<legend>datant de 2011 - ▸Des tonnes de petites vulnérabilités en cascade
Beaucoup ont été bloqués par les défenses de Firefox (défense en profondeur), ce qui est rassurant : l'IA les trouve, mais le système limite les dégâts. Le vrai gain : les découvrir avant qu'un attaquant ne les exploite.
À retenir
L'IA pour l'audit de sécu n'était pas viable quand elle hallucine. Elle l'est devenue quand tu ajoutes :
- ▸De meilleures architectures de modèles (Mythos)
- ▸Des techniques d'orchestration (pilotage, montée en charge, empilement)
- ▸Du filtrage humain/automatisé pour conserver les vrais positifs
Ce modèle va faire des émules : toutes les fondations open-source vont vouloir auditer leurs projets avec cette approche. Les équipes sécu de startups aussi.
Et concrètement pour toi ?
Choisis ton profil — la lecture de l'article change selon qui tu es.
Pour toi, ce qu'il faut retenir : l'IA trouve vraiment des failles, mais seulement si quelqu'un de compétent la « dresse » bien. C'est comme un chien renifleur — le talent c'est pas le chien, c'est le dresseur. Regarde comment les équipes tech structurent leur collaboration avec l'IA.
Source
Pour aller plus loin
Cet article t'a donné envie d'approfondir ? Deux formations Noésis t'attendent :
Explorer les thèmes de cet article :