Cybersécurité : l'IA trouve les failles plus vite que vous ne pouvez les corriger

TL;DR

• En juin 2026, Microsoft a colmaté près de 200 failles en un seul « Patch Tuesday », un record. La firme le dit clairement : ce volume va continuer à monter, parce qu’elle utilise désormais des modèles d’IA pour chercher les vulnérabilités.
• Pour un dirigeant, ça veut surtout dire plus d’alertes à trier, pas moins de risque.
• Trouver les failles devient facile. Décider lesquelles corriger devient le vrai travail.
• Une petite structure peut s’en sortir, à condition de se doter d’une capacité de tri avant d’acheter un outil de plus.

Il s’est passé quelque chose de discret en juin, et ça concerne toutes les entreprises, pas seulement les équipes techniques. Microsoft a publié un lot de correctifs de sécurité qui a battu son propre record : près de 200 failles corrigées d’un coup. Dans la foulée, l’éditeur a expliqué pourquoi. Ses ingénieurs se servent maintenant de grands modèles de langage pour débusquer les vulnérabilités, et ils préviennent que le volume de mises à jour va rester élevé. Autrement dit : ce rythme est parti pour durer.

La lecture rassurante, c’est « tant mieux, on trouve plus de trous, on est plus en sécurité ». La lecture d’opérateur est différente. Quand la découverte de failles s’industrialise, le problème se déplace. Et il atterrit sur le bureau de ceux qui doivent décider quoi faire de ces 200 correctifs.

Pourquoi l’IA fait exploser le nombre de failles détectées ?

Chercher une faille dans un logiciel, c’est un travail long, minutieux, historiquement réservé à des spécialistes rares. L’IA change l’échelle. Elle lit du code, teste des hypothèses et remonte des vulnérabilités en continu, sans fatigue. Microsoft a intégré ces modèles tôt dans son cycle de développement, avec une validation humaine qui reste en bout de chaîne. Résultat : plus de failles trouvées, plus vite, donc plus de correctifs à publier.

Ce phénomène a déjà un précédent, et il est parlant. Dans le monde open source, les mainteneurs de projets, souvent bénévoles, voient arriver depuis des mois des rapports de bugs et des contributions générés par IA. Le volume a tellement augmenté que certains projets croulent sous des signalements qu’il faut trier un par un, dont beaucoup sont creux. La machine produit du signal plus vite que l’humain ne peut le traiter.

La cybersécurité entre dans la même dynamique, avec un revers : l’IA sert aussi les attaquants. Les mêmes modèles qui aident Microsoft à trouver ses failles aident d’autres à chercher les vôtres. On se retrouve avec une course où les deux camps accélèrent en même temps.

Plus de correctifs, est-ce que ça veut dire plus de sécurité ?

Pas mécaniquement. Recevoir 200 correctifs ne protège que si vous êtes capable de les appliquer, dans le bon ordre, sans casser votre production. Une DSI de grand groupe a des équipes pour ça. Une PME de 40 personnes avec un informaticien à mi-temps, non.

À partir de là, le sujet bascule : le défi devient de choisir quoi corriger en priorité. Quand tout devient détectable, l’avantage se joue dans l’arbitrage du risque.

Prenez l’image d’une liste de courses. Avant, votre équipe repérait dix problèmes par mois et les traitait tranquillement. Maintenant la liste en compte deux cents, et vous n’avez ni le temps ni le budget de tout faire. Reste une seule question utile : lesquelles peuvent réellement me faire mal, et dans quel ordre je m’en occupe ?

Qu’est-ce qui change concrètement pour une PME ou une ETI ?

Trois choses.

D’abord, la nature des attaques a bougé. Les intrusions les plus dangereuses aujourd’hui ne forcent plus la porte : elles se connectent avec les bons identifiants. Un mot de passe fuité, une clé d’accès oubliée dans un coin, un compte de service jamais désactivé. Vu de l’extérieur, ça ressemble à une connexion normale, ce qui la rend difficile à repérer. Et plus une entreprise ajoute d’outils, d’automatisations et d’agents connectés à ses systèmes, plus elle multiplie ces accès. Chaque nouvel accès est une porte de plus à surveiller. C’est un point que je vois passer sous le radar dans beaucoup de projets : on sécurise les murs, on oublie les clés qu’on a distribuées.

Ensuite, la pression réglementaire monte en parallèle. La directive européenne NIS2 impose à un nombre croissant d’entreprises des délais serrés en cas d’incident : six heures pour une première alerte aux autorités, puis un rapport complet sous 72 heures. Quand l’horloge tourne aussi vite, on n’a plus le luxe d’hésiter sur ce qui compte. Il faut avoir décidé à l’avance.

Enfin, le réflexe d’achat va se tromper de cible. Face au flot, la tentation est d’acheter encore un logiciel de sécurité qui promet de tout détecter automatiquement. C’est le même réflexe que le « on veut de l’IA » qui coûte cher : on achète l’outil avant d’avoir posé le besoin. Or votre goulot d’étranglement, à ce stade, c’est la décision. Un outil qui crache encore plus d’alertes sans vous dire lesquelles traiter en premier aggrave le flot au lieu de le calmer.

Par où commencer sans se noyer ?

Pas besoin d’un budget de grand groupe pour reprendre la main. Quelques principes suffisent à sortir de la panique.

Commencez par savoir ce que vous exposez. On ne peut pas prioriser ce qu’on ne connaît pas. Une cartographie simple de vos outils, de vos accès et de ce qui est réellement visible depuis l’extérieur vaut mieux que le meilleur des scanners.

Classez ensuite par impact réel, pas par gravité théorique. La bonne question : qu’est-ce que ça casse chez moi ? Une faille critique sur un système que personne n’utilise passe après une faille moyenne sur l’outil qui fait tourner votre facturation.

Traitez les identités comme une porte d’entrée. Faites le ménage dans les accès : comptes dormants, clés qui traînent, droits trop larges accordés à des automatisations. C’est peu spectaculaire et redoutablement efficace.

Et surtout, désignez qui décide. Les entreprises qui s’en sortent ont toutes un point commun : quelqu’un dont le rôle est de trancher. On corrige ça maintenant, ça peut attendre, ça on l’accepte. Cette capacité de décision est humaine avant d’être technique. Aucune IA ne la remplace, parce qu’elle dépend de ce que vous, vous avez à protéger.

Ce qu’il faut retenir

L’IA rend la cybersécurité plus bruyante, pas automatiquement plus sûre. Elle industrialise la découverte des failles des deux côtés, elle noie les équipes sous les correctifs, et elle déplace la valeur vers un endroit qu’aucun logiciel ne couvre : le choix. Les entreprises qui s’en sortiront sont celles qui savent, chaque semaine, dire ce qu’elles corrigent et ce qu’elles laissent, en connaissance de cause.

Vous ne savez pas par où attaquer votre propre liste de courses ? C’est exactement le genre de diagnostic qu’on pose au démarrage d’un accompagnement. Parlons-en.