VulnCheck : seulement 1,3 % des failles IA exploitées en 2026

VulnCheck : seulement 1,3 % des failles IA exploitées en 2026

VulnCheck a comptabilisé la fréquence à laquelle les failles de sécurité détectées par l'IA sont effectivement utilisées dans des attaques. Pour le premier semestre de 2026, Patrick Garrity a recensé 1 061 vulnérabilités attribuées à des découvertes assistées par l'IA. Quatorze d'entre elles ont montré une exploitation confirmée. Cela représente 1,3 %, un taux à peu près identique à celui des vulnérabilités en général. Le projet Glasswing d'Anthropic a produit plus de 23 000 résultats, ce qui a conduit à 126 entrées publiées et à une seule attaque confirmée.

Cependant, les attaques se produisent plus rapidement. La moitié des failles voient désormais leur première exploitation confirmée dans les 80 jours suivant leur divulgation, contre 120 jours l'année précédente. Environ 200 vulnérabilités ont été attaquées dans le mois suivant, même si le nombre total de vulnérabilités signalées continue d'augmenter.

Le temps écoulé entre la divulgation d'une vulnérabilité et la première exploitation confirmée au cours du premier semestre de 2026 montre que 23 % ont été exploitées le jour même de leur divulgation ou avant, et la médiane est passée de 120 à 80 jours.

Les systèmes de gestion de contenu de sites web subissent le plus d'attaques, représentant un tiers de tous les cas. Garrity souligne que les produits d'IA eux-mêmes constituent une surface d'attaque croissante, y compris les outils de construction de modèles et les interfaces d'agents. En d'autres termes, le volume même des découvertes n'informe que très peu les défenseurs sur le risque réel.