Glasswing phase 2 : l'audit open source des géants, quels impacts pour les PME

Le 7 avril 2026, Anthropic annonçait Project Glasswing avec une ambition démesurée : réunir les géants de la tech pour auditer et sécuriser les logiciels open source qui font tourner Internet. Le 22 mai 2026, la première mise à jour est tombée — et elle contient des enseignements qui concernent directement les PME françaises.

Voici ce qu’il faut retenir de la phase 2, et pourquoi une entreprise de 20 salariés devrait s’y intéresser autant qu’un DSI du CAC 40.

Glasswing, c’est quoi ? Le rappel

Project Glasswing est une initiative inédite portée par Anthropic, qui fédère 12 entreprises parmi les plus puissantes de la planète tech : Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, la Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks — et Anthropic elle-même.

L’objectif : auditer le code source des composants open source les plus critiques — ceux sur lesquels reposent 90 % des infrastructures numériques mondiales — avec des moyens techniques et humains qu’aucune entité seule ne pouvait mobiliser.

Pour le contexte complet du lancement, lisez notre analyse de la preview Glasswing d’avril 2026.

Ce que l’update du 22 mai a révélé

Le premier bilan, livré après six semaines de travaux, contient trois annonces majeures :

1. La liste complète des 12 partenaires — et leur division du travail

L’annonce d’avril laissait planer le flou sur la gouvernance. L’update de mai clarifie : chaque partenaire prend en charge un maillon spécifique de la chaîne logicielle. AWS et Google supervisent l’infrastructure cloud, Microsoft et Apple le run-time des systèmes d’exploitation, CrowdStrike et Palo Alto Networks la détection de vulnérabilités, la Linux Foundation coordonne l’intégration des correctifs dans l’écosystème open source.

Cette division du travail garantit une couverture exhaustive — du noyau Linux jusqu’aux bibliothèques de chiffrement en passant par les runtimes de conteneurs.

2. Les premiers audits ont déjà trouvé des failles critiques

Le rapport intermédiaire mentionne la découverte de « vulnérabilités exploitables à distance » dans des bibliothèques open source largement déployées. Sans entrer dans le détail technique (les CVE seront publiées après correction), Anthropic confirme que le processus d’audit fonctionne et produit des résultats concrets.

Statistique clé : selon l’Open Source Security Foundation (OpenSSF), 84 % des codebases auditées contiennent au moins une vulnérabilité open source connue. Glasswing s’attaque à cet angle mort en auditant les dépendances que personne n’avait les moyens d’inspecter à cette échelle.

3. Un calendrier de correction qui s’étale sur 2026-2027

L’update précise que la première vague de correctifs est attendue pour le second semestre 2026. Les correctifs seront publiés sous licence open source et intégrés aux canaux de mise à jour standards — distributions Linux, registres de conteneurs, gestionnaires de paquets.

Pourquoi une PME doit s’y intéresser

La réaction naturelle d’un dirigeant de PME est de penser que Glasswing ne le concerne pas. Erreur.

Votre infrastructure repose sur les mêmes briques logicielles que celles des géants. Votre serveur web tourne probablement sous Linux, vos API utilisent OpenSSL pour le chiffrement, vos conteneurs Docker embarquent des bibliothèques dont vous ignorez l’existence. Tous ces composants sont dans le scope de Glasswing.

Quand une vulnérabilité comme Log4Shell (décembre 2021) est découverte, ce sont les PME qui souffrent le plus : elles n’ont pas d’équipe sécurité dédiée pour patcher en urgence. Glasswing agit en amont, en trouvant et corrigeant les failles avant qu’elles ne soient exploitées.

C’est un filet de sécurité gratuit pour votre entreprise. Vous ne payez rien, vous ne contribuez pas aux audits, mais vous bénéficiez des correctifs. C’est la définition même d’un bien commun numérique.

Ce que Glasswing ne protège pas (encore)

Il serait dangereux de croire que Glasswing règle tous les problèmes de cybersécurité d’une PME.

Glasswing audite du code open source — pas vos applications maison. Si votre développeur a écrit une API avec une faille d’injection SQL, Glasswing ne la trouvera pas. La sécurité de votre code applicatif reste de votre responsabilité.

Glasswing ne remplace pas une politique de mises à jour. Les correctifs Glasswing arriveront via les canaux de mise à jour normaux — mais encore faut-il les appliquer. Une PME qui néglige ses mises à jour de sécurité reste vulnérable, Glasswing ou pas.

Glasswing ne couvre pas les attaques par ingénierie sociale. Le phishing, les faux ordres de virement, les compromissions de mots de passe — tout cela reste hors scope.

Pour une approche complète de la cybersécurité, notre checklist de protection contre les injections de prompt sur Claude et MCP couvre un autre pan essentiel.

L’effet Glasswing sur l’écosystème open source

Au-delà des corrections techniques, Glasswing a un effet structurant sur l’écosystème.

Légitimation du modèle open source critique. En mettant 12 géants autour de la table pour auditer du code libre, Glasswing envoie un signal : l’open source n’est pas une option low-cost pour les PME, c’est l’épine dorsale de l’Internet mondial. Cela devrait rassurer les PME qui hésitent à basculer sur des stacks open source.

Effet d’entraînement sur les financements. La participation de JPMorgan Chase au projet n’est pas anodine. Elle indique que le secteur financier — longtemps réticent à investir dans la sécurité open source — considère désormais le sujet comme systémique. Les financements pour la maintenance des projets open source critiques pourraient augmenter mécaniquement.

Standardisation des bonnes pratiques. Les méthodologies d’audit développées par Glasswing seront documentées et partagées. À terme, n’importe quelle entreprise pourra s’en inspirer pour auditer ses propres dépendances — un pas vers la démocratisation de la sécurité logicielle.

Pour creuser la dimension open source et souveraineté, notre article sur la souveraineté IA européenne face aux géants US apporte un éclairage complémentaire.

FAQ

Project Glasswing concerne-t-il les PME ou seulement les grands groupes ?

Glasswing cible prioritairement les infrastructures logicielles critiques — des composants open source utilisés par tous, des géants du cloud aux PME. Les correctifs de sécurité produits par Glasswing bénéficient à l’ensemble de l’écosystème. Une PME qui utilise Linux, Kubernetes ou OpenSSL est protégée indirectement par les audits Glasswing, sans avoir à y contribuer financièrement.

Quand les correctifs Glasswing seront-ils disponibles pour le grand public ?

La première vague de correctifs est attendue pour le second semestre 2026, après la phase d’audit approfondi menée par les équipes des 12 partenaires. Les correctifs seront publiés sous licence open source et intégrés aux canaux de mise à jour habituels des distributions Linux, des registres de conteneurs et des gestionnaires de paquets. Les PME les recevront via leurs mises à jour de sécurité normales.

Quels logiciels sont audités par Project Glasswing ?

La liste exacte des composants audités n’est pas publique pour des raisons de sécurité. Anthropic a indiqué que la priorité est donnée aux bibliothèques et outils qui constituent l’infrastructure critique d’Internet : noyaux Linux, serveurs DNS, bibliothèques de chiffrement (OpenSSL, libsodium), runtimes de conteneurs et chaînes de compilation. Les 12 partenaires couvrent l’ensemble de la chaîne logicielle.