Tu suis la course aux modèles IA ?
Chaque sortie (GPT, Claude, Gemini, Mistral…) décryptée le soir même, en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisis ton rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
L'IA et la correction des failles logicielles : un défi non résolu
Une étude récente menée par 1Password met en lumière les limites actuelles de l'intelligence artificielle dans le domaine de la cybersécurité. Les modèles de langage de grande taille (LLMs), souvent vantés pour leurs capacités avancées, se révèlent peu efficaces lorsqu'il s'agit de créer des correctifs pour des vulnérabilités de sécurité. Selon cette recherche, seulement 26 % des correctifs générés par l'IA sont utilisables, soulignant ainsi que ces technologies ne sont pas encore prêtes pour une utilisation à grande échelle dans la correction des failles.
Résultats clés de l'étude
L'étude, menée par l'équipe de recherche en sécurité de 1Password, Off-By-1-Labs, a mis à l'épreuve les capacités des LLMs en leur demandant de générer des correctifs pour des vulnérabilités complexes récemment découvertes. Les chercheurs espéraient initialement que l'IA pourrait atteindre un taux de succès de 67 % dans la création de correctifs. Cependant, les résultats ont été bien en deçà des attentes, avec des performances « significativement plus basses et inégales ».
Hypothèse et résultats
Pour tester les capacités des modèles d'IA, l'équipe a sélectionné six vulnérabilités issues de logiciels open source. Le document de recherche, intitulé "Les correctifs de vulnérabilité des modèles avancés sont souvent des artefacts de type F.L.A.W.E.D. avec des défauts intégrés", visait à fournir un aperçu des capacités actuelles des LLMs plutôt qu'une comparaison directe entre eux.
Vulnérabilités étudiées
Les vulnérabilités analysées incluent :
- CVE-2026-31431 : Élévation de privilèges Linux (Copy Fail)
- CVE-2026-34197 : Exécution de code à distance ActiveMQ
- CVE-2026-8512 : Utilisation après libération dans l'API d'accès au système de fichiers de Chrome sur macOS
- CVE-2026-45185 : Exécution de code à distance non authentifiée EXIM
- CVE-2026-22738 : Exécution de code à distance SpringAI SpEL
- GHSA-wpqr-6v78-jr5g : Exécution de code à distance Gemini CLI
Les modèles ont été chargés de générer des correctifs pour chacune de ces vulnérabilités, aboutissant à un total de 6 080 tentatives, soit environ 3 040 par vulnérabilité, avec des conditions environnementales variées et neuf invites différentes par bug.
Résultats des correctifs générés par l'IA
Les résultats montrent que l'IA a réussi à produire des correctifs appropriés dans seulement 26 % des cas. De plus, 21 % des correctifs, bien qu'ils corrigent le bug, ont altéré le comportement de l'application. Dans 53,9 % des cas, les LLMs ont échoué à créer un correctif efficace, ajoutant parfois de nouveaux bugs.
Raisons de l'échec des modèles d'IA
L'échec des modèles d'IA à générer des correctifs efficaces est principalement dû à la production d'artefacts de type "Fix-Like" avec des défauts intégrés. Ces correctifs, bien qu'apparaissant fonctionnels en surface, ne résolvent pas complètement les vulnérabilités et peuvent introduire des mécanismes de sécurité fragiles ou de nouveaux bugs, altérant parfois le comportement normal des applications.
Perspectives d'avenir
Pour pallier ces insuffisances, 1Password a mis à disposition ses outils FLAWED sur GitHub, permettant aux chercheurs de poursuivre leurs propres études. Bien que l'IA ne soit pas encore prête à gérer le patching de manière autonome, elle peut néanmoins jouer un rôle crucial dans l'identification et le triage des vulnérabilités. Keith Hoodlet, responsable d'Off-by-1 Labs, souligne l'importance de la collaboration entre les défenseurs humains et les outils d'IA pour déterminer les bugs les plus critiques à corriger. La supervision humaine reste essentielle pour prendre des décisions éclairées sur les correctifs à appliquer et évaluer les risques commerciaux associés.
