L’IA peut détecter plus de vulnérabilités que jamais. Mais la suite dépend toujours des humains.

Depuis des années, les équipes de cybersécurité partent d’un principe simple : si nous pouvions détecter plus de vulnérabilités, plus rapidement, nos logiciels seraient plus sûrs.

L’intelligence artificielle met ce principe à l’épreuve. Alors que le débat général sur l’IA délaisse l’adoption rapide au profit de la recherche de valeur mesurable, la cybersécurité révèle un défi qui ne disparaîtra pas si le développement de l’IA ralentit. Les organisations sont déjà confrontées à un nombre croissant de vulnérabilités détectées par l’IA, qui nécessitent toujours une validation, une hiérarchisation et une correction par des humains.

Les résultats récents de Project Glasswing en offrent l’un des exemples les plus frappants à ce jour. Selon certaines informations, Claude Mythos Preview aurait détecté plus de 26 000 vulnérabilités dans différents projets logiciels en seulement quelques mois. Pourtant, selon une analyse indépendante du registre public des divulgations de Glasswing, seulement environ 10 % de ces vulnérabilités ont été soumises au processus de divulgation, et moins de 1 % ont finalement été corrigées.

Ces chiffres sont frappants, mais ils ne devraient pas surprendre. Depuis des décennies, le secteur optimise la détection. En revanche, il n’a pas développé la capacité de traiter les vulnérabilités détectées à l’échelle de l’IA.

Dans le domaine de la cybersécurité, le principal obstacle n’est plus la détection. C’est ce qui se passe ensuite.

Détecter les vulnérabilités n’a jamais été la partie la plus difficile

Dans une première mise à jour de Project Glasswing, Anthropic a souligné que les progrès étaient de plus en plus limités, non pas par la détection des vulnérabilités, mais par le travail humain nécessaire pour vérifier les signalements, coordonner les divulgations et soutenir les efforts de correction. L’entreprise a également indiqué que certains responsables de maintenance avaient demandé un rythme de divulgation plus lent, faute de capacité pour traiter le volume de vulnérabilités détectées.

Cette distinction est importante, car la détection et la correction des vulnérabilités sont des activités fondamentalement différentes.

La détection relève de plus en plus de la reconnaissance de formes. Les systèmes d’IA modernes excellent dans l’analyse de bases de code volumineuses, la détection de comportements inhabituels, le traçage des chemins d’exécution et le repérage de faiblesses potentielles.

La correction, c’est autre chose. Corriger une vulnérabilité nécessite de tenir compte du contexte. Il faut déterminer si le problème est avéré, comprendre ses conséquences potentielles, évaluer les solutions possibles, s’assurer que les modifications n’entraînent pas de régressions, coordonner le calendrier des divulgations, communiquer avec les parties prenantes et, en définitive, assumer la responsabilité du résultat.

Ce dernier point est essentiel. L’IA peut détecter une vulnérabilité potentielle, mais elle ne peut pas assumer la responsabilité de ce qui se passe ensuite. La validation, le triage, la correction et le signalement nécessiteront toujours l’intervention d’une personne responsable du projet qu’elle maintient. Or, cela prend du temps à des personnes qui ont souvent un emploi à temps plein, une famille et d’autres obligations qui se disputent leur attention. Dans de nombreux projets open source, le facteur limitant n’est pas le manque de visibilité sur les risques, mais la capacité des responsables de maintenance et des équipes de sécurité à évaluer de manière responsable un volume toujours croissant de vulnérabilités détectées et à y répondre.

C’est là que réside la différence fondamentale entre la détection et la correction. L’IA peut nous aider à faire passer la détection à plus grande échelle. La correction dépend toujours de personnes qui disposent du contexte et de l’autorité nécessaires, et qui sont en mesure d’assumer la responsabilité d’agir en fonction de ce que l’IA détecte.

Le défi de l’open source

Cette dynamique est encore plus manifeste dans l’écosystème open source. Comme des composants open source sont présents dans 98 % des bases de code commerciales, la grande majorité de l’infrastructure numérique mondiale repose sur des projets maintenus par des groupes de contributeurs relativement restreints.

