Analyse de la découverte des vulnérabilités par l’IA : vérification de la rapidité de VulnCheck

Le robot chasseur de bugs n’est pas forcément en train de défoncer la porte. Il se contente peut-être de sonner à la cloche de la gestion des vulnérabilités jusqu’à ce que la batterie lâche. Patrick Garrity, de VulnCheck, signale une forte hausse du volume de divulgation des CVE chez de grands fournisseurs de logiciels, exactement le genre de graphique qui pousse les équipes de sécurité à ouvrir discrètement un deuxième café. Ce que les données ne prouvent pas encore est la partie intéressante : que les failles découvertes par l’IA sont exploitées plus vite que les failles traditionnelles. Cette distinction compte, car les discussions sur la sécurité de l’IA ont la subtilité d’un souffleur de feuilles dans une bibliothèque. Le volume de découvertes et la vitesse d’exploitation sont liés, mais ce ne sont pas la même machine. L’un remplit la file d’attente. L’autre détermine si cette file prend feu.

VulnCheck : le tuyau d’incendie des

CVE s’est étrangement bien rempli VulnCheck rapporte que les volumes de divulgation de CVE sont en forte hausse depuis le début de l’année chez plusieurs fournisseurs, notamment Chrome à +563,2 %, VMware à +180,9 %, Apache à +170,3 %, Mozilla à +156,9 %, HPE à +132,3 % et F5 à +113,8 %. VulnCheck indique aussi que l’émission de CVE par GitHub est en hausse de +476,07 % depuis le début de l’année, GitHub précisant que cette augmentation est répartie entre de nombreux rapporteurs et projets, plutôt que concentrée dans une seule source. C’est un indice important, car le schéma ressemble moins à un gobelin des bugs héroïque qu’à un effet d’outillage à grande échelle.

VulnCheck reste prudent sur la causalité, ce qui est rafraîchissant dans un secteur où un grille-pain peut être qualifié d’agentique s’il possède un fichier YAML. L’entreprise affirme que les augmentations sont cohérentes avec une utilisation plus large de la découverte de vulnérabilités assistée par l’IA, mais que le signal est encore en train d’émerger et que toutes les hausses ne peuvent pas être directement attribuées à l’IA. Elle cite aussi des exemples publics chez Mozilla, Microsoft, Apache, Curl et Palo Alto, où des modèles d’IA sont utilisés pour trouver, valider ou trier des vulnérabilités, avec des résultats variables selon le projet.

La conclusion pratique n’est pas que la machine est devenue un auditeur parfait. C’est que le coût marginal pour sonder du code diminue, et que le nombre de sondages semble augmenter. Imaginez du fuzzing avec un analyste junior qui ne dort jamais, hallucine parfois, et a encore besoin qu’une personne plus expérimentée lui demande, poliment, si le constat est reproductible.

Cloud Security Alliance : l’automatisation des exploits est réelle, mais ne

mélangez pas les catégories Dans son document de l’AI Safety Initiative, la Cloud Security Alliance soutient que la fenêtre d’exploitation globale se compresse. Selon la CSA, le délai moyen avant exploitation d’une vulnérabilité divulguée est passé d’environ 32 jours en 2022 à approximativement 5 jours pour les activités d’exploitation de 2023, et les données de 2025 ont montré que 32,1 % des exploits nouvellement suivis sont apparus le jour de la divulgation publique de la CVE, ou avant. La CSA affirme aussi que les systèmes d’IA peuvent générer du code d’exploitation de preuve de concept fonctionnel pour des CVE publiées en seulement 10 à 15 minutes, pour environ un dollar par tentative. Ce sont des affirmations sérieuses, et les défenseurs ne devraient pas les ranger dans la catégorie lecture du soir, sauf s’ils aiment dormir comme un cluster Kubernetes pendant une panne régionale.

