Présentation de l'Anthropic Cyber Mission

Présentation de l'Anthropic Cyber Mission

Aujourd'hui, nous lançons l'Anthropic Cyber Mission, un engagement à long terme visant à sécuriser les systèmes dont tout le monde dépend. La Cyber Mission est un nouvel effort destiné à soutenir les défenseurs avec des outils, des recherches et des ressources pour sécuriser leurs logiciels et leurs systèmes. Nous commençons par deux domaines :

• Infrastructures critiques : En commençant par sécuriser la technologie opérationnelle qui sous-tend les réseaux électriques, les systèmes d'eau et les réseaux de transport, et en protégeant les systèmes gouvernementaux. Aujourd'hui, nous présentons le Critical Infrastructure Defense Program (CIDP), qui met à la disposition des défenseurs qui protègent la technologie opérationnelle des modèles de pointe, des ingénieurs sur place et des recherches sur les menaces.
• Logiciels open source : Trouver des vulnérabilités et proposer des correctifs dans le code libre et partagé dont dépendent la plupart des logiciels, et renforcer le code sous-jacent. Aujourd'hui, nous lançons OSS Scanner, qui offre aux projets open source des analyses de sécurité régulières réalisées par nos modèles les plus puissants, gratuitement.

Les modèles de pointe peuvent être détournés pour exploiter des vulnérabilités et mener des opérations cyber. Malgré tous les efforts déployés, de nombreux domaines de la technologie restent dangereusement exposés. Des adversaires soutenus par des États ont passé des années à s'implanter dans ces systèmes, dans de nombreux secteurs, afin de pouvoir les perturber. Les défenseurs des infrastructures critiques et la communauté OSS disposent de décennies d'expérience en matière de sécurité, mais ils ont été confrontés à de graves pénuries de ressources, exacerbées par la situation actuelle. Nous reconnaissons leur expertise dans ces domaines et leur offrons notre soutien. Nous étendrons également la Cyber Mission afin de publier des outils, des recherches et des ressources dans de nouveaux domaines pour aider à sécuriser le monde.

Dans le cadre de Project Glasswing, des partenaires ont découvert de nombreuses vulnérabilités, mais nous n'avons pas encore obtenu une réduction suffisante du risque cyber. Il est plus facile que jamais de trouver des vulnérabilités, mais vérifier, hiérarchiser et corriger ces constats reste un défi. Sur la base des enseignements du Project Glasswing, nous lançons ces nouveaux efforts pour soutenir les défenseurs. Plus tôt cette semaine, nous avons fusionné le Project Glasswing dans notre Cyber Verification Programélargi, qui donne à beaucoup plus de défenseurs l'accès à nos modèles les plus performants. Et dans le cadre de l'Anthropic Cyber Mission, nous déploierons des talents d'ingénierie d'Anthropic et fournirons des outils et des financements à ceux qui sécurisent les infrastructures critiques et les logiciels open source.

Défendre les infrastructures critiques

Les réseaux électriques, les services des eaux, les usines et les réseaux de transport fonctionnent grâce à des contrôleurs, des logiciels de contrôle et des réseaux industriels conçus pour durer des décennies. Ces systèmes sont appelés « technologie opérationnelle », et ils ne peuvent souvent pas être mis hors ligne pour être corrigés, de sorte que des vulnérabilités connues peuvent rester non résolues pendant des années. Les sécuriser est un travail spécialisé : les équipements sont propriétaires, les modifications sont risquées, et une erreur peut entraîner l'arrêt d'une usine. Les opérateurs de toutes tailles s'appuient sur un petit nombre de fournisseurs de confiance pour soutenir ce travail, leur indiquant ce qui est exposé et quels correctifs appliquer sur un système en fonctionnement.

Aujourd'hui, nous présentons le Critical Infrastructure Defense Program, qui met à la disposition de ces fournisseurs de confiance les modèles Claude de pointe, des ingénieurs sur place et nos recherches sur les menaces. Ses partenaires fondateurs sont Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC et Rockwell Automation.

Ces organisations représentent les fournisseurs sur lesquels les opérateurs s'appuient pour sécuriser ces systèmes : les sociétés de conseil et de technologies avancées qui dirigent les programmes de sécurité, les entreprises de sécurité qui protègent les réseaux professionnels et industriels, et les fabricants qui construisent et corrigent les équipements eux-mêmes.

