Une année de tests d’intrusion condensée en trois semaines
Les modèles d’IA découvrent des failles logicielles plus vite que les humains ne peuvent les corriger. C’est le constat qui ressort des derniers chiffres de l’industrie, et il commence par un chiffre spectaculaire.
Palo Alto Networks a déclaré que l’IA l’avait aidé à trouver plus de 14 000 vulnérabilités jusqu’alors inconnues dans des logiciels open source. Selon l’entreprise, elle a accompli en trois semaines l’équivalent d’une année entière de tests d’intrusion manuels. Pour rappel, un test d’intrusion consiste à simuler une attaque afin de repérer les faiblesses d’un système avant que des acteurs malveillants ne le fassent.
Le problème, lui, se déplace en aval. Moins de failles restent cachées, mais les bénévoles et les éditeurs chargés de vérifier et de corriger chaque signalement prennent du retard.
OSS Scanner d’Anthropic : le goulot d’étranglement humain
Anthropic a ouvert les inscriptions à son OSS Scanner gratuit le 8 octobre. Ce service envoie aux projets open source éligibles des rapports réguliers produits par ses modèles les plus avancés, dont Claude Mythos, sans qu’une personne les ait relus au préalable.
Les volumes donnent le vertige. Au 2 octobre, les modèles d’Anthropic avaient détecté 29 432 vulnérabilités potentielles. L’entreprise n’a pu en examiner manuellement que 6 123, et 513 correctifs ont été appliqués en amont, c’est-à-dire directement dans les projets concernés.
« Notre capacité humaine à valider ces découvertes reste un goulot d’étranglement », a déclaré l’entreprise.
Les petites équipes en première ligne
Certains experts craignent que le scanner ne fasse peser cette charge sur de petites équipes. « L’analyse est gratuite, mais le temps nécessaire pour traiter ses résultats, lui, ne l’est pas », a souligné Krishna Shakula, ingénieur en IA.
Sur le terrain, la pression est déjà bien réelle. Anton Arapov, d’OpenSSL, explique que son équipe a dû étoffer son pôle sécurité pour suivre le rythme.
Matteo Collina, mainteneur de Node.js, a confié qu’il travaille sept jours sur sept et fait tourner des agents d’IA pendant la nuit. Le projet a confirmé 50 vulnérabilités cette année, un record.
Un nombre record de correctifs
Les éditeurs aussi sont submergés. Microsoft a publié 1 461 correctifs en octobre, soit plus que les 1 247 diffusés sur toute l’année 2025. Google, de son côté, a corrigé cette année plus de failles graves dans Chrome qu’au cours des huit années précédentes réunies.
À lui seul, le Patch Tuesday de Microsoft du 13 octobre couvrait environ 1 413 CVE, ces identifiants publics attribués aux vulnérabilités connues. Il incluait une faille zero-day de Windows déjà exploitée, autrement dit une faille utilisée par des attaquants avant même la publication d’un correctif.
Les chiffres varient selon les outils de suivi : le total de 1 411 avancé par un site spécialisé exclut 348 failles corrigées plus tôt dans le mois.
« L’IA ne crée pas ces bugs de toutes pièces », a déclaré Dustin Childs, de la Zero Day Initiative.
Quand les correctifs publics deviennent une arme
Corriger des bogues comporte ses propres risques. Des chercheurs d’Epoch AI ont découvert que GLM 5.3, un modèle chinois à poids ouverts, s’était servi de correctifs publics, mais pas encore déployés, pour concevoir des exploits fonctionnels contre six versions de Firefox.
Le modèle n’a nécessité aucune intervention humaine, et chaque attaque réussie a coûté environ 1 000 $ de frais d’API. L’exploit le plus rapide a pris 12 heures. Mozilla a corrigé la faille sous-jacente dans Firefox 159.0 le 27 octobre.
Une tentative similaire contre Chrome a coûté environ 100 000 $ et n’a produit aucun exploit comparable.
Un optimisme prudent
Matthew Prince, PDG de Cloudflare, s’attend à environ une vulnérabilité critique par semaine touchant l’ensemble d’internet au cours des deux prochaines années.
Selon lui, on est pourtant « bien plus en sécurité dans un monde où l’on découvre ces failles ».
Reste à savoir si la chaîne humaine de validation et de correction saura s’adapter à cette nouvelle cadence. Pour les mainteneurs open source comme pour les éditeurs, l’enjeu n’est plus de trouver les failles, mais de les traiter avant que d’autres ne les exploitent.
