Quand l'intelligence artificielle révèle les failles « zero-day » : le projet Glasswing d'Anthropic et le défi juridique de la cybersécurité augmentée
Anthropic a annoncé le 7 avril 2026 la mise à disposition restreinte de son modèle frontalier Mythos Preview, dans le cadre d'une initiative baptisée « Project Glasswing » associant douze partenaires industriels et financiers (avec une diffusion plus large à environ quarante organisations parmi lesquelles CrowdStrike, Palo Alto Networks, Amazon, Google, Nvidia, Apple, Microsoft et Cisco). En quelques semaines de tests, le modèle aurait identifié « des milliers » de vulnérabilités « zero-day », c'est-à-dire des failles inconnues des éditeurs et donc non corrigées, dont certaines critiques, présentes dans tous les principaux systèmes d'exploitation et navigateurs web, parfois dormantes depuis une vingtaine d'années. Ce développement s'inscrit dans une trajectoire amorcée début février 2026, lorsque l'équipe Frontier Red Team d'Anthropic avait publié une étude documentant la découverte par Claude Opus 4.6 de plus de 500 failles dans des logiciels open source. Parallèlement, la start-up AISLE annonçait fin janvier 2026 avoir identifié, à l'aide d'un système d'IA, 12 des 12 vulnérabilités révélées par OpenSSL lors de son patch de sécurité, soit 13 des 14 CVE attribuées à OpenSSL pour 2025. Anthony Grieco, responsable cybersécurité chez Cisco, a souligné que « les potentialités de l'IA ont franchi un seuil qui change fondamentalement le niveau d'urgence requis pour protéger les infrastructures informatiques ». Anthropic indique avoir engagé des procédures de divulgation responsable, mais reconnaît que moins de 1 % des failles découvertes ont, à ce stade, été pleinement corrigées. Le modèle Mythos ne sera pas mis à disposition du grand public, en raison de son caractère intrinsèquement « dual-use ».
Une notion technique au cœur de la cybersécurité contemporaine
La vulnérabilité « zero-day » désigne, en doctrine technique, une faille de sécurité non publiquement documentée, pour laquelle aucun correctif n'est disponible et que les éditeurs ignorent. Sa valeur stratégique tient à l'asymétrie d'information qu'elle crée entre l'attaquant et le défenseur. Le marché gris de ces failles, alimenté par des intermédiaires comme Zerodium, met en concurrence services de renseignement, cybercriminels organisés et chercheurs en sécurité indépendants. La capacité pour un modèle de langage de générer ces failles à grande échelle et de manière largement autonome bouleverse l'économie historique de la cybersécurité, qui reposait sur la rareté et la lenteur de leur découverte. Le délai standard de divulgation responsable de quatre-vingt-dix jours, hérité des pratiques du Project Zero de Google, est lui-même mis sous tension lorsque les volumes de découvertes excèdent les capacités de triage des éditeurs.
Le cadre européen : NIS 2, Cyber Resilience Act et règlement IA
Le droit de l'Union européenne s'est progressivement structuré autour de trois piliers convergents. La directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2, étend considérablement le champ des entités essentielles et importantes soumises à des obligations de gestion des risques cyber et de notification d'incidents (article 23), avec un délai d'alerte précoce de vingt-quatre heures. Sa transposition en droit français a été opérée par la loi n° 2025-391 du 30 avril 2025 relative à la résilience des activités d'importance vitale, à la protection des infrastructures critiques et à la cybersécurité, qui confie à l'Agence nationale de la sécurité des systèmes d'information (ANSSI) un rôle central de supervision.
Le règlement (UE) 2024/2847 du 23 octobre 2024 concernant les exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques, dit Cyber Resilience Act (CRA), impose, pour la première fois à l'échelle européenne, des obligations de sécurité « by design » aux fabricants tout au long du cycle de vie du produit, ainsi qu'une obligation de notification à l'ENISA des vulnérabilités activement exploitées.
Enfin, le règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées sur l'intelligence artificielle (AI Act) classe les modèles d'IA à usage général présentant un « risque systémique » dans une catégorie spécifique soumise à des obligations renforcées d'évaluation, d'atténuation des risques, de tests adverses (red teaming) et de notification d'incidents graves à la Commission, en application notamment de ses articles 51 à 55. Les capacités cyber offensives potentielles d'un modèle tel que Mythos relèvent typiquement des risques systémiques visés par ce dispositif.