Ce travail est en cours. Plusieurs partenaires travaillent actuellement avec Claude pour corriger des vulnérabilités et aident leurs clients à faire de même. Les infrastructures critiques sont difficiles à défendre à bien des égards que l'IA ne peut pas résoudre, mais nous pensons que les modèles de pointe peuvent aider à trouver et à réparer les faiblesses avant qu'elles ne soient utilisées pour couper l'électricité ou rendre l'eau insalubre. Notre première étape consiste à travailler avec un petit groupe de fournisseurs afin de déterminer quelles stratégies sont les plus efficaces et les plus pratiques.

Si votre entreprise développe des produits ou des services de sécurité pour les infrastructures critiques, vous pouvez manifestez votre intérêt ici.

À mesure que l'IA continue de progresser, elle présente une opportunité importante de renforcer la cybersécurité dans l'ensemble des infrastructures critiques, à condition qu'elle soit appliquée de manière responsable, validée rigoureusement et déployée avec la sécurité et la fiabilité au premier plan. Nous sommes heureux de contribuer avec notre expertise en technologie opérationnelle et en cybersécurité industrielle afin de développer des approches pratiques pour appliquer l'IA de manière à renforcer la résilience des infrastructures dont la société dépend chaque jour.

Grâce à notre travail avec les organisations d'infrastructures critiques, la pratique cyber OT de PwC a constaté de première main la gravité des conséquences que les cyberattaques peuvent avoir dans ces environnements. Je suis fermement convaincu qu'un effort coordonné à l'échelle du secteur est nécessaire pour identifier les vulnérabilités, atténuer les risques et renforcer la résilience de nos systèmes critiques.

Des acteurs de la menace utilisent l'IA pour découvrir et exploiter des failles à la vitesse des machines. En combinant la renseignement sur les menaces et l'expertise opérationnelle de Unit 42 avec les modèles de pointe d'Anthropic, nous aidons les opérateurs à se défendre contre des adversaires cherchant à attaquer et perturber des services essentiels. Ensemble, nous offrons aux défenseurs la vitesse et la précision nécessaires pour fermer les voies d'attaque avant qu'une exposition ne devienne un impact.

L'IA de pointe évolue plus vite qu'aucune organisation ne peut le suivre seule. C'est pourquoi le Critical Infrastructure Defense Program est important. Il réunit les personnes qui comprennent ces environnements avec les capacités de pointe désormais disponibles pour les défendre. Nous sommes fiers de contribuer avec notre expérience et d'apprendre aux côtés des autres partenaires qui œuvrent à protéger les systèmes dont le monde dépend.

Les sites qui ont le plus besoin de protection, comme les sous-stations isolées, les plateformes en mer et les usines hermétiquement coupées des réseaux, sont précisément ceux où les outils traditionnels ne peuvent pas intervenir et où les spécialistes ne peuvent pas se rendre. Ce que personne n'avait résolu, ce sont les heures : plus de données qu'aucune équipe ne peut traiter, sur plus de sites qu'aucune équipe ne peut couvrir. Claude comble ce fossé, afin que nos analystes et les opérateurs de nos clients consacrent leur temps aux arbitrages qui maintiennent les systèmes critiques en fonctionnement sûr.

Les infrastructures critiques et les personnes qui en dépendent profitent lorsque la communauté des fournisseurs partage ce qu'elle apprend des opportunités et des défis que l'IA présente aux environnements opérationnels, plutôt que de garder ces connaissances en silos. Rejoindre le Critical Infrastructure Defense Program d'Anthropic est l'un des moyens par lesquels nous contribuons à aligner l'IA de pointe sur une stratégie de défense collective construite autour des réalités des technologies opérationnelles (OT) qui maintiennent les lumières allumées, l'eau potable et les transports en marche.

Les infrastructures critiques sont l'endroit où le risque cyber devient un risque réel. Alors que les adversaires utilisent l'IA pour se déplacer plus vite et opérer à plus grande échelle, les infrastructures critiques confrontées à des menaces à la vitesse des machines exigent une défense à la vitesse des machines. En réunissant le contexte et l'expertie de sécurité approfondis de CrowdStrike avec l'expertise en IA de pointe d'Anthropic, nous pouvons offrir un avantage accru aux défenseurs des infrastructures critiques.

Face à l'évolution rapide de l'IA et à la sophistication et la vitesse croissantes des cybermenaces, garantir la cybersécurité dans les environnements OT qui soutiennent les infrastructures sociales est devenue l'une des priorités les plus élevées de la société actuelle. À travers notre participation à ce programme, nous nous réjouissons de collaborer avec Anthropic et les autres partenaires pour renforcer davantage la cyber-résilience des infrastructures critiques.

