Project QuiltWorks : OpenAI, Anthropic et CrowdStrike s’allient pour traquer les failles que l’IA déterre par millions

L’annonce est tombée le 23 avril 2026 depuis Austin ^[1]. CrowdStrike ^[2] a dévoilé Project QuiltWorks ^[3], une coalition industrielle réunissant Accenture ^[4], EY ^[5], IBM Cybersecurity Services ^[6], Kroll ^[7] et OpenAI ^[8], avec en moteur les modèles d’IA frontière d’OpenAI et d’Anthropic ^[9]. Objectif affiché: évaluer, hiérarchiser et corriger en continu la vague de vulnérabilités que les modèles d’IA déterrent désormais dans le code de production ^[10].

LES ENJEUX

Volume de failles inédit

45 millions de vulnérabilités identifiées chez un seul client pilote du Fortune 100 [11]. Un ordre de grandeur que les scanners traditionnels ne peuvent absorber - et dont la part effectivement corrigée n'est pas encore communiquée.

Fin du Patch Tuesday

Daniel Bernard prédit plus de correctifs dans les 6 à 12 prochains mois que jamais auparavant [14]. Le rythme mensuel hérité de Microsoft [23] cède la place à un patching permanent.

Concentration des acteurs

La coalition agrège CrowdStrike, IBM, Kroll, Accenture, EY, OpenAI et Anthropic. Aucune voix critique externe ni acteur européen identifié dans les sources.

Verrouillage économique

Le service Frontier AI Readiness and Resilience [41] s'achète en crédits Falcon Flex [42], par abonnement annuel renouvelable de 12 mois [40] - un modèle de prepaid commitment qui enferme le budget cyber dans la plateforme.

Course IA défensive vs offensive

Les modèles frontière révèlent bugs logiques et chemins d'exploit [28] tout en réduisant la fenêtre entre découverte et exploitation [30]. Les attaques assistées par IA ont bondi de 89 % [25].

Une entreprise pilote du Fortune 100, dans la santé, a déjà remonté 45 millions de vulnérabilités ^[11][12] en branchant les outils de la coalition sur ses bases de code. Un chiffre qui mesure la découverte, pas la remédiation: ni CrowdStrike ni ses partenaires n’ont communiqué, à ce stade, de bilan chiffré sur le nombre de failles effectivement corrigées sur ces 45 millions. Daniel Bernard ^[13], Chief Business Officer de CrowdStrike, se contente d’une projection: « we’re going to do more patching in the next six months to 12 months than has ever been done on planet Earth before » ^[14].

Pourquoi maintenant: la divulgation d’Anthropic a tout déclenché

Le calendrier n’est pas anodin. Plus tôt en avril 2026 ^[16], Anthropic ^[17] a divulgué les capacités de ses outils à démultiplier exponentiellement la découverte de vulnérabilités. La demande des conseils d’administration a explosé en deux semaines ^[18]. « It was time for somebody to take the bull by the horns and do something that would benefit people », résume Daniel Bernard ^[19].

George Kurtz ^[20], CEO et fondateur de CrowdStrike, plante le décor: « As frontier AI accelerates vulnerability discovery, every board in the world is asking their chief information security officers the same question: are we exposed and are we protected? » ^[21]. Sa réponse: « Project QuiltWorks is how the industry comes together to give every organization the answer their board needs » ^[22].

On se souvient de la dernière mobilisation sectorielle de cette ampleur: la faille Log4Shell, fin 2021, qui avait contraint des milliers d’entreprises à patcher dans l’urgence des millions de systèmes Java exposés. À l’époque, la chasse aux instances vulnérables s’était faite manuellement, et la mise en perspective éclaire la promesse de Bernard: ce qui s’annonce n’est pas un Log4Shell, mais une succession permanente de Log4Shell détectés à la chaîne par des modèles frontière.

La fin du Patch Tuesday

Le rythme historique des correctifs vole en éclats. Le Patch Tuesday ^[23], rendez-vous mensuel hérité de Microsoft, appartient au passé selon Daniel Bernard: « Before it was Patch Tuesday, once a month. Now it’s, ‘Patch every day, all the time.’ That’s what this new world looks like » ^[24].

Les chiffres rapportés par Clubic documentent l’urgence: les attaques menées par des adversaires assistés par IA ont bondi de 89 % ^[25], le temps moyen pour qu’un pirate prenne le contrôle d’un système après intrusion est tombé à 27 secondes ^[15], et 42 % des failles zero-day sont désormais exploitées avant même d’être officiellement signalées ^[26]. Côté Kroll, plus de 90 % des clients déclarent avoir affronté un incident cyber lié à l’IA ^[27].

La course IA offensive contre IA défensive

C’est là le cœur du problème. Les mêmes modèles frontière qui révèlent bugs logiques, défauts de conception et nouveaux chemins d’exploit ^[28] dans le code des défenseurs sont, par construction, capables d’aider les attaquants à les exploiter plus vite. Les 89 % d’augmentation des attaques assistées par IA ^[25] et la chute du « breakout time » à 27 secondes ^[15] ne sont pas des chiffres parallèles à ceux de QuiltWorks: ce sont les deux faces d’une même médaille technologique. Anthropic le formalise d’ailleurs dans son propre dispositif Project Glasswing ^[29], conçu pour compartimenter l’accès aux versions les plus puissantes de Claude - reconnaissance implicite que ces modèles peuvent basculer du défensif vers l’offensif selon les mains qui les tiennent.

