S3 1 Tio
S3 1 Tio
Connexion Premium
Droit Économie Flock Hardware IA Internet Logiciel Sciences Sécurité Société
Déontologie Règles de modération Mentions légales et contact
Qui sommes nous ? Contact rédaction Contact site Forum
Flux RSS GitHub Discord

Microsoft officialise son utilisation intensive de l’IA pour la découverte des failles

Déluge en perspective

Microsoft officialise son utilisation intensive de l’IA pour la découverte des failles

En mai 2026, Microsoft avait indiqué brièvement que ses équipes d’ingénieurs utilisaient de plus en plus les LLM pour chercher les failles de sécurité. Cette fois, l’entreprise détaille sa façon de faire, en insistant sur l’importance que représentent désormais les grands modèles dans la sécurité de ses produits, Windows en tête.

Le « Patch Tuesday » est le nom que l’on donne au deuxième mardi de chaque mois, date retenue par Microsoft pour effectuer un lâcher de correctifs. Or, celui de juin a marqué une rupture : avec quasiment 200 failles colmatées au compteur, il établissait un nouveau record. Dans un billet en mai, la firme avait indiqué que ses ingénieurs utilisaient les LLM et le faisaient de plus en plus. On pouvait donc supposer que même si le Patch Tuesday de juin était un record, le rythme n’allait pas ralentir.

L’éditeur a justement publié un long billet de blog pour expliquer comment l’IA générative faisait désormais partie intégrante de ses processus.

De l’IA à presque tous les étages

Microsoft explique avoir fait évoluer ses systèmes d’ingénierie et de validation pour réduire le délai entre la découverte d’une vulnérabilité et la protection des clients, en priorisant les zones à plus fort risque. Concrètement, l’IA est intégrée plus tôt dans le cycle de développement, l’évaluation passant toujours par l’expertise humaine, de même que l’arbitrage sur les risques et la garantie que les correctifs respectent le niveau de qualité attendu, affirme l’entreprise.

Faut-il donc s’attendre à une déferlante chaque mois ? Il n’y a bien sûr aucune raison que l’IA utilisée pour débusquer autant de problèmes en mai et juin soit délaissée par la suite. Microsoft prévient ainsi que les clients verront un volume plus élevé de mises à jour de sécurité dans chaque publication. L’éditeur précise rapidement que ce changement est la preuve que les équipes de défense s’améliorent dans l’identification et le traitement des problèmes, pas un signe de dégradation de la sécurité de Windows.

Il reste 82% de l'article à découvrir.

Cadenas en colère - Contenu premium

Soutenez un journalisme indépendant,
libre de ton, sans pub et sans reproche.

Accédez en illimité aux articles

Profitez d'un média expert et unique

Intégrez la communauté et prenez part aux débats

Partagez des articles premium à vos contacts

Commentaires (14)

votre avatar
Ivanti ? C’est sûr que c’est une référence dans la quantité de failles de sécurité, leurs produits sont des horreurs…
votre avatar
La question que je me pose, c'est : est-ce qu'à un moment on n'arriverai pas à un état où il ne reste plus que des failles de conception (à l'image de celles dans TCP) et plus aucune faille logicielle en tant que telles ?
Je rêve peut-être un peu, mais je me dis qu'à force de tout colmater, il devrait ne plus avoir de failles.
votre avatar
En théorie, oui. Maintenant, quand on se souvient des correctifs hebdomadaires pour Adobe Flash, on peut se dire que parfois, c'est un tonneau des Danaîdes :D
votre avatar
Java n'est pas beaucoup mieux à ce niveau d'ailleurs, vu le nombre de MAJ qu'on pouvait avoir sur un seul mois...
votre avatar
C'est l'hypothèse de nombreuses personnes, qu'actuellement on a une vague de correctifs à faire à cause de l'historique à combler mais qu'à priori on est dans une phase où on corrige plus de failles de sécurité qu'on en ajoute et qu'à terme le nombre de failles découvertes en tout cas dans les projets biens maintenus deviendra faible voire nul.