À mesure que l'IA s'accélère, les opérateurs d'infrastructures critiques ont besoin de solutions qui traitent les vulnérabilités de sécurité à la vitesse des machines. Avec Anthropic, Deloitte aide ces entreprises à bénéficier des moyens nécessaires pour combler les failles de sécurité et renforcer la résilience, au rythme des réalités de l'IA de pointe.

Les technologies opérationnelles constituent la prochaine frontière des attaques autonomes activées par l'IA. La question n'est plus de savoir si l'IA peut affecter un processus industriel, mais quel contrôle elle peut obtenir, et à quelle vitesse. Le Critical Infrastructure Defense Program réunit le meilleur de l'innovation et de l'investissement du secteur privé pour renforcer la résilience OT et ICS à travers les missions fédérales et commerciales.

Les organisations qui maintiennent notre électricité, la sécurité des médicaments, la sûreté de l'approvisionnement alimentaire et le fonctionnement des communications font face à certains des risques cyber les plus lourds de conséquences au monde. Accenture s'engage à apporter sa profonde expertise en sécurité OT aux organisations qui protègent les infrastructures critiques dont les communautés dépendent chaque jour. Ce partenariat aidera à mettre la défense propulsée par l'IA entre les mains de ceux qui en ont le plus besoin.

En juin, nous avons lancé un programme de cyberdéfense pour les gouvernements des États, locaux, tribaux et territoriaux. Depuis, nous avons proposé les modèles Claude de pointe et un soutien technique à plus de la moitié des États américains et à certains des plus grands opérateurs publics d'infrastructures critiques du pays, accélérant l'analyse de code et le correctif, la réponse aux incidents, le red teaming et d'autres flux de travail de sécurité.

Nous écoutons et apprenons des personnes qui connaissent le mieux ce paysage. Notre approche consiste à travailler avec les entreprises, coalitions, gouvernements et organisations à but non lucratif qui connaissent ce paysage et en qui les opérateurs ont confiance, et à apporter un soutien là où il est le plus nécessaire.

Sécuriser les logiciels open source

Presque tous les logiciels reposent sur du code open source, dont une grande partie est maintenue par de petites équipes de bénévoles. Dans le cadre du Project Glasswing, nous avons analysé des centaines de projets open source largement utilisés, fait trier et examiner par des humains bon nombre des vulnérabilités potentielles découvertes, et signalé confidentiellement ce que nous avons trouvé à leurs mainteneurs via notre processus de divulgation coordonnée des vulnérabilités.

Certains mainteneurs ayant la capacité de trier à grande échelle nous ont demandé tout ce que nos modèles avaient trouvé dans leur projet, qu'il ait été examiné ou non. En réponse, nous lançons OSS Scanner, un service optionnel inspiré de Google’s OSS-Fuzz. Les projets inscrits reçoivent des analyses périodiques de nos modèles les plus performants, gratuitement. Chaque rapport comprend une preuve de concept montrant comment la faille pourrait être exploitée, une explication, et un correctif suggéré lorsqu'il en existe un. Les rapports sont générés par des modèles et envoyés sans revue humaine. Cela signifie que les mainteneurs les reçoivent plus rapidement, mais cela implique aussi que certains contiendront des inexactitudes, comme une évaluation de gravité erronée. Nous attendons un taux de vrais positifs supérieur à 90 %, et nous travaillerons à améliorer ce taux de vrais positifs ainsi que la qualité des correctifs au fil du temps. L'article de l' équipe explique le fonctionnement du service et comment s'y inscrire.

Ce service est destiné aux projets ayant la capacité de suivre le rythme des découvertes signalées. Pour les autres, nous continuerons à partager des divulgations vérifiées par des humains dans le cadre de notre politique de CVD.

OSS Scanner est une première étape. À partir de là, notre travail sur l'open source vise à :

• Transmettre les découvertes aux mainteneurs plus rapidement. Étendre OSS Scanner à davantage de projets tout en maintenant la divulgation vérifiée par des humains pour ceux qui en ont besoin.
• Accélérer les correctifs. Automatiser le triage et l'application de correctifs, qui restent encore largement manuels, pour les projets qui le souhaitent.
• Explorer de nouvelles architectures sécurisées et de nouvelles pratiques de codage. Rechercher et partager des méthodes de durcissement ou de réécriture du code avec les projets qui veulent aller plus loin que le simple correctif.

