Les points clés à retenir sur le rôle de l'IA dans la cybersécurité

• Les failles de sécurité détectées par l'IA se multiplient à une vitesse fulgurante.
• Que l'on utilise un PC ou que l'on gère un centre de données, tout le monde sera concerné.
• Nous ne sommes pas prêts à faire face à ce qui nous attend.

La bonne nouvelle, c’est que l’IA détecte les failles de sécurité plus rapidement que jamais.

La mauvaise nouvelle, c’est que l’IA détecte les failles de sécurité plus rapidement que jamais.

Et les deux sont vraies : même s’il est formidable de détecter tous ces bugs, tenter de les corriger tous représente une tâche titanesque.

Bien sûr, si vous êtes Google, vous pouvez corriger plus de bogues dans Chrome en juin 2026 que vous n’en avez eu au cours des deux dernières années. Mais la plupart des entreprises ne sont pas Google. Elles ne disposent pas des ressources nécessaires pour corriger autant de failles de sécurité.

En effet, même Apple — oui, Apple — a été submergée par les rapports de bogues générés par l’IA. En conséquence, en juin, Apple a indiqué aux chercheurs en sécurité qu’elle « limitait le nombre de bogues logiciels potentiellement dangereux » que les chercheurs peuvent soumettre à son équipe de sécurité interne. Si vous découvrez une vulnérabilité vraiment grave, mais que vous dépassez la limite, tant pis. Réessayez le mois prochain.

D’où le problème. La détection de vulnérabilités assistée par l’IA accélère le rythme des rapports de bogues, mais le véritable enjeu réside dans le décalage croissant entre ce que les machines peuvent mettre en évidence et ce que les humains sont réellement capables de trier. Nous nous retrouvons ainsi face à une charge de travail sans cesse croissante pour les développeurs, les équipes de sécurité et les entreprises qui tentent de distinguer les failles exploitables du bruit généré par les machines.

Cependant, les développeurs ne sont pas les seuls à rencontrer des difficultés. Les administrateurs système, les RSSI et les utilisateurs finaux sont tous pris au piège, essayant de suivre le rythme des correctifs qui s’enchaînent.

L’ancien processus de sécurité partait du principe que les failles à haut risque arriveraient en nombre relativement gérable. Il suffisait de consulter le score CVE (Common Vulnerabilities and Exposures) et d’appliquer immédiatement les correctifs pour les vulnérabilités les plus graves. On espérait également qu’aucune vulnérabilité « zero-day » ne viendrait gâcher la journée. Aujourd’hui, la situation a changé.

L’IA a bouleversé cette hypothèse en rendant peu coûteuse la détection de grands volumes de failles. Si les programmes open source ont fait la une des journaux, il ne s’agit en aucun cas d’un problème propre à l’open source. Par exemple, le « Patch Tuesday » de juillet 2026 de Microsoft a livré 570 correctifs, dont trois vulnérabilités « zero-day ». Cela a établi un record. Je suis sûr qu’il sera battu avant la fin de l’année.

Pourquoi ? Non pas parce que Windows est moins sécurisé qu’il ne l’a jamais été. C’est parce que, comme l’a expliqué Microsoft en mai, « l’IA aide les défenseurs à découvrir davantage de failles, les clients verront donc un volume plus important de mises à jour de sécurité incluses dans chaque publication de sécurité. » Ces chiffres ne feront qu’augmenter.

Comme l’a récemment déclaré Dan Lorenc, cofondateur et PDG de la société de sécurité Chainguard, l’a récemment déclaré lors d’un webinaire, l’IA « détecte désormais des vulnérabilités dans les logiciels qu’ils développent et ceux qu’ils utilisent à un rythme qui dépasse de loin la capacité des responsables de la sécurité à appliquer des correctifs, à obtenir des mises à jour et à corriger ces vulnérabilités ».

Il a souligné qu’il était toujours plus facile de détecter des failles que de les corriger, mais que l’IA a « versé un autre seau géant d’essence sur le feu » avant d’inventer un meilleur extincteur ».

Ce qui rend la situation particulièrement difficile à gérer, c’est que tous ces problèmes ne se valent pas. Un petit nombre d’entre eux sont actifs, urgents et font l’objet d’exploits, tandis que beaucoup d’autres s’inscrivent dans le bruit de fond des correctifs. Les équipes de sécurité sont contraintes de trier les problèmes, alors que leur volume même constitue un multiplicateur de risques.

Par exemple, j’avais l’habitude de recommander aux utilisateurs de Windows de retarder l’installation des correctifs sur leurs PC, car de nombreux correctifs finissaient par mal se passer, comme ce fut le cas avec la mise à jour du « Patch Tuesday » de janvier 2026.

