25 mai 2026 · 8 min de lecture · Veille IA & Vibe Coding
Le 22 mai 2026, Anthropic a publié le premier bilan chiffré de Project Glasswing: plus de 10 000 vulnérabilités critiques identifiées en un mois par Claude Mythos. Le même mois, Claude Security entre en bêta publique avec 2 100 patchs déjà déployés. Pour une PME française qui a mis du Lovable, du Bolt ou du Replit en production, la fenêtre d'action se referme. Voici pourquoi — et comment réagir avant l'AI Act du 2 août.
En résumé (TL;DR)
• Project Glasswing (Anthropic) a identifié 10 000+ vulnérabilités high/critical en un mois via Claude Mythos Preview, modèle non public utilisé par 50 partenaires (Cloudflare, Mozilla, gouvernements alliés).
• Claude Security entre en bêta publique pour Claude Enterprise — déjà 2 100 vulnérabilités patchées en 3 semaines
Ce qu'Anthropic vient de prouver le 22 mai
Project Glasswing a été lancé en avril 2026 sans grand bruit. Le principe: donner à un cercle fermé d'environ 50 partenaires un accès anticipé à Claude Mythos Preview, un modèle frontier qu'Anthropic ne libère pas au public faute de safeguards suffisants. Mission: trouver, en mode défensif, les failles critiques dans les briques logicielles qui font tourner Internet — navigateurs, CDN, OS, bibliothèques open source.
Le bilan publié le 22 mai 2026 dépasse tous les pronostics raisonnables:
La phrase clé du rapport d'Anthropic n'est pas le chiffre. C'est ceci: « le goulot d'étranglement n'est plus la détection, mais la coordination humaine pour vérifier, divulguer et patcher ». Premier signal mesurable que l'IA défensive a basculé d'un avantage théorique à un avantage opérationnel sur l'offensive.
Claude Security : Anthropic monétise immédiatement
Anthropic n'attend pas la sortie publique de Mythos pour transformer la dynamique en chiffre d'affaires. Claude Security est entré en bêta publique cette semaine pour les clients Claude Enterprise. Le produit utilise Claude Opus 4.7 pour scanner un repository complet, identifier les vulnérabilités, et générer des patchs prêts à reviewer.
• 2 100+ vulnérabilités patchées
• 2 100+ vulnérabilités patchées en 3 semaines de bêta.
Ce qui se passe vraiment dans le vibe coding
Pendant que les modèles frontier optimisent la sécurité défensive à l'échelle de Cloudflare, l'autre extrémité du marché — le vibe coding pour non-développeurs — produit massivement de la dette technique non auditée. Les chiffres consolidés à fin mai 2026:
• 63 % des utilisateurs d'outils vibe coding (Lovable, Bolt, Cursor, Replit, v0) n'ont aucun background dev (TechTimes, 24 mai 2026).
• 2 000+ vulnérabilités identifiées sur 5 600 applications vibe-coded scannées par le Vibe Security Radar de Georgia Tech.
AI Act du 2 août 2026 : ce qui s'applique à votre PME
Le compte à rebours est lancé. Le 2 août 2026, la majorité des règles de l'AI Act entrent en application, dont l' Article 50 sur les obligations de transparence. À J-69 de la deadline (au 25 mai), voici ce qu'une PME française qui utilise une IA générative — y compris via une app vibe-coded — doit avoir traité:
• Déclaration utilisateur: informer chaque utilisateur final qu'il interagit avec un système d'IA (chatbot, agent, copilote).
Plan d'action 30 jours pour une PME française
Si vous dirigez une PME ou une ETI et que vous avez (a) une app Lovable/Bolt/Replit en production ou (b) un copilote interne basé sur ChatGPT, Claude ou Mistral, voici la séquence opérationnelle à boucler avant le 30 juin 2026.
Semaine 1 — Diagnostic
• Recensement exhaustif des apps vibe-coded et copilotes IA déployés. Inclure les déploiements "shadow" (tests internes, prototypes commerciaux, démos client).
• Scan secrets sur les repos avec gitleaks
• Scan secrets sur les repos avec gitleaks ou trufflehog
• Scan secrets sur les repos avec gitleaks ou trufflehog. Inclure l'historique git complet, pas seulement le HEAD.
• Identification des applications en contact avec des données personnelles (RGPD) ou des données sensibles (santé, financier, mineurs).
Semaine 2 — Audit ciblé
• Revue OWASP Top 10 sur les 3 patterns dominants du vibe coding: broken access control, missing authentication, hardcoded credentials.
• Cartographie des flux de données pour les apps à risque AI Act / RGPD.
• Test des dépendances avec npm audit
• Test des dépendances avec npm audit, pip-audit
• Test des dépendances avec npm audit, pip-audit ou équivalent — les éditeurs vibe coding ne mettent pas systématiquement à jour les libs vulnérables.