Les failles de sécurité détectées par l'IA ne s'avèrent pas plus faciles à exploiter, malgré le battage médiatique. Seulement 1,3 % d'entre elles font l'objet d'attaques réelles,

Selon une étude

Les outils d'IA tels que Mythos d'Anthropic et MDASH de Microsoft détectent bogues et nouvelles failles de sécurité à une vitesse fulgurante. Cette cadence larme l'industrie technologique, qui craint que des acteurs malveillants n'exploitent ces faiblesses avant que les entreprises n'aient eu le temps de les corriger. Mais une étude de VulnCheck relativise. Elle révèle que seulement 1,3 % des vulnérabilités identifiées par l'IA font l'objet d'attaques réelles, un taux équivalent aux méthodes de détection classiques. Ces données contredisent les discours alarmistes suggérant que des outils comme Mythos créeraient un avantage décisif pour les assaillants.

Mythos et MDASH contribuent à la détection de vulnérabilités, venant ainsi grossir le nombre sans cesse croissant de failles que les responsables de la sécurité doivent corriger avant qu’elles ne soient exploitées. En avril 2026, Mozilla a rapporté que Mythos avait détecté 271 failles de sécurité dans Firefox 150. Mozilla a expliqué que ce nouveau modèle d'IA d'Anthropic est « tout aussi performant » que les meilleurs chercheurs en sécurité au monde.

ProPublica a rapporté que Mythos révèle des bogues dans l'écosystème de Microsoft plus rapidement que l'entreprise ne parvient à les corriger. Un responsable a déclaré que les ingénieurs sont engagés dans une « course effrénée » pour combler ce retard. Lors d'une réunion interne à la mi-mai, une diapositive de la présentation montrait que rien qu’en avril, Mythos avait découvert 90 bogues « critiques » et 141 « importants » dans SharePoint.

« Pourtant, au cours du premier semestre 2026, ces vulnérabilités n’étaient ni plus ni moins susceptibles d’être exploitées que l’ensemble des vulnérabilités divulguées pendant cette période », a indiqué VulnCheck dans un nouveau rapport. L'entreprise apporte plus de nuances face au battage médiatique.

Décalage entre l'affolement et la réalité des cyberattaques

L'inquiétude reste vive quant au risque que les vulnérabilités détectées par l’IA favorisent une recrudescence des attaques, mais l’analyse des données d’exploitation réalisée par VulnCheck montre que « ces craintes sont infondées », du moins pour l’instant. Patrick Garrity, chercheur en sécurité chez VulnCheck et auteur du rapport, a recensé 1 061 vulnérabilités attribuées à la détection assistée par l’IA au cours du premier semestre de 2026.


Parmi les vulnérabilités découvertes par l’IA, seulement 14, soit 1,3 %, ont été exploitées en conditions réelles, un chiffre qui correspond au taux d’exploitation observé par les chercheurs pour l’ensemble des vulnérabilités au cours de la même période. On est bien loin du discours selon lequel l’IA ferait basculer de manière spectaculaire la balance en faveur des attaquants en révélant en masse « des failles pouvant être immédiatement exploitées ».

Au contraire, l’IA est actuellement plus efficace pour augmenter le nombre de vulnérabilités découvertes. « Si la détection de vulnérabilités assistée par l’IA présente clairement un intérêt tant pour les attaquants que pour les défenseurs, les données ne suggèrent pas que les failles découvertes par l’IA soient intrinsèquement plus susceptibles d’être exploitées que celles identifiées par des méthodes traditionnelles », a déclaré Garrity dans son article.

Le rapport s'en prend tout particulièrement au projet Glasswing d'Anthropic qui a beaucoup fait parler de lui, en mettant en garde contre le fait que la détection de vulnérabilités assistée par l'IA pourrait permettre à des pirates de détourner des systèmes, de perturber les opérations ou de voler des données.

Les découvertes attribuées à l'IA restent peu documentées

Claude Mythos a peut-être identifié 23 019 vulnérabilités potentielles, mais il existe étonnamment peu d'éléments publics indiquant ce qu'il est advenu de la plupart d'entre elles. VulnCheck a déclaré que seules 126 ont été publiées sous forme de CVE, qu'une seule a été confirmée comme ayant été exploitée en conditions réelles, et que le bilan des divulgations publiques d'Anthropic n'a guère évolué depuis le lancement du projet Glasswing en avril.


Patrick Garrity a précisé que cela ne signifie pas que la recherche de vulnérabilités assistée par l’IA ait échoué. Même si l'impact concret immédiat est incrémental et que certaines affirmations relèvent potentiellement du markéting, l'assistance de l'IA dans la recherche de vulnérabilités reste très prometteuse.