Mais elles répondent à une autre question que l’analyse de VulnCheck sur le volume de divulgation. La CSA décrit une pression générale de militarisation autour des CVE publiées, tandis que VulnCheck signale une hausse des volumes de divulgation cohérente avec la découverte assistée par l’IA. Prouver que les failles découvertes par l’IA elles-mêmes passent plus vite à l’exploitation nécessite une télémétrie consciente de la provenance, capable de séparer clairement la manière dont un bug a été trouvé de la façon dont les attaquants se sont ensuite comportés.

L’exemple CVE-Genie de la CSA rend ce point plus net. Le document indique que le cadre multi-agent a reproduit 51 % de toutes les CVE publiées en 2024 et 2025 avec des exploits vérifiables, à un coût moyen de 2,77 $ par CVE. Cela suggère que la validation d’exploits peut devenir moins chère, mais cela ne signifie toujours pas automatiquement que chaque bug trouvé par l’IA devient une intrusion réelle plus rapide. L’automatisation peut accélérer le laboratoire sans redessiner le plan des rues.

VulnCheck et la

CSA pointent ensemble vers un problème de triage

Lisez VulnCheck et la CSA côte à côte, et la leçon pour les défenseurs est presque agaçante de pragmatisme : le premier impact de l’IA pourrait être l’inflation du backlog, tandis que l’histoire de la vitesse reste irrégulière et dépendante du contexte. VulnCheck dit explicitement qu’il est moins clair si les hausses de volume de divulgation se maintiendront ou s’il s’agit d’une poussée temporaire liée à l’application de modèles d’IA de pointe à différents codes. Cette incertitude n’est pas un haussement d’épaules. C’est une donnée de planification.

Les équipes de sécurité devraient traiter les constats assistés par l’IA comme n’importe quelle autre source de signal à fort volume : exiger la reproductibilité, relier les constats aux actifs exposés, vérifier l’exploitabilité et prioriser selon le rayon d’impact opérationnel. Si un rapport ne contient pas de reproduction fonctionnelle, de clarté sur les versions affectées ou de chemin crédible vers un impact, il ne devrait pas passer devant un problème connu, exploité et ennuyeux simplement parce qu’une IA portait une blouse de laboratoire en le trouvant. Le modèle est un détecteur de métaux, pas un juge.

Les données de compression de la CSA plaident toujours pour des boucles de décision de correctifs plus rapides, surtout une fois qu’une CVE est publique et que le code d’exploitation devient peu coûteux à tester. Mais les données de VulnCheck vont à l’encontre d’un tri paniqué où chaque CVE touchée par l’IA serait placée tout en haut de la pile. La posture raisonnable est un triage conscient de la provenance : enregistrer si l’IA a aidé à trouver, valider ou trier le bug, mais décider du correctif en fonction de l’exposition, des preuves d’exploitation, des actifs affectés et du niveau de confiance.

Ce qu’il faut surveiller ensuite

Le prochain signal utile ne sera pas un autre communiqué affirmant que le robot a trouvé un bug. Ce seront des jeux de données qui relient la provenance de la découverte, la qualité de la divulgation, la disponibilité d’exploits et le calendrier de l’exploitation réelle. Si la découverte assistée par l’IA continue d’augmenter le volume de CVE sans hausse correspondante et mesurable de la vitesse d’exploitation pour ces mêmes failles, les défenseurs auront davantage besoin d’une meilleure automatisation de l’entrée des signalements que de sirènes plus bruyantes.

Pour les bâtisseurs, c’est une invitation à rendre la gestion des vulnérabilités moins théâtrale et plus mesurable. Ajoutez des champs pour la méthode de découverte. Suivez les faux positifs. Séparez la validation de l’exploitabilité. La pile de bugs devient plus haute, mais la réponse n’est pas de vénérer la pile. C’est de construire une meilleure pelle, de préférence une pelle qui n’hallucine pas une note de gravité critique parce qu’un nom de fonction avait l’air piquant.