L'IA détecte trop de bugs pour les humains à suivre

L'IA et la détection rapide des vulnérabilités

Dans le domaine de la sécurité informatique, l'intelligence artificielle (IA) a révolutionné la manière dont les failles de sécurité sont découvertes. Elle est capable de détecter des vulnérabilités à un rythme sans précédent, surpassant de loin les capacités humaines. Cependant, cette rapidité a un revers : l'IA peut introduire jusqu'à neuf fois plus de nouvelles vulnérabilités que les développeurs humains lorsqu'elle tente de corriger ces failles.

Les défis posés par l'IA dans la sécurité

L'augmentation rapide des problèmes de sécurité identifiés par l'IA est préoccupante. Que ce soit sur des ordinateurs personnels ou dans des centres de données, personne n'est à l'abri de cette vague de découvertes. Bien que l'IA soit efficace pour mettre en lumière ces failles, le défi réside dans la capacité des entreprises à les corriger. Même des géants comme Google peuvent gérer un grand nombre de corrections, mais la plupart des entreprises n'ont pas les mêmes ressources.

Apple, par exemple, a dû limiter le nombre de rapports de bugs que les chercheurs peuvent soumettre, car elle ne peut pas suivre le rythme imposé par l'IA. Cette saturation signifie que même les vulnérabilités critiques peuvent être mises de côté si elles dépassent le quota mensuel.

Un problème qui s'aggrave

L'IA a accéléré le rythme des rapports de bugs, mais elle a également creusé un fossé entre la détection par les machines et la capacité humaine à traiter ces informations. Les développeurs et les équipes de sécurité sont submergés par le volume de données, rendant difficile la distinction entre les problèmes exploitables et le bruit généré par les machines. Les administrateurs systèmes et les responsables de la sécurité de l'information (CISOs) peinent à suivre le rythme des mises à jour nécessaires.

La méthode traditionnelle de sécurité remise en question

Historiquement, les équipes de sécurité géraient un flux de travail où les bugs critiques étaient identifiés et corrigés en priorité. Les scores des Common Vulnerabilities and Exposures (CVE) guidaient ces décisions. Cependant, l'IA a bouleversé cette approche en rendant la découverte de défauts beaucoup plus fréquente et moins coûteuse. Par exemple, lors du Patch Tuesday de Microsoft en juillet 2026, un total de 570 correctifs a été publié, incluant trois zero-days, établissant un record qui témoigne de la pression croissante sur les équipes de sécurité.

Les entreprises face à un dilemme

Les entreprises se retrouvent dans une situation délicate, cherchant à bénéficier de la détection rapide des failles tout en minimisant le bruit inutile. L'IA peut certes identifier des problèmes réels plus tôt, mais elle génère aussi des rapports qui nécessitent une validation, détournant ainsi l'attention des équipes de sécurité des corrections essentielles.

Pourquoi l'IA ne peut-elle pas résoudre les bugs ?

Trouver des failles est une chose, mais les corriger en est une autre. Une étude a montré que les modèles de langage avancés (LLMs) utilisés par l'IA introduisent presque neuf fois plus de nouvelles vulnérabilités que les développeurs humains. Ces nouvelles failles présentent souvent des motifs uniques qui n'existent pas dans le code original.

Solutions proposées par Google

Pour faire face à ces défis, Google propose plusieurs approches :

• Réduire la portée des modifications : Plutôt que de demander à l'IA de supprimer une vulnérabilité, il est conseillé de cibler des modifications précises, comme mettre à jour une dépendance spécifique.

• Séparer la remédiation de la vérification : Après avoir appliqué un correctif, il est crucial de procéder à une vérification indépendante à l'aide de scanners et de tests ciblés, au lieu de se fier uniquement à la réussite des compilations et des tests.

• Révision humaine pour les changements complexes : L'IA peut servir d'assistant, mais les ingénieurs humains doivent superviser les modifications complexes, notamment celles qui touchent à la conception et à l'authentification.