Aujourd’hui, face à la vague effrénée d’attaques « zero-day », vous n’avez peut-être d’autre choix que de serrer les dents, de procéder à la mise à jour et d’espérer que les correctifs eux-mêmes ne vous causeront pas de problèmes.

Pour le meilleur ou pour le pire, comme l’a dit Greg Kroah-Hartman, responsable du noyau stable de Linux : « Si vous n’utilisez pas la dernière version stable ou à long terme du noyau, votre système n’est pas sécurisé. » De nos jours, cela vaut également pour Windows, macOS et, en réalité, pratiquement tous les programmes.

Certains d’entre vous pensent peut-être que ce problème concerne principalement Linux et les logiciels libres. Ce n’est pas le cas. Le noyau Linux n’est que le cas le plus visible, car ses responsables sont publics, ont des opinions bien arrêtées et sont déjà débordés. Quelle est l’ampleur du problème ? En juillet, 432 CVE ont été signalés en deux jours dans le noyau Linux.

La même situation se produit avec les logiciels propriétaires. Mais les entreprises ne nous en parlent tout simplement pas. On le voit bien à la taille croissante de leurs correctifs et de leurs systèmes. Bien sûr, cela s’explique en partie par l’ajout par Microsoft de nouvelles fonctionnalités d’IA à Windows, mais je soupçonne fortement qu’une grande partie correspond à des correctifs visant à combler des failles de sécurité potentielles liées à l’IA.

Par exemple, la faille de sécurité de l’extension Chrome d’Adobe Acrobat, HermeticReader, expose des données sensibles de WhatsApp Web dès la simple visite d’une page malveillante. Ces pages web ressemblent à n’importe quelle autre page, mais lorsque vous en visitez une, le piège se déclenche et active un programme dormant au sein de l’extension. Celui-ci accède alors à votre compte WhatsApp et récupère votre liste de discussions, les noms de vos contacts, vos messages, votre nom de profil ainsi que le contenu de toute conversation ouverte — en somme, pratiquement tout.

L’attaque a été conçue par une IA combinant trois vulnérabilités différentes qui permettaient « une écriture non authentifiée, en une seule visite et sans clic, dans le stockage propre à l’extension depuis n’importe quelle page web ». Pour aggraver encore la situation, cette attaque a ensuite été automatisée par un cybercriminel à l’aide du DeepSeek via le framework Hermes Agent.

Le seul point positif de cette catastrophe potentielle est qu’Adobe a rapidement publié une version mise à jour de l’extension, qui a corrigé la faille de sécurité avant que les dégâts ne soient trop importants.

Nous n’aurons pas toujours cette chance. Comme l’a déclaré Jim Zemlin, PDG de la Linux Foundation, lors du North America Open Source Summit : « Aujourd’hui, le délai moyen d’exploitation est passé de 63 jours à -7 jours. L’exploitation a lieu avant même la publication d’un correctif. »

N’est-ce pas formidable ?

Parallèlement, les rapports de bogues générés par l’IA entraînent un autre coût qui ne se limite pas aux faux positifs : c’est le temps nécessaire pour prouver qu’ils sont erronés. Les responsables de maintenance doivent toujours les lire, les reproduire et déterminer s’il s’agit de doublons, d’hallucinations ou de véritables vulnérabilités dissimulées sous une formulation erronée. C’est un coût lié à l’attention des experts, qui pèse particulièrement lourd lorsque les équipes sont réduites.

Ce problème ne touche pas uniquement les responsables de maintenance. C’est une source de préoccupation tant pour vous, assis devant votre PC à la maison, que pour les RSSI des entreprises du Fortune 500 qui tentent de décider s’il faut ou non appliquer des correctifs à leurs systèmes ; telle est la question. Voulez-vous appliquer des correctifs et redémarrer votre système un jour sur deux ? En avez-vous les moyens ? Pouvez-vous vous permettre de ne pas le faire ?

L’époque où l’on pouvait compter sur un programme solide et stable fonctionnant pendant des semaines, voire des années, est révolue. Le rythme des correctifs s’est accéléré, et il ne ralentira pas de sitôt. Les scores de gravité sont de peu d’utilité lorsque tout le monde se noie dans un océan de vulnérabilités « élevées » et « critiques ».

Les entreprises, tout comme Ulysse, sont prises entre Charybde et Scylla.

Elles veulent une détection plus rapide, mais elles ont aussi besoin de moins de bruit. L’IA peut aider à mettre en évidence les véritables défauts plus tôt, mais ces mêmes outils peuvent générer des rapports qui semblent suffisamment fiables pour exiger un examen, sans pour autant apporter de valeur ajoutée. Cela crée une boucle de rétroaction dans laquelle les équipes de sécurité passent plus de temps à valider les rapports qu’à corriger les problèmes sous-jacents. Que doit faire une entreprise ?