Nous ferons cela en nous appuyant sur les conseils des mainteneurs et des fondations open source, et nous partagerons ce qui fonctionne afin que d'autres projets puissent le reproduire. Nous avons financé les organisations derrière des codes open source largement utilisés, notamment la Python Software Foundation, Alpha-Omega et OpenSSF via la Linux Foundation, ainsi que l'Apache Software Foundation, et nous avons également soutenu Akrites et Gold Eagle, qui recueillent et coordonnent les rapports de vulnérabilité provenant de nombreuses sources afin de ne pas submerger les mainteneurs. Le Defender Advantage Fund (0xDAF), que nous avons lancé en août, soutient des programmes pilotes dans ces domaines et permet de garder OSS Scanner gratuit.

Les mainteneurs peuvent également postuler à Claude for Open Source pour des abonnements Claude Max gratuits, et au Cyber Verification Program pour un accès élargi aux capacités de cyberdéfense de Claude.

Pourquoi nous faisons cela

Les modèles d'IA très performants en matière de cyberattaque sont désormais largement accessibles aux attaquants. Mais les outils défensifs — y compris les nôtres — n'ont pas encore atteint suffisamment de défenseurs qui en ont besoin. OSS Scanner, notre Cyber Verification Program, les produits défensifs que nos partenaires construisent sur notre plateforme, et Claude Security font partie de nos efforts en la matière, et nous en ajouterons d'autres dès que possible.

Notre prévision est que dans deux ans, l'IA favorisera la défense : il sera plus facile de détecter les failles avant leur mise en production, d'écrire des logiciels fondamentalement sécurisés dès le départ et de défendre activement les systèmes à l'aide de modèles. Mais à court terme, cela pourrait ne pas être le cas. Le coût de l'exploitation des vulnérabilités a diminué, tandis que leur vérification, leur divulgation et leur correction restent lentes et dépendent toujours des humains. Chez Glasswing, nous avons souvent vu s'écouler des mois entre la découverte d'une vulnérabilité et sa correction. Avec les technologies opérationnelles, une correction peut devoir attendre de pouvoir être appliquée en toute sécurité à des machines en fonctionnement—dans de rares cas, cela peut prendre des décennies.

Le succès signifie que les infrastructures critiques telles que l'eau, l'électricité, les transports et les communications continuent de fonctionner face aux attaques d'adversaires compétents, avec moins de voies exploitables et une récupération plus rapide lorsque quelque chose passe. Cela prendra des années et nous nous attendons à ce que l'Anthropic Cyber Mission évolue à mesure que nous apprenons, avec le secteur public et le secteur privé, ce qui fonctionne.

Le chemin à parcourir

Au cours des prochains mois, nous étendrons le Critical Infrastructure Defense Program à davantage de partenaires et de secteurs, et nous partagerons ce que nous apprenons en chemin, y compris ce qui n'a pas fonctionné. Nous nous attendons également à ce que d'autres développeurs d'IA, entreprises de sécurité et gouvernements mènent leurs propres initiatives, et nous souhaitons collaborer avec eux chaque fois que cela aide les défenseurs.

Nous élargirons également notre travail pour aider à sécuriser l'open source et la chaîne d'approvisionnement au sens large. Cela inclut la recherche de nouvelles façons d'écrire des logiciels et de nouvelles façons de défendre les systèmes. Nous avons l'intention de partager des recherches de pointe, des outils et des ressources pour aider les autres à sécuriser leurs logiciels et leur chaîne d'approvisionnement.

Si vous souhaitez travailler avec nous :

• Les entreprises qui créent des produits ou services de sécurité pour les infrastructures critiques, y compris les fournisseurs de sécurité, les intégrateurs de systèmes et les fabricants d'équipements, peuvent faire part de leur intérêt pour le Critical Infrastructure Defense Program à mesure de son expansion.
• Les mainteneurs principaux de projets open source critiques peuvent s'inscrire à l'OSS Scanner.
• Les équipes de sécurité de toute taille, y compris les opérateurs d'infrastructures critiques et les mainteneurs de projets open-source, peuvent déposer une demande auprès de notre Cyber Verification Program élargi pour accéder à nos modèles.

Contenu associé

Mise à jour de la politique d'utilisation 2026

Nous publions une nouvelle version de notre politique d'utilisation. Dans cet article, nous résumons les modifications que nous avons apportées.

Prolonger notre engagement en faveur de la découverte scientifique américaine

Anthropic s'engage à verser 150 millions de dollars sur trois ans à la Genesis Mission, une initiative fédérale visant à accélérer la découverte scientifique et technologique grâce à l'IA.

Élargissement du Cyber Verification Program

Nous lançons une nouvelle version élargie de notre Cyber Verification Program, qui met des capacités cyber avancées et des classificateurs de blocage réduits à la disposition des professionnels de la sécurité qualifiés.