Apple a rejoint le club très fermé des partenaires du Project Glasswing d'Anthropic il y a cinq semaines. La première mise à jour iOS depuis porte déjà la signature de Claude.
Début avril, Anthropic officialisait le lancement de Project Glasswing, son initiative de cybersécurité par IA. Parmi les onze partenaires de lancement : Apple, aux côtés de Google, Microsoft, NVIDIA et JPMorgan (pas exactement une start-up en phase de validation). Cinq semaines plus tard, iOS 26.5 est publiée avec plus de 50 correctifs de sécurité. Dans le lot, deux CVE mentionnent explicitement « Claude, Anthropic » dans leurs crédits. Une première dans l'histoire des notes de sécurité Apple.
Deux failles, deux signatures inédites
La première, CVE-2026-28942, concerne WebKit. Un iframe malveillant pouvait exploiter les paramètres de téléchargement d'un autre site. Le crédit revient à Milad Nasr et Nicholas Carlini « with Claude, Anthropic » (tous deux membres de l'équipe de red teaming d'Anthropic). La seconde, CVE-2026-28952, touche le noyau : un dépassement d'entier permettait à une app de provoquer un arrêt système. Le crédit mentionne « Calif.io in collaboration with Claude and Anthropic Research ».
Précision importante (et elle change la lecture du titre) : Apple ne nomme jamais « Mythos » dans ses notes. Le mot « Claude » peut désigner n'importe quelle version du modèle d'Anthropic. Aucune des deux failles n'était exploitée dans la nature au moment du patch. Ce sont des zero-day au sens strict du terme : inconnues d'Apple avant leur signalement par les chercheurs. Pas des urgences de type Pegasus.
Cinq semaines, deux CVE : symbole ou avant-goût ?
Le contraste avec Mozilla est saisissant (et instructif). Firefox 150, publié le 21 avril, intégrait 271 vulnérabilités trouvées par Mythos Preview. Mozilla avait accès au modèle depuis février, soit trois mois de travail avant publication. Son CTO Bobby Holley avait documenté le processus. Chez Apple, cinq semaines et deux CVE. Le ratio est sans commune mesure.
Plusieurs explications coexistent. Apple ne crédite pas systématiquement la méthode de découverte dans sa documentation (politique historique de la marque). La fenêtre de dévoilement responsable prévue par Anthropic court sur 90 jours, extensible à 135. Les failles qu'Apple aurait identifiées via Mythos dès le 7 avril n'apparaîtraient publiquement qu'à partir de juillet 2026, et Apple pourrait même tirer jusqu'à la sortie d'iOS 27 pour les bugs les moins urgents. Il est aussi possible que la marque lisse délibérément l'exposition de son recours à une IA tierce. Cupertino n'a jamais aimé parler de ses fournisseurs.
Le rapport complet de Project Glasswing est attendu pour juillet 2026. VulnCheck, qui suit les CVE attribuées à Anthropic, en comptabilise 40 à ce jour sur l'ensemble des éditeurs. Le gros de la récolte Glasswing/Apple, s'il existe, n'est donc pas encore visible. La Bundesbank et la FINMA suisse réclament d'ailleurs un accès européen à Mythos depuis fin avril. Signe que le sujet dépasse largement la sécurité du web et de nos logiciels.
En attendant les prochaines livraisons, iOS 26.5 mérite d'être installée sans tarder. Cinquante failles corrigées (dont 10 dans WebKit), c'est le patch le plus massif depuis iOS 26.2. Tous les iPhone 11 et ultérieurs sont concernés. Pour les modèles plus anciens, Apple a aussi déployé des correctifs : iOS 18.7.9, iPadOS 18.7.9, iPadOS 17.7.11, iOS 16.7.16, iPadOS 16.7.16, iOS 15.8.8 et iPadOS 15.8.8. Normalement, vous êtes couvert !
