L’essor de la détection des vulnérabilités par l’IA met sous tension le travail de correction, la riposte se déplace vers la phase de développement

2026-08-16

Le diagnostic en phase de développement au centre de l’attention

Le nombre de nouvelles vulnérabilités découvertes dans les logiciels a atteint 36 000 sur les six mois de janvier à juin 2026. L’apparition d’IA de pointe, comme Claude Mysthos d’Anthropic, une jeune pousse américaine, a fait progresser le nombre de détections et renforcé le risque que les corrections manuelles ne suivent pas.

Une vulnérabilité désigne un état dans lequel un défaut ou une erreur cachés dans le code qui fait fonctionner un logiciel peuvent déclencher un comportement non prévu. Elle peut entraîner un arrêt du fonctionnement ou une intrusion illicite, mais aussi une fuite d’informations via une injection SQL ou un dysfonctionnement exploitable par un débordement de mémoire tampon. Le nombre de nouvelles entrées dans la base de données CVE, qui recense les vulnérabilités publiées dans le monde, a atteint environ 48 000 en 2025, soit 1,9 fois le niveau de 2022. En 2026, le total a déjà atteint environ 36 000 à fin juin.

Asymétrie entre attaque et défense

Anthropic a indiqué avoir découvert un grand nombre de vulnérabilités avec Mysthos, ce qui laisse penser que l’amélioration des performances de l’IA a contribué à la hausse des détections. Les vulnérabilités non divulguées sont appelées zero day, et les IA de pointe peuvent en trouver jusque-là négligées pendant des années. Pour autant, leur correction exige des vérifications prudentes dans un contexte de ressources humaines et budgétaires limitées. Le National Institute of Standards and Technology (NIST), chargé de l’analyse des vulnérabilités, a lui aussi indiqué vouloir concentrer ses réponses sur les dossiers les plus urgents.

Junichi Murakami, partner chez PwC Consulting, souligne que les lignes directrices publiées par les organismes de cybersécurité en Europe et au Royaume-Uni, ainsi que par le ministère japonais des Affaires intérieures et des Communications, ne partent aucune d’elles du principe qu’une IA corrige de manière autonome les vulnérabilités. En 2024, une mise à jour du logiciel de sécurité de CrowdStrike, aux États-Unis, a provoqué une panne d’ampleur dans Windows, le système d’exploitation de Microsoft. Alors que l’attaquant peut exploiter sans discrimination les vulnérabilités détectées par l’IA, le défenseur doit les corriger après vérification par des experts, ce qui fait de la confrontation cybernétique autour de l’IA un rapport asymétrique favorable à l’attaque.

L’importance du diagnostic avant livraison

Pour les entreprises et les organisations, l’usage le plus efficace consiste à diagnostiquer les vulnérabilités pendant le développement ou avant la mise à disposition. Jusqu’ici, il était courant de publier rapidement un logiciel puis de le mettre à jour après la publication en cas de problème, mais l’IA pourrait permettre de réduire les vulnérabilités à moindre coût. À l’avenir, il est possible que les donneurs d’ordre exigent contractuellement des diagnostics avant livraison.

Faire corriger de manière autonome par une IA des vulnérabilités découvertes après publication comporte un risque élevé, mais celle-ci pourrait servir à assister le travail des spécialistes. Il faudra réduire le temps nécessaire aux corrections et faire fonctionner les réponses avec des effectifs limités. Il reste cependant difficile d’éliminer totalement les vulnérabilités. En juillet, l’Association du logiciel du Japon, une association de droit civil basée à Tokyo, Minato, a publié une proposition indiquant qu’il existe des situations où il faut interrompre des systèmes en fonctionnement ou la fourniture de services pour traiter une vulnérabilité. À l’avenir, les interruptions de service et les bascules vers des services de remplacement pourraient se multiplier.

Si cet article vous a été utile, n’hésitez pas à le partager.