La fenêtre entre découverte d’une faille et exploitation se réduit dangereusement ^[30]. QuiltWorks parie qu’en mettant les modèles frontière du côté des défenseurs avant les attaquants, les premiers garderont une longueur d’avance. Le pari reste à démontrer.

Comment fonctionne la coalition

La méthode tient en quatre temps: audit initial de la posture de sécurité ^[31], scan des bases de code par les modèles d’IA frontière pour isoler les failles réellement dangereuses ^[32], priorisation par les experts ^[33], puis recommandations et reporting au niveau du conseil d’administration ^[34]. La plateforme CrowdStrike Falcon ^[35], qui traite quotidiennement des milliers de milliards d’événements de sécurité ^[36], sert d’épine dorsale, articulée à Falcon Spotlight, l’outil de découverte de vulnérabilités piloté par IA ^[37].

Le réseau mobilise plus de 10 000 professionnels certifiés ^[38] chargés d’accélérer la remédiation directement au niveau du code des entreprises clientes ^[39]. En parallèle, CrowdStrike commercialise un service d’abonnement renouvelable de 12 mois ^[40], le Frontier AI Readiness and Resilience Service ^[41], payable via les crédits Falcon Flex ^[42].

Le paradoxe Anthropic: partenaire officiel, mais avec son arme rangée au coffre

Voici la contradiction que les communiqués officiels n’expliquent pas. Anthropic est partenaire affiché de Project QuiltWorks et ses modèles frontière sont censés alimenter la coalition ^[9]. Pourtant, son modèle le plus puissant, Claude Mythos Preview ^[43], modèle non publié auquel CrowdStrike a un accès privilégié via Project Glasswing ^[29], est explicitement interdit d’usage au sein de QuiltWorks ^[29]. Autrement dit: Anthropic est dedans, mais son arme la plus tranchante reste au coffre.

Quelle version de Claude est-elle alors réellement déployée dans QuiltWorks? Les sources publiques consultées ne le précisent pas. CrowdStrike évoque les « modèles d’IA frontière » d’Anthropic au sens générique, sans nommer la génération exacte. Daniel Bernard tente de désamorcer la question: « you don’t need a Mythos right now to take action and start getting ready » ^[44]. Mais l’argument se retourne aisément: si Mythos est jugé trop puissant pour être déployé chez les clients, c’est bien que la même IA capable de colmater pourrait, entre d’autres mains, accélérer l’exploitation à un degré que personne ne souhaite voir testé en production.

Une voix critique absente du dossier

Aucune voix dissonante n’a émergé dans les sources consultées sur Project QuiltWorks - un unanimisme qui interroge sur la concentration en cours. La coalition agrège les acteurs dominants de la cybersécurité (CrowdStrike, IBM, Kroll), du conseil (Accenture, EY) et de l’IA (OpenAI, Anthropic). Aucune startup spécialisée, aucun acteur européen ne figure parmi les partenaires initiaux. Les conseils d’administration des grandes entreprises auront le choix entre cette coalition et. Cette coalition.

CrowdStrike participe d’ailleurs à la fois à Project Glasswing chez Anthropic et à Trusted Access for Cyber chez OpenAI ^[45][46] - position rare, puisque l’éditeur revendique être l’une des deux seules entreprises purement cybersécurité présentes simultanément dans les deux dispositifs. Aucune des sources consultées ne révèle l’identité du second acteur pure-play cybersécurité participant aux deux initiatives, opacité notable pour un secteur qui se présente comme structurant pour l’ensemble de l’industrie.

Falcon Flex: la mécanique du verrouillage

Le service Frontier AI Readiness and Resilience ^[41] s’achète exclusivement en crédits Falcon Flex ^[42], monnaie interne de l’écosystème CrowdStrike. Concrètement, le client achète à l’avance une enveloppe de crédits qu’il consomme ensuite à mesure qu’il active des modules de la plateforme Falcon. Ce mécanisme, dans la lignée des programmes de prepaid commitment popularisés par les hyperscalers cloud, présente l’avantage commercial de lisser les revenus de l’éditeur - et l’inconvénient, pour le client, d’enfermer son budget cybersécurité dans un seul fournisseur.

L’abonnement de 12 mois renouvelable ^[40] amplifie l’effet: à l’échéance, le client qui voudrait basculer vers une coalition concurrente doit non seulement réécrire ses processus de remédiation, mais aussi renoncer à ses crédits Falcon Flex non consommés. Aucune passerelle d’interopérabilité n’a été annoncée avec les outils de scanning ou de SIEM tiers dans le périmètre QuiltWorks. À mesure que les 10 000 professionnels certifiés ^[38] de la coalition s’attachent à des bases de code spécifiques, le coût de sortie - réécriture, recertification, perte de l’historique d’audits - augmente mécaniquement. C’est le modèle classique du lock-in SaaS, appliqué cette fois à un actif aussi sensible que la cartographie complète des vulnérabilités d’une entreprise.

Ce que ça change pour les entreprises

Project QuiltWorks et l’évaluation des vulnérabilités par IA sont disponibles immédiatement ^[48]. Les mois à venir diront si la coalition tient sa promesse de remédiation - ou si elle accouche d’une vague de découvertes ingérable que Daniel Bernard lui-même prédit comme la plus massive jamais entreprise sur Terre ^[14], sans pour autant chiffrer aujourd’hui combien des 45 millions de failles déjà identifiées chez son premier client pilote auront été refermées.