Le 27 octobre, Google a publié une mise à jour de sécurité de Chrome qui corrige 52 failles. Dix-huit sont créditées à Xinyang Ge, chercheur d'Anthropic, ou à Anthropic, soit plus d'une sur trois. Le même jour, Anthropic publiait un billet de son équipe Frontier Red Team, dont Xinyang Ge figure parmi les sept contributeurs. Un modèle de recherche interne, non commercialisé, y est présenté comme l'auteur de chaînes d'attaque complètes contre Chrome, Safari, Android et Linux, et d'une faille de déni de service sous Windows. Anthropic écrit que « 62 CVE ont été attribuées et corrigées » dans Chrome jusqu'à la version 156, toutes de gravité critique ou élevée.
ActuIA a relevé les onze bulletins de sécurité de Chrome pour ordinateur publiés par Google entre le 15 septembre et le 29 octobre 2026. Sur 929 failles listées, 77 portent le nom de Xinyang Ge ou d'Anthropic. Le premier signalement date du 10 septembre, le dernier du 23 octobre. Aucune n'affiche de prime à ce jour.
Sept mises à jour de sécurité de Chrome en octobre
Google a publié en octobre sept mises à jour de sécurité de Chrome pour ordinateur, les 1er, 6, 13, 15, 20, 27 et 29. Elles listent 731 failles, dont 72 créditées à Anthropic ou à son chercheur, environ une sur dix. La part varie fortement d'un bulletin à l'autre. Elle reste faible dans les deux mises à jour de version : 14 failles sur 247 pour Chrome 155 le 6 octobre, 15 sur 353 pour Chrome 156 le 20 octobre. Dans plusieurs correctifs intermédiaires, elle dépasse un tiers : 15 failles sur 37 le 13 octobre, 5 sur 10 le 15 et 18 sur 52 le 27.
| Bulletin | Failles corrigées | Créditées à Anthropic ou X. Ge | Créditées à OpenAI Codex Security |
|---|---|---|---|
| 15 septembre | 42 | 0 | 0 |
| 17 septembre | 16 | 0 | 0 |
| 22 septembre | 108 | 3 | 2 |
| 29 septembre | 32 | 2 | 3 |
| 1er octobre | 11 | 1 | 0 |
| 6 octobre (Chrome 155) | 247 | 14 | 2 |
| 13 octobre | 37 | 15 | 0 |
| 15 octobre | 10 | 5 | 0 |
| 20 octobre (Chrome 156) | 353 | 15 | 4 |
| 27 octobre | 52 | 18 | 4 |
| 29 octobre | 21 | 4 | 0 |
| Total | 929 | 77 | 15 |
Relevé ActuIA sur les bulletins du canal stable pour ordinateur, consultés le 30 octobre 2026. Une faille est comptée une fois, dans le bulletin qui la corrige. ActuIA rattache à Anthropic les lignes créditées au seul nom de Xinyang Ge, contributeur du billet de l'entreprise.
Un seul nom et aucune prime affichée
Hormis deux lignes, les 77 citent le même chercheur. Quarante-neuf sont créditées à « Xinyang Ge » sans autre mention, 26 à « Xinyang Ge (Anthropic), assisted by Claude » et deux à « Anthropic and Ada Logics », une société de conseil en sécurité. Dix-huit failles sont classées critiques et 59 élevées, aucune moyenne ni faible, ce qui concorde avec le billet d'Anthropic. Dans la colonne de récompense, toutes portent « N/A » ou « TBD », c'est-à-dire à déterminer. Les 15 failles créditées à OpenAI Codex Security, l'outil d'audit de code d'OpenAI, sont dans le même cas.
À la sortie de Chrome 156, le 20 octobre, le décompte d'ActuIA donne 55 failles créditées. Le 27 octobre, jour du billet, il en donne 73. Les 62 annoncées se situent entre les deux. Anthropic ne publie pas la liste de ses 62 CVE, et Google ne mentionne Claude que sur 26 lignes : le rapprochement ligne à ligne n'est pas possible. Google prévient aussi dans ses bulletins, dont celui du 27 octobre, que l'accès aux détails des failles peut rester restreint « jusqu'à ce qu'une majorité d'utilisateurs ait reçu le correctif ».
Windows, Linux et Apple : des correctifs plus anciens
Hors de Chrome, les références données par Anthropic renvoient à des correctifs publiés avant le billet. La faille de Windows, CVE-2026-33096, a été corrigée lors du Patch Tuesday du 14 avril 2026. Elle touche le pilote HTTP.sys et permet un déni de service à distance sans authentification, avec un score CVSS de 7,5, selon la fiche de Tenable. Anthropic estime à « plusieurs millions » le nombre de serveurs exposés. La faille du noyau Linux, CVE-2026-98432, a été publiée le 15 octobre avec un score de 9,8, et corrigée dans toutes les branches stables maintenues, selon Anthropic.
Le bulletin d'Apple cité par Anthropic porte sur iOS et iPadOS 26.5.2, publiés le 29 juin. Il crédite une faille de WebKit à « Milad Nasr and Nicholas Carlini with Claude, Anthropic », deux autres contributeurs du billet, et en crédite aussi plusieurs à OpenAI Codex Security. Pour Android, Anthropic écrit seulement que le problème a été « traité par Google », sans numéro de CVE.
Douze jours entre le signalement et le correctif
Pour les 77 failles de Chrome, ActuIA a calculé l'écart entre la date de signalement et la publication du bulletin : douze jours en médiane, de 3 à 41 jours. En octobre, deux mises à jour de sécurité n'ont jamais été séparées de plus de sept jours. Un parc qui mettait deux semaines à déployer une version de Chrome avait donc toujours au moins une mise à jour de retard. La version à exiger au 29 octobre est 156.0.8078.79 sous Linux, 156.0.8078.79 ou 156.0.8078.80 sous Windows et Mac.
Anthropic laisse 90 jours aux éditeurs pour corriger, puis attend 45 jours de plus avant de publier des détails qui dépassent l'avis de sécurité. Son billet recommande aux développeurs d'analyser le code au moment de chaque demande de fusion, et juge qu'analyser son propre code est « plus important que jamais ».
Chez Google, la moitié de ces failles ont été corrigées moins de deux semaines après leur signalement. Il reste à chaque entreprise le temps de déployer le correctif.
Citations traduites de l'anglais par ActuIA.
Nos articles remonteront en priorité dans « À la une » de Google.