La tendance à la hausse observée dans les Patch Tuesday mensuels de Microsoft laisse entrevoir l’ampleur du phénomène qui pourrait se produire d’ici la fin de l’année, à mesure que les outils d’IA découvriront davantage de vulnérabilités. La mise à jour de sécurité de juillet de l’entreprise a révélé un nombre record de 622 vulnérabilités, dépassant ainsi la précédente mise à jour de juin, qui avait déjà battu tous les records avec 206 vulnérabilités.

Le rapport de VulnCheck sur l’état de l’exploitation a aussi révélé que les vulnérabilités étaient exploitées beaucoup plus rapidement après la publication des CVE (Common Vulnerabilities and Exposures), le délai passant d’une moyenne de 120 jours en 2025 à 80 jours au cours du premier semestre de cette année. VulnCheck a également déterminé les catégories de technologies les plus fréquemment exploitées par les pirates informatiques.

Les systèmes de gestion de contenu (Content Management System - CMS) représentaient près d’un tiers des 495 vulnérabilités connues et exploitées identifiées par VulnCheck au cours du premier semestre 2026. Les périphériques en périphérie de réseau représentaient près de 14 %, suivis par les systèmes d’exploitation avec près de 9 %, les logiciels de serveurs à 8 % et les produits d’IA, une surface d’attaque émergente, à près de 6 %.

Le « vibe coding » pose également un problème de sécurité

Le « vibe coding » désigne une façon de programmer où on laisse l'IA générative écrire le code à partir de simples descriptions en langage naturel, sans relire ni vraiment comprendre chaque ligne produite. On avance par essais-erreurs, en jugeant le résultat au "ressenti" (vibe) plutôt que par une analyse technique rigoureuse. Le terme a été popularisé par Andrej Karpathy, un informaticien slovaco-canadien qui a travaillé sur l'Autopilot de Tesla.


C'est ce qui explique l'inquiétude actuelle : le vibe coding accélère le développement, mais peut aussi multiplier les bogues et les failles de sécurité, puisque personne ne maîtrise réellement le code qui a été écrit. Mais encore, les chercheurs ont découvert que les vulnérabilités générées par le vibe coding n’ont rien de mystérieux. Elles ressemblent aux erreurs que les équipes pressées par le temps ont toujours commises, mais à un rythme plus soutenu.

Cloud Security Alliance a indiqué dans son rapport « AI Velocity Gap » que le nombre d’entrées CVE directement attribuables à du code généré par l’IA est passé de 6 en janvier à 35 en mars 2026. Dans sa note de recherche d’avril 2026, Cloud Security Alliance a mis en évidence les secrets codés en dur par les outils d'IA de codage, les failles d’injection et les paramètres par défaut non sécurisés comme des catégories courantes de défaillances.

Pour une startup, cela change la donne. Cursor, Claude Code, Codex et d’autres outils similaires peuvent aider à livrer du code fonctionnel bien plus rapidement qu’une petite équipe ne pourrait le faire seule. Cependant, ils n'offrent pas pour autant une fonction de sécurité gratuite. Ce n’est pas un argument contre l’utilisation d’outils de codage basés sur l’IA. La bonne question est de savoir si votre cycle de révision a rattrapé votre cycle de compilation.

Conclusion

L'IA est peut-être en train de transformer la recherche sur les vulnérabilités, mais elle n'a pas encore entraîné l'apocalypse des exploits que certains avaient prédite. Patrick Garrity s’est bien gardé de déclarer que la menace était définitivement exagérée, mais il a laissé entendre que certains discours avaient pris le pas sur la réalité. Les experts soulignent aussi que la détection de vulnérabilités assistée par l'IA présente un intérêt pour l'avenir.

« Les données disponibles à ce jour, y compris le registre des divulgations d’Anthropic, qui est au point mort, suggèrent que la découverte de vulnérabilités assistée par l’IA et les capacités de pointe ont fait l’objet d’un battage médiatique excessif par rapport aux preuves disponibles aujourd’hui. Cela ne signifie pas que le risque est imaginaire. Cela signifie que l’impact a été réel, mais modeste », a écrit Patrick Garrity dans son rapport d'étude.

Source : VulnCheck

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous des conclusions du rapport du cabinet VulnCheck ?
Quid du discours d'Anthropic et d'OpenAI sur la détection de vulnérabilités assistée par l'IA ?
Quel impact les outils tels que Mythos et MDASH pourraient-ils avoir sur la cybersécurité dans les années à venir ?

Voir aussi

Apocalypse des bogues : l'IA détecte les failles logicielles plus rapidement que les équipes de sécurité de Microsoft ne parviennent à les corriger, la dette technique du code hérité suscite des inquiétudes

Mythos d'Anthropic a détecté 271 failles de sécurité dans Mozilla Firefox 150, Mozilla affirme que ce nouveau modèle d'IA est « tout aussi performant » que les meilleurs chercheurs en sécurité au monde

Le modèle d'IA Claude Mythos d'Anthropic met en évidence une faiblesse dans l'algorithme de cryptographie post-quantique de troisième génération « HAWK », ce qui a contraint le développeur à le retirer