Dans bien des cas, les personnes chargées de maintenir ces logiciels essentiels sont des bénévoles ou des personnes qui doivent concilier les responsabilités liées à leurs projets avec un emploi à temps plein et des obligations personnelles. À mesure que l’IA accroît le volume de logiciels et de vulnérabilités qui y sont détectées, la capacité de ces responsables de maintenance à suivre le rythme devient un élément de plus en plus important de l’équation de sécurité.

Lorsqu’un système d’IA génère soudainement des centaines ou des milliers de vulnérabilités potentielles dans un écosystème de projets, les responsables de maintenance deviennent le facteur limitant.

Ce n’est pas une critique des responsables de maintenance. C’est le reflet de la réalité.

Avant même l’apparition de la détection des vulnérabilités par l’IA, de nombreux projets open source peinaient déjà à composer avec des ressources limitées, des exigences de sécurité croissantes et une charge de maintenance de plus en plus lourde. L’IA accentue la pression sur un système qui était déjà à bout de souffle.

Le défi ne consiste pas seulement à déterminer si une vulnérabilité existe. Il tient à tout ce qui se passe ensuite.

Quelqu’un doit examiner le signalement. Quelqu’un doit reproduire le problème. Quelqu’un doit déterminer s’il constitue un risque pour la sécurité. Quelqu’un doit élaborer et tester une correction. Quelqu’un doit coordonner la divulgation et publier les mises à jour. Ces responsabilités ne peuvent tout simplement pas être entièrement automatisées.

À mesure que le nombre de vulnérabilités détectées par l’IA augmente, les organisations qui s’appuient sur des logiciels open source dépendront de plus en plus de la santé et de la pérennité des personnes qui les maintiennent.

Se préparer à l’accélération de la découverte des vulnérabilités par l’IA

Que devraient donc faire les entreprises ? Tout d’abord, les organisations doivent reconnaître que la découverte pilotée par l’IA n’est pas un problème futur. Elle est déjà en cours. Le projet Glasswing a démontré que les modèles de pointe peuvent déceler des vulnérabilités à une échelle qui aurait été difficile à imaginer il y a seulement quelques années.

Deuxièmement, les responsables de la sécurité devraient évaluer si leurs processus de remédiation peuvent évoluer au même rythme que les capacités de découverte. De nombreuses organisations ont beaucoup investi dans la recherche des vulnérabilités, tout en consacrant trop peu de ressources aux personnes et aux processus chargés de les corriger.

Troisièmement, les entreprises devraient accorder davantage d’attention à la maintenance logicielle en tant que fonction de sécurité. La sécurité est souvent abordée sous l’angle de la prévention et de la détection, mais la maintenance à long terme reste l’un des aspects les plus importants et les moins pris en compte de la gestion des risques. L’IA facilite peut-être la découverte des vulnérabilités, mais elle ne diminue en rien la responsabilité de maintenir la sécurité des logiciels critiques au fil du temps. Les organisations ont besoin d’une stratégie de prise en charge du cycle de vie qui leur permette de moderniser leurs systèmes de manière réfléchie, plutôt que d’être contraintes à des migrations précipitées ou à des mesures de remédiation réactives lorsque des risques apparaissent.

Enfin, les organisations devraient soutenir les écosystèmes plus vastes dont elles dépendent. À mesure que l’IA accélère la découverte de vulnérabilités dans les logiciels libres, les responsables de leur maintenance devront répondre à des exigences croissantes. La sécurité de la chaîne d’approvisionnement logicielle dépend en définitive des ressources dont ces responsables disposent pour intervenir.

L’IA peut détecter les vulnérabilités plus rapidement. Mais les découvrir ne suffit pas à sécuriser les logiciels. Le plus difficile consiste à évaluer les risques, à établir les priorités, à fournir des correctifs testés et à maintenir la sécurité des logiciels au fil du temps. Avec l’accélération de la découverte des vulnérabilités, les organisations auront besoin d’une capacité de remédiation continue, soutenue par une expertise, une responsabilisation et des niveaux de service clairement définis.

Car le problème le plus difficile en cybersécurité n’est pas de trouver la vulnérabilité. C’est de savoir ce qui se passe ensuite.