L'IA devient redoutablement efficace pour détecter les bugs logiciels cachés - même dans des codes vieux de plusieurs décennies

L'IA devient redoutablement efficace pour détecter les bugs logiciels cachés

Une avancée impressionnante

L'intelligence artificielle (IA) s'avère de plus en plus performante pour identifier des bugs logiciels cachés, même dans des codes vieux de plusieurs décennies. Cependant, il est important de noter que l'IA génère également des bugs, à un taux environ 1,7 fois supérieur à celui des humains, y compris des problèmes critiques et majeurs.

L'expérience de Mark Russinovich

Dans un récent post sur LinkedIn, Mark Russinovich, CTO de Microsoft Azure, a partagé son expérience avec le modèle d'IA d'Anthropic, Claude Opus 4.6, qu'il a utilisé pour lire et analyser du code assembleur qu'il avait écrit en 1986 pour le processeur Apple II 6502. Claude n'a pas seulement expliqué le code ; il a effectué ce qu'il a appelé un "audit de sécurité", mettant en lumière des erreurs logiques subtiles, dont une routine qui ne vérifiait pas le drapeau de retenue après une opération arithmétique. C'est un bug classique qui était resté dormant pendant des décennies.

Les bonnes et les mauvaises nouvelles

L'expérience de Russinovich est frappante car le code précède les langages, frameworks et listes de contrôle de sécurité actuels. Cependant, l'IA a pu raisonner sur le flux de contrôle de bas niveau et les drapeaux du CPU pour pointer des défauts réels. Pour les développeurs expérimentés, cela rappelle que les bases de code anciennes peuvent toujours abriter des bugs que les outils conventionnels et les développeurs ont appris à ignorer.

Malgré ces progrès, certains experts expriment des inquiétudes. Matthew Trifiro, un ingénieur chevronné, a déclaré : "Oh, mon Dieu, est-ce que je vois ça correctement ? La surface d'attaque vient de s'étendre pour inclure chaque binaire compilé jamais expédié. Quand l'IA peut rétroconcevoir des architectures obscures de 40 ans, les approches d'obfuscation et de sécurité par l'obscurité deviennent essentiellement inutiles."

Les implications de l'IA

D'une part, l'IA nous aidera à trouver des bugs pour que nous puissions les corriger. C'est la bonne nouvelle. D'autre part, l'IA peut également pénétrer des programmes encore en usage qui ne sont plus patchés ou pris en charge. Adedeji Olowe, fondateur de Lendsqr, a souligné : "C'est plus effrayant que ce que nous laissons entendre. Des milliards de microcontrôleurs hérités existent dans le monde, beaucoup fonctionnant probablement avec un firmware fragile ou mal audité."

Les LLM et les outils de détection

Les outils d'analyse statique traditionnels tels que SpotBugs, CodeQL et Snyk Code analysent le code source pour détecter des motifs associés aux bugs et aux vulnérabilités. Ces outils excellent à attraper des problèmes bien compris, tels que les déréférencements de pointeur nul, les motifs d'injection courants et les abus d'API, et ce à grande échelle dans de larges bases de code Java et d'autres langages.

Il est désormais clair que les grands modèles de langage (LLM) peuvent compléter ces grands outils de détection. Dans une étude comparative de 2025, des LLM comme GPT-4.1, Mistral Large et DeepSeek V3 se sont révélés aussi efficaces que les analyseurs statiques standards de l'industrie pour trouver des bugs dans plusieurs projets open-source.

Les limites de l'IA

Ces succès ne signifient pas que nous sommes prêts à confier nos vérifications de sécurité à l'IA. Loin de là. Des recherches ont montré que la détection de bugs par LLM n'est pas un remplacement direct pour les pipelines d'analyse statique matures. Des études comparant les agents de codage IA aux développeurs humains montrent que, bien que l'IA puisse être prolifique, elle introduit également des failles de sécurité à des taux plus élevés, y compris une gestion de mots de passe non sécurisée et des références d'objets non sécurisées.

Conclusion

L'IA, entre de bonnes mains, constitue un excellent assistant, mais elle n'est pas encore prête à remplacer les programmeurs ou les vérificateurs de sécurité. Il est donc conseillé d'utiliser l'IA avec prudence en complément des outils existants pour garantir une sécurité accrue de vos programmes. En ce qui concerne le code ancien, cela reste une préoccupation réelle. Je prévois que les gens remplaceront les appareils alimentés par firmware en raison de craintes réalistes qu'ils soient bientôt compromis.