Vous vous demandez peut-être : « Pourquoi l’IA ne peut-elle pas corriger ces bogues ? » La réponse est simple. Elle en est incapable. Il est bien plus facile de détecter des failles de sécurité que de les corriger. Une étude universitaire portant sur plus de 20 000 problèmes corrigés par l’IA a révélé que les modèles de langage grand public (LLM) introduisent « près de 9 fois plus de nouvelles vulnérabilités que les développeurs », et que bon nombre d’entre elles présentent des schémas uniques que l’on ne retrouve pas dans le code des développeurs. » En bref, le remède peut être pire que le mal.

Même les meilleurs programmes de correction basés sur l’IA, tels que PatchitPy pour le code Python, n’affichent encore qu’un taux de réussite de 80 %. C’est bien, mais c’est loin d’être parfait. Pour aggraver encore la situation, certains développeurs ont constaté qu’après « plusieurs cycles de corrections par IA, le nombre de vulnérabilités critiques peut augmenter, et non diminuer. »

Pourquoi est-ce si difficile ? L’une des principales raisons, selon Ben Hawkes, expert en sécurité informatique et ancien responsable du Projet Zero de Google, c’est qu’« il est difficile de rendre compte du fait qu’un bug peut être extrêmement grave dans un type de déploiement, assez important dans un autre, ou sans grande importance — et que ce bug peut être tout cela à la fois. La correction des vulnérabilités est difficile. » Il a tout à fait raison.

Alors, que pouvez-vous faire à ce sujet ? Google propose quelques suggestions. Elles se résument ainsi :

• Définir un périmètre restreint : Demandez au modèle d’effectuer des modifications minimales et ciblées (par exemple, « répercuter ce correctif en amont » ou « mettre à jour cette dépendance vers la version X ») plutôt que de lui demander d’« éliminer la vulnérabilité ».
• Séparer la correction et la vérification : Considérez la vérification comme une étape à part entière. Cela signifie relancer les scanners, les fuzzers et les tests ciblés pour le CVE après avoir appliqué le correctif, plutôt que de se fier au fait que « la compilation et les tests réussissent » comme preuve de sécurité.
• Révision humaine pour les modifications complexes : utilisez l’IA comme générateur de brouillons ou assistant de recherche, mais confiez aux ingénieurs humains la responsabilité des modifications au niveau de la conception, des refactorisations impliquant plusieurs fichiers et de tout ce qui touche à l’authentification, à l’autorisation ou au traitement des données.

La réputation de l’entreprise est également en jeu. Si une entreprise semble ignorer les rapports de vulnérabilité, elle donne l’impression d’être négligente. Si elle traite chaque rapport généré par une machine comme une urgence, elle fait perdre du temps à son personnel et retarde les véritables corrections. En pratique, cela se traduit par un besoin croissant de renforcer les équipes de sécurité, d’imposer des exigences de preuve plus strictes et de mieux exploiter les signaux d’exploitabilité plutôt que de se contenter du nombre brut de rapports.

Êtes-vous prêt à cela ? J’en doute.

Les entreprises affirment qu’elles recherchent des professionnels de la sécurité informatique, mais elles n’embauchent pas autant de personnes qu’en 2022. Plus inquiétant encore, « l’ISC2 classe désormais les contraintes budgétaires comme la première cause de pénurie de personnel, détrônant pour la première fois le “manque de talents qualifiés” (ISC2 2024). Ce changement est significatif : il signifie que cette pénurie est de plus en plus un problème de direction et d’investissement, et non plus un problème d’offre de compétences. Les données de l’ISACA corroborent cette tendance, montrant que les équipes restent en sous-effectif même lorsqu’il existe des candidats qualifiés sur le marché. »

Cela ne va pas bien se terminer.

La prochaine étape de ce problème sera probablement d’ordre procédural plutôt que technique. Les organisations auront besoin de règles de tri plus strictes, de politiques de divulgation plus claires et d’une automatisation plus poussée pour dédupliquer et noter les rapports avant que des humains ne les examinent. Sinon, l’IA continuera d’augmenter à la fois le nombre de découvertes et la quantité de données inutiles qui les entourent.

La principale leçon à tirer de Linux, Microsoft et Adobe est qu’il s’agit désormais d’un problème opérationnel à l’échelle de l’écosystème. L’IA ne se contente pas de détecter davantage de failles ; elle modifie l’économie de la gestion des vulnérabilités, et cette évolution touche toutes les couches de la chaîne d’approvisionnement et du support logiciel.

Nous devons prendre ces questions au sérieux, sinon nous allons assister, dans les prochains mois, à des problèmes de sécurité informatique qui feront passer les incidents majeurs du passé – du ver Morris à l’attaque par ransomware de Marks and Spencer, qui a coûté 300 millions de livres sterling ressemblent à des tempêtes dans un verre d’eau.