Le cadre français : un édifice ANSSI-LPM consolidé
En droit interne, la loi de programmation militaire n° 2013-1168 du 18 décembre 2013 a posé les premières obligations de sécurité applicables aux opérateurs d'importance vitale (OIV), désormais codifiées aux articles L. 1332-1 et suivants du code de la défense. La loi n° 2018-133 du 26 février 2018 portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité a transposé la première directive NIS, créant la catégorie des opérateurs de services essentiels (OSE). Le code pénal réprime de son côté les atteintes aux systèmes de traitement automatisé de données aux articles 323-1 à 323-8, issus de la loi Godfrain du 5 janvier 1988, modernisés à plusieurs reprises pour tenir compte des évolutions technologiques. La détention et la cession de failles « zero-day » se situent dans une zone grise : l'article 323-3-1 sanctionne notamment la mise à disposition d'outils conçus pour commettre une atteinte à un STAD, sauf motif légitime, formulation interprétée par la Cour de cassation comme protégeant l'activité légitime de recherche en sécurité informatique.
Divulgation responsable et droits fondamentaux : un équilibre fragile
La gestion des vulnérabilités met en tension plusieurs intérêts juridiquement protégés. Le droit à la sécurité des données personnelles, consacré par l'article 32 du règlement (UE) 2016/679 (RGPD), impose aux responsables de traitement la mise en œuvre de mesures techniques appropriées, ce qui inclut la correction diligente des failles connues. La CJUE a précisé, dans son arrêt Natsionalna agentsia za prihodite du 14 décembre 2023 (C-340/21), que le caractère approprié des mesures de sécurité s'apprécie in concreto, en tenant compte de l'état de l'art. La survenance d'une violation de données ne suffit pas, en soi, à caractériser un manquement, mais l'inertie face à une vulnérabilité documentée est susceptible d'engager la responsabilité du responsable de traitement.
À l'autre extrémité du spectre, la liberté de la recherche en sécurité informatique bénéficie d'une protection croissante. La loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a introduit, à l'article L. 2321-4 du code de la défense, un dispositif protecteur permettant à un chercheur de bonne foi de signaler une vulnérabilité à l'ANSSI sans s'exposer à des poursuites. Ce mécanisme de divulgation coordonnée préfigure l'approche désormais consacrée par le Cyber Resilience Act au niveau européen. L'arrivée de modèles d'IA capables de générer industriellement des découvertes interroge l'effectivité de ce dispositif : qui est le « chercheur » lorsque la découverte procède d'un agent autonome, et comment imputer la responsabilité d'une divulgation prématurée ?
Enjeux pour les concours
Le candidat doit retenir trois lignes directrices.
Sur le plan textuel, les références cardinales sont, en droit de l'Union, la directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2), le règlement (UE) 2024/2847 du 23 octobre 2024 (Cyber Resilience Act), le règlement (UE) 2024/1689 du 13 juin 2024 (AI Act, articles 51 à 55 sur les modèles à risque systémique) et l'article 32 du RGPD. En droit interne, il faut maîtriser les articles L. 1332-1 et suivants du code de la défense (OIV), l'article L. 2321-4 du même code (signalement protégé), les articles 323-1 à 323-8 du code pénal (loi Godfrain) et la loi n° 2025-391 du 30 avril 2025 transposant NIS 2.
Sur le plan jurisprudentiel, l'arrêt CJUE Natsionalna agentsia za prihodite du 14 décembre 2023 (C-340/21) constitue la référence sur l'appréciation in concreto des obligations de sécurité au titre du RGPD. La jurisprudence administrative française tend à reconnaître à l'ANSSI un rôle pivot dans la coordination de la réponse aux incidents, sans pour autant lui conférer un pouvoir juridictionnel.
Sur le plan analytique, le candidat soulignera la mutation profonde induite par l'IA générative : la cybersécurité passe d'une logique artisanale fondée sur la rareté des découvertes à une logique industrielle où la coopération public-privé devient stratégique. Le projet Glasswing illustre une régulation négociée entre acteurs privés (sous l'œil bienveillant des États), à la frontière du droit positif. Cette séquence pose, en filigrane, la question de la souveraineté numérique européenne : la France et l'Union dépendent largement de modèles d'IA développés outre-Atlantique pour sécuriser leurs infrastructures critiques, ce qui justifie les investissements consentis dans le cadre de la stratégie nationale pour l'IA et du programme InvestAI annoncé par la Commission européenne en 2025. Le sujet, transversal entre droit du numérique, droit de la défense et droit européen, se prête particulièrement aux dissertations sur la souveraineté numérique et aux questions d'oral portant sur la régulation de l'innovation technologique.