Dans les notes de sécurité publiées avec iOS 26.6 et macOS Tahoe 26.6, Apple remercie Claude, Codex Security, Z.AI et la red team de NVIDIA. Au moins neuf vulnérabilités corrigées cette semaine ont été dénichées par des modèles d'IA, contre quatre le mois dernier. La chasse aux bugs est en train de changer de main.
Quatre laboratoires, neuf vulnérabilités
Apple a diffusé lundi une grosse fournée de correctifs, près de 80 côté iPhone et 155 côté Mac, dont une trentaine de CVE pour le seul noyau. Le détail intéressant se trouve dans les pages de crédits, celles où Apple remercie les chercheurs qui lui remontent les failles. On y lit trois vulnérabilités attribuées à Anthropic et à Claude, trois autres à Codex Security d'OpenAI, deux à la red team de NVIDIA et une à Z.AI, l'éditeur des modèles GLM. Le mois dernier, avec iOS 26.5.2, ces mêmes crédits ne concernaient que quatre failles WebKit. Le compte a plus que doublé en quatre semaines.
WebKit, mais aussi le système de fichiers
Ces trouvailles débordent largement du moteur web, terrain de jeu habituel des chasseurs de bugs. Elles touchent WebKit et WebKit Storage, mais aussi WebDAV, le partage SMB, le service d'impression CUPS, ImageIO, CoreAudio, CoreMedia et même HFS, le vieux système de fichiers d'Apple. Plusieurs failles du noyau sont également créditées à des laboratoires qui travaillent avec ces modèles, dont Calif.io, qui avait déjà construit un exploit noyau sur puce M5 en cinq jours avec l'aide d'un modèle d'Anthropic. Apple a aussi accès depuis avril à Claude Mythos Preview, une version spécialisée en cybersécurité, dans le cadre du programme Project Glasswing. Ce que la firme trouve en interne avec cet outil n'apparaît évidemment nulle part dans les crédits publics.
Le bug bounty va devoir se réinventer
Un programme de primes aux bugs part du principe qu'un chercheur passe des semaines sur un composant et se fait payer pour sa trouvaille. Quand un modèle épluche du code en continu et sort trois failles exploitables par cycle de mise à jour, l'équilibre économique de tout l'édifice se déplace. Apple, de son côté, resserre sa cadence : iOS 26.6 arrive moins d'un mois après iOS 26.5.2, et la firme a déjà prévenu qu'elle accélérerait ses correctifs face à des attaquants qui utilisent les mêmes outils.
On en dit quoi ?
C'est assez rigolo de voir Apple, qui reste discret dès qu'il s'agit d'intelligence artificielle sur ses propres produits, remercier noir sur blanc trois modèles concurrents dans ses bulletins de sécurité. Au moins c'est dit clairement, et pour l'utilisateur, l'affaire est plutôt bonne : neuf failles de moins dans un iPhone, personne ne va s'en plaindre. Reste que la même mécanique tourne chez les attaquants, avec les mêmes modèles et sans le moindre bulletin public. Le plus parlant dans cette histoire, ce n'est pas qu'une IA ait trouvé un bug dans HFS, c'est qu'Apple ait maintenant besoin de publier des correctifs tous les mois.
