L’IA découvre bien plus de vulnérabilités dans nos logiciels que ce que nous pouvons matériellement nous permettre.

En juin 2026, le fameux « Patch Tuesday » de Microsoft a établi un record avec 206 vulnérabilités, dont trois « zero day ». En juillet, ce record est devenu ridicule, car ce chiffre a triplé. Ce n’est pas le seul cas : Oracle, Chrome ou Firefox font partie des entreprises et des projets qui ont vu se multiplier les vulnérabilités corrigées dans leurs dernières versions. La faute en revient à une IA qui aide à détecter tous ces problèmes et à rendre le logiciel plus sûr que jamais, mais qui provoque un effet secondaire inquiétant.

Quel dilemme. Pendant des décennies, trouver une vulnérabilité grave dans un projet logiciel nécessitait du temps, des experts et beaucoup de chance. L’IA modifie cet équilibre, car elle permet de parcourir d’énormes bases de codes, de les analyser et de signaler les erreurs à une vitesse et à une échelle auparavant impossibles. Le résultat théorique devrait être excellent, car grâce à tout cela, nous devrions disposer de logiciels plus sécurisés que jamais. Le problème est que les vulnérabilités sont découvertes beaucoup plus rapidement que les humains ne peuvent les vérifier, les corriger, les hiérarchiser et les corriger.

De l’IA. Les analyses automatiques de code ne sont pas du tout nouvelles. Les grandes entreprises technologiques utilisent depuis des années , une technique qui « bombarde » les applications avec des entrées de données inattendues pour tenter de provoquer des erreurs. La limitation est que certaines zones du code peuvent être mieux « exploitées » que d’autres. Avec les modèles d’IA, les choses changent, car ils peuvent lire le code source, créer des liens entre des indices qui semblaient sans rapport et raisonner sur la manière d’exploiter ces points faibles de manière combinée. Mozilla affirme que jusqu’à récemment, seule une petite élite d’experts en cybersécurité pouvait le faire.

Chrome se redresse. Google a corrigé pas moins de 1 072 vulnérabilités dans Chrome 149 et 150, les deux versions publiées en juin 2026. C’est plus que les 1 036 vulnérabilités corrigées dans les 23 versions précédentes, publiées environ au cours des deux dernières années. L’entreprise indique que ce progrès est en grande partie dû à l’IA appliquée à cette tâche, et son directeur de l’ingénierie décrit le changement de manière claire : la recherche de défauts est devenue un processus automatisé à l’échelle industrielle.

Deux patchs par semaine. Chrome s’orientait déjà vers un avenir dans lequel des versions majeures seraient publiées tous les quinze jours et des mises à jour de sécurité chaque semaine. Cette vague de correctifs amène l’équipe de développement à tester désormais une fréquence encore plus agressive : des correctifs et des correctifs pour le navigateur seront publiés deux fois par semaine. Il y a ici une contradiction curieuse (et probablement ennuyeuse) : Chrome est plus sécurisé que jamais, mais cela nous oblige à le mettre à jour de temps en temps. Bien entendu, Google estime que ce taux pourrait diminuer une fois la réserve d’erreurs accumulées éliminée.

Firefox l’avait déjà anticipé. Mozilla a appliqué une version préliminaire de Claude Mythos à Firefox et a corrigé un total de 271 vulnérabilités détectées lors de cette première évaluation dans Firefox 150. Ils l’avaient déjà essayé avec Claude Opus 4.6 et 22 autres problèmes pertinents avaient été trouvés. Chez Mozilla, ils assurent n’avoir vu aucun bug pouvant être trouvé par les humains et qui ne puisse être détecté par le nouveau modèle Anthropic.

Microsoft et son Patch Tuesday. Le patch Tuesday de juillet 2026 a corrigé 622 CVE (206 en juin). Ce lot comprenait 59 vulnérabilités critiques et trois vulnérabilités « jour zéro » qui ont été divulguées publiquement : deux étaient activement exploitées. Microsoft avait déjà prévenu que la détection des problèmes de sécurité assistée par l’IA augmenterait le nombre de mises à jour, mais ce qui s’est passé montre que même eux n’avaient pas prévu que leur logiciel aurait autant de problèmes.

Le truc d’Oracle est incroyable. Il existe un autre exemple encore plus frappant : dans la mise à jour trimestrielle de juillet, Oracle a collecté 1 449 correctifs sur l’ensemble de son catalogue de produits logiciels. Seuls 64 d’entre eux ont été détectés par des chercheurs externes, ce qui semble indiquer clairement que l’IA a joué ici un rôle absolument primordial. Comme dans le reste des cas, le problème est qu’ils ont dû tous les patcher… et leurs clients mettent à jour tous ces composants avant que les cybercriminels n’en profitent.

Beaucoup de bruit pour rien ? Il est important de noter ici que toutes les vulnérabilités ne sont pas graves et ne nécessitent pas la même urgence pour agir. Sur les 1 449 correctifs d’Oracle, seuls dix présentaient le niveau de gravité CVSS 10.0 le plus élevé. Dans le cas de Microsoft, il y a eu 59 pannes critiques. Les chiffres totaux sont impressionnants, mais ici ce sont les administrateurs système qui devront séparer le bon grain de l’ivraie et établir des priorités pour éviter que ces mises à jour ne provoquent de nouveaux conflits. Cela peut en fait rendre réalité le célèbre dicton «le remède est pire que le mal».

Images | Mohamed Rahmani

À Simseo | Un modèle d’IA n’avait pas accès à Internet. Il a donc pensé qu’il valait mieux l’avoir et a décidé de pirater quelque chose en cours de route.