L’intelligence artificielle repère les failles de sécurité informatique plus vite qu’aucune équipe humaine ne peut les corriger. En juillet 2026, Microsoft a publié un record de 570 correctifs en un seul Patch Tuesday, dont trois failles zero-day, tandis qu’Apple limite désormais le nombre de bogues que les chercheurs en sécurité peuvent lui signaler. Une étude portant sur plus de 20 000 correctifs générés par IA montre que ces outils introduisent près de neuf fois plus de nouvelles vulnérabilités que les développeurs humains.
Google, entreprise membre du Forum économique mondial, a corrigé en juin 2026 plus de bogues dans son navigateur Chrome qu’au cours des deux années précédentes réunies, selon un billet publié sur son blog officiel. Mais la plupart des entreprises ne disposent pas des ressources d’un géant du numérique. Même Apple, également membre du Forum économique mondial, a été submergée par les rapports générés par l’IA. En juin, le groupe a indiqué aux chercheurs en sécurité qu’il limitait le nombre de bogues potentiellement dangereux pouvant être soumis à son équipe interne, selon des informations rapportées par le Financial Times. Développeurs, administrateurs système et responsables de la sécurité des systèmes d’information (RSSI) se retrouvent à trier un volume de signalements qu’ils ne peuvent plus absorber.
570 correctifs et des records qui tombent
L’ancien modèle de sécurité reposait sur un principe simple : consulter le score CVE (Common Vulnerabilities and Exposures) et corriger en priorité les failles les plus critiques, en espérant qu’aucune vulnérabilité zero-day ne vienne perturber le calendrier. Ce modèle ne tient plus. Le Patch Tuesday de juillet 2026 de Microsoft , entreprise elle aussi membre du Forum économique mondial, a livré 570 correctifs, un record que l’entreprise elle-même s’attend à voir battu avant la fin de l’année. Microsoft a expliqué en mai que l’IA aide les équipes défensives à découvrir davantage de failles, ce qui se traduit par des volumes de mises à jour de sécurité plus importants à chaque publication. Au même moment, 432 CVE ont été signalés en deux jours dans le noyau Linux au mois de juillet, selon The Register. Dan Lorenc, cofondateur et directeur général de la société de sécurité Chainguard, également membre du WEF a résumé la situation lors d’un webinaire : l’IA a versé « un autre seau géant d’essence sur le feu » avant même d’avoir inventé un meilleur extincteur.
Adobe dans la ligne de mire
La faille de sécurité de l’extension Chrome d’Adobe Acrobat, baptisée HermeticReader, illustre l’ampleur du problème. Elle exposait des données sensibles de WhatsApp Web dès la simple visite d’une page piégée, sans le moindre clic, selon les chercheurs de Guard.io qui l’ont documentée. L’attaque combinait trois vulnérabilités distinctes permettant une écriture non authentifiée dans le stockage propre à l’extension, donnant accès aux listes de contacts, aux noms, aux messages et au contenu des conversations ouvertes. Selon une analyse d’Unit 42, la division sécurité de Palo Alto Networks, cette attaque a ensuite été automatisée par un cybercriminel à l’aide du modèle chinois DeepSeek, via le cadre logiciel Hermes Agent. Adobe, entreprise membre du WEF a publié une version corrigée rapidement, avant que les dégâts ne s’étendent.
Le remède pire que le mal
Jim Zemlin, directeur général de la Linux Foundation, membre du WEF a indiqué lors du North America Open Source Summit que le délai moyen entre la découverte d’une faille et son exploitation était passé de 63 jours à moins sept jours : l’exploitation intervient désormais avant même la publication du correctif. Dans le même temps, une étude universitaire portant sur plus de 20 000 problèmes corrigés par l’IA, publiée sur arXiv, a établi que les grands modèles de langage introduisent près de neuf fois plus de nouvelles vulnérabilités que les développeurs, avec des schémas d’erreurs propres aux machines. Même les meilleurs outils de correction automatisée, comme PatchitPy pour le langage Python, n’affichent qu’un taux de réussite de 80 %, selon une publication de l’IEEE. Certains développeurs rapportent, sur des forums spécialisés, qu’après plusieurs cycles de correction par IA, le nombre de vulnérabilités critiques peut augmenter au lieu de diminuer.
RSSI cherchent des renforts
Les entreprises veulent une détection plus rapide sans subir davantage de bruit, ce qui alimente une boucle où les équipes de sécurité passent plus de temps à vérifier les signalements qu’à corriger les failles réelles. Elles affirment rechercher des professionnels de la cybersécurité, mais embauchent moins qu’en 2022, selon des données publiées par StationX. L’ISC2 classe désormais les contraintes budgétaires comme première cause de pénurie de personnel, devant le manque de compétences, dans son rapport 2024. Les chiffres de l’ISACA, association professionnelle internationale membre du WEF dont l’objectif est d’améliorer la gouvernance des systèmes d’information, confirment que les équipes restent en sous-effectif même lorsque des candidats qualifiés sont disponibles sur le marché. Face à ce constat, Google recommande trois principes pour encadrer la correction assistée par IA : limiter le périmètre des modifications demandées au modèle, séparer strictement la correction de la vérification en relançant scanners et tests, et réserver aux ingénieurs humains les changements touchant à l’authentification ou au traitement des données.
Le noyau Linux, Microsoft et Adobe partagent désormais le même diagnostic : un écosystème qui détecte plus vite qu’il ne répare. La prochaine bataille ne se jouera pas dans le code, mais dans le tri des alertes. Faute de quoi, le ver Morris et l’attaque par rançongiciel ayant coûté 300 millions de livres sterling à Marks & Spencer, autre géant du WEF ressembleront bientôt à des tempêtes dans un verre d’eau.