Le caractère "nul" ne sera probablement pas tout à fait vrai car il y aura probablement des classes de failles nouvelles que les LLM et experts du domaine ne regardent pas encore, un peu comme les failles Spectre et consorts en leur temps.
votre avatar
Le caractère "nul" ne sera probablement pas tout à fait vrai car il y aura probablement des classes de failles nouvelles que les LLM et experts du domaine ne regardent pas encore, un peu comme les failles Spectre et consorts en leur temps.
Certes, mais ces failles seront probablement rares et complexes à exploiter.
votre avatar
Un peu comme à l'apparition de chaque outil un peu révolutionnaire pour scanner/tester la sécurité des logiciels ?
votre avatar
Déluge en perspective
Si le sous-titre spoile les commentaire :kill:
votre avatar
le fameux lâcher de correctifs :D:D:D
votre avatar
J'aimerais bien savoir comment on est passé des perroquets stochastiques aux détecteurs de failles logicielles très performants au sujet des LLM.

Il serait peut-être temps de faire un point sur l'évolution de cette technologie, parce que j'ai du mal à comprendre comment ça a pu évoluer autant.

Ça fait quelques temps que je me pose cette question. Je ne suis peut-être pas le seul.
votre avatar
Ça implique de faire tourner des modèles pendant des milliers d'heures pour obtenir des résultats. Ce n'est pas magique, il faut injecter du blé et des moyens derrière. Les LLM vont se baser sur des failles et mauvaises pratiques connues et documentées pour identifier celles qui seront semblables. C'est impressionnant parce que des modèles trouvent seuls des failles, ça l'est un peu moins quand on regarde ce que ça implique en termes de dépenses pour y parvenir (par exemple, les failles trouvées par Mythos ont coûté à peu près la totalité annuelle des grands programmes de bugs bounty).
votre avatar
En tout cas jusqu'ici la différence fondamentale entre il y a 3 ans et aujourd'hui c'est surtout la taille des modèles qui permettent donc une représentation plus fine de ce qu'il a ingurgité et la quantité de données notamment générées qu'ils ont ingurgité pour certaines tâches.

D'autant que l'informatique et la recherche de faille c'est finalement un domaine où le pattern matching fonctionne bien de base, beaucoup de code et de failles sont finalement semblables dans l'approche et l'outillage pour y parvenir. Avec beaucoup de données d'entrées ciblées, de gros modèles et un peu de brute force il y a moyen d'obtenir en effet des résultats bien plus spectaculaire qu'il y a quelques années.

Et ce n'est sans doute pas un hasard si ces domaines sont là où les progrès ont été les plus notables à ce jour alors que d'autres domaines cela progresse moins vite.
votre avatar
La détection de problèmes de sécurité via assistance IA n'est pas nouvelle en soit. Les solutions de SAST et DAST en intégraient déjà vers 2020 (mais on appelait encore ça du machine learning, moins vendeur) et ça s'est accéléré avec l'arrivée des LLM.

La GitHub Advanced Security et son homologue chez GitLab avec sa plateforme DevSecOps, ont rapidement intégré les technos d'IA générative pour faire de l'analyse de code (de mémoire, c'est arrivé en 2023, peu de temps après l'arrivée de l'offre sécu chez GitHub). Les autres acteurs historiques du marché comme Veracode et Checkmarx l'ont aussi fait avec leurs propres modèles entraînés sur les années d'historique qu'ils possédaient.

Au début ça marchait beaucoup en gros modèles à tout faire, jusqu'à ce que l'orchestration via les agents devienne la norme. C'est marrant, mais j'avais anticipé ça à l'époque où les acteurs du marché se paluchaient sur leurs milliards de milliards de paramètres là où je m'attendais plutôt à voir poindre des modèles plus petits, plus spécialisés, et orchestrés. Bon, au final ça reste des gros modèles orchestrés.
votre avatar
les entreprises qui mettent à jour avec un peu de délai s'exposent donc de plus en plus ?