L'IA détecte les failles de sécurité plus vite que les entreprises ne peuvent les corriger

De janvier au 27 juillet 2026, 45 207 failles de sécurité ont été enregistrées dans le National Vulnerability Database, le catalogue public des vulnérabilités. En sept mois, ce chiffre a presque atteint le double de tout ce que 2025 avait enregistré sur l'année entière.

Ce n'est pas que les logiciels se sont dégradés. C'est que l'intelligence artificielle a appris à lire le code source à la recherche de brèches — et elle le fait à l'échelle industrielle, sans jamais se fatiguer.

La nouvelle semble bonne. Le problème, c'est ce qui vient après, et presque personne n'en parle : la découverte est devenue plus rapide que la correction.

Ce qui a changé dans la chasse aux vulnérabilités

Les anciens outils de sécurité recherchaient des schémas connus : un extrait de code ressemblant à une erreur déjà cataloguée. Un modèle d'IA fait autre chose. Il lit le code, relie des indices qui semblent sans rapport entre eux et raisonne sur la manière de les combiner en une attaque — ce qui était, jusqu'en 2025, le travail d'un spécialiste humain coûteux et rare.

Les résultats de 2026 montrent l'ampleur du bond en avant :

• Un agent utilisant le modèle Gemini a découvert dans Chrome une faille critique passée inaperçue pendant 13 ans, après d'innombrables revues humaines.
• Firefox a vu 271 vulnérabilités localisées avec Claude Mythos, ainsi que 22 problèmes pertinents supplémentaires avec Opus.
• L'entreprise chinoise Z.ai affirme que ses modèles ont trouvé 2 436 vulnérabilités dans 269 projets, dont 1 097 critiques ou de sévérité élevée, dans des logiciels d'infrastructure comme Linux, WebKit et FreeBSD. La plus ancienne se trouvait dans du code écrit en 1981 — ouverte depuis 45 ans.

Le 14 août 2026, cette même Z.ai a annoncé GLM-5.3, qui a obtenu 84,5 au CyberGym — le test qui mesure la capacité à trouver et valider de véritables vulnérabilités à partir du code. Il s'est classé devant Claude Mythos 5 (83,8) et GPT-5.6 Sol (83,6). C'est la première fois qu'un modèle ouvert domine un test de sécurité face aux modèles fermés des grands acteurs.

Le scepticisme est de mise : tous ces chiffres ont été communiqués par le fournisseur lui-même, mesurés sur son infrastructure, sans vérification indépendante. Il faut les considérer comme un ordre de grandeur, pas comme un score officiel.

Le chiffre dont personne ne parle : trouver est devenu facile, corriger non

Voici la partie qui doit changer la décision. Regardez ce qui est arrivé à ceux qui disposent des meilleures équipes de sécurité au monde :

• Chrome : a corrigé 1 072 vulnérabilités en seulement deux versions, en juin 2026. C'est plus que les 1 036 corrigées lors des 23 versions précédentes, sur environ deux ans. Google publie désormais des correctifs deux fois par semaine.
• Oracle : la mise à jour trimestrielle de juillet a apporté 1 449 correctifs, un record pour l'entreprise. Seuls 64 provenaient de chercheurs externes — le reste résultait d'outils automatisés et de l'IA, selon l'attribution faite par Oracle elle-même.
• Microsoft : 206 vulnérabilités en juin, 622 CVE en juillet, dont 59 critiques et 3 failles zero-day.

La détection est devenue bon marché et automatique. Vérifier, prioriser, corriger, tester et publier reste un travail humain, au rythme humain. Le goulot d'étranglement s'est déplacé : ce n'est plus la découverte du problème qui manque, c'est la capacité à appliquer le correctif.

Pourquoi c'est votre problème, pas seulement celui de Microsoft

Si vous n'utilisez que des logiciels standards, le calcul est simple : mettez toujours à jour, et rapidement. Le fabricant fait le gros du travail, votre part consiste à ne pas retarder la mise à jour.

Mais si votre entreprise possède un système propriétaire — cet ERP sur mesure, le portail client, l'application que quelqu'un a développée il y a quelques années —, le calcul est différent. Personne de l'extérieur ne va auditer ce code à votre place. Et il a été écrit à une époque où trouver une faille exigeait un spécialiste penché dessus pendant des semaines.

C'est exactement ce type de code que la nouvelle génération d'outils balaie en quelques minutes. La capacité qui trouve une faille dans un logiciel de 1981 n'aura aucun mal avec votre système de 2019.

Le point qui dérange : la même capacité sert les deux camps. Un modèle qui trouve une brèche pour protéger trouve aussi une brèche pour envahir. C'est pourquoi Z.ai a retardé la publication des poids de GLM-5.3 pendant environ deux semaines pour une évaluation de sécurité — le premier report de l'entreprise motivé explicitement par un risque cybernétique. L'entreprise a également admis que cette capacité n'était pas prévue : elle a ajouté des données en espérant améliorer la détection de bugs isolés, et le modèle s'est mis à raisonner de lui-même sur des chaînes complètes d'exploitation.

En clair : l'outil qui balaie votre système coûte à partir de 12,60 $ par mois et fonctionnera bientôt sur la machine de n'importe qui. L'asymétrie qui protégeait les logiciels obscurs — « personne ne va perdre son temps à regarder le mien » — a disparu.

Que faire, dans le bon ordre

La réponse n'est ni de paniquer ni de commander un audit coûteux. Il s'agit d'organiser les bases, que presque personne n'a en place :

1. Sachez ce que vous avez en production. Répertoriez les systèmes, versions, bibliothèques et responsables de chacun. Impossible de corriger ce dont vous ignorez l'existence — et il est fréquent de découvrir un système en ligne dont personne n'assume la responsabilité.
2. Identifiez ce qui n'est plus maintenu. Un système sans responsable désigné est le premier à tomber. Si la réponse est « la personne qui l'a créé a quitté l'entreprise », vous venez de trouver votre priorité.
3. Traitez la mise à jour comme une routine, pas comme un projet. Avec des fabricants publiant des correctifs deux fois par semaine, la fenêtre de maintenance trimestrielle est devenue une pièce de musée.
4. Utilisez les mêmes outils avant qu'ils ne soient utilisés contre vous. L'analyse par IA est aujourd'hui accessible. L'appliquer à votre propre code est le moyen le plus économique de trouver ce qu'un attaquant trouverait.
5. Priorisez selon ce qui est exposé. Une faille dans un système ouvert sur Internet vaut dix failles dans un système interne. Commencez par ce que le monde entier peut voir.

Remarquez que quatre des cinq points relèvent de l'inventaire et du processus, pas de la technologie. Le goulot d'étranglement est humain — et l'organisation résout plus de choses que l'achat d'outils.

Le résumé honnête

2026 se terminera avec le double des failles connues de 2025, et cela ne va pas ralentir. Les logiciels ne se sont pas dégradés : ils sont devenus visibles. Les failles étaient déjà là, certaines depuis 45 ans, et il existe désormais des outils capables de les trouver à grande échelle.

Pour ceux qui exploitent un système propriétaire, la question n'est plus « quelqu'un va-t-il examiner mon code ? ». Quelqu'un le fera. La question est désormais de savoir si ce sera vous, en premier.

Faits vérifiés à partir de l'actualité technologique d'août 2026 (Daily Journal, Axios), du National Vulnerability Database et des annonces des fabricants eux-mêmes. Les chiffres de GLM-5.3 sont auto-déclarés par Z.ai et n'ont pas encore fait l'objet d'une vérification indépendante.