Microsoft a corrigé 1411 vulnérabilités en un mois : l'IA trouve les failles plus vite que les humains ne les colmatent

Le débat sur la capacité de l'IA à écrire du code correct se poursuit. Pendant ce temps, une autre IA repère discrètement les erreurs dans du code déjà écrit, et ce plus vite que les humains ne parviennent à les corriger. En octobre 2026, Microsoft a publié ses mises à jour de sécurité mensuelles avec 1411 correctifs. Sur toute l'année 2025, ces publications en avaient totalisé 1130, et 1009 en 2024. Un seul mois a donc dépassé une année entière.

Un record chaque mois

En juin encore, 206 vulnérabilités corrigées faisaient figure de record. En juillet, Microsoft a averti ses clients que le nombre de correctifs par publication allait augmenter, et les chiffres ont ensuite grimpé : environ 600 en juillet (selon les médias, entre 570 et 622), environ 420 en août, 974 en septembre et 1411 en octobre. L'ancien record annuel de 1245 vulnérabilités tenait depuis 2020 ; en octobre, une seule publication l'a dépassé. Un expert de la Zero Day Initiative a commenté la publication de juillet ainsi : « Le bugpocalypse est enfin arrivé ».

Microsoft a elle-même désigné la principale source de ce flux : MDASH, un système agentique de recherche de vulnérabilités qui réunit plusieurs modèles, dont des modèles tiers. Il fonctionne en deux étapes. D'abord, un scanner examine les fichiers binaires critiques de Windows, tandis que des modèles de différentes familles débattent entre eux de chaque découverte. Ensuite, un pipeline distinct élimine les faux positifs restants. Seules les découvertes dont le système est le plus sûr parviennent aux ingénieurs. L'IA propose aussi des correctifs et sélectionne des tests de régression, tandis que les humains évaluent les risques et prennent les décisions.

Pourquoi cela devient-il possible maintenant ? Auparavant, le principal outil était le fuzzing : on injecte des millions d'entrées corrompues dans un programme pour voir où il plante. Le fuzzer ne comprend pas le code et manque les erreurs de logique, visibles seulement pour celui qui lit les sources. Un modèle de langage lit le code presque comme un humain, mais bien plus vite. En 2024, l'agent d'IA Big Sleep a trouvé une faille exploitable dans SQLite, et en 2025, lors de la finale du DARPA AI Cyber Challenge, les systèmes ont découvert 54 des 63 vulnérabilités cachées et préparaient en moyenne un correctif en 45 minutes, pour un coût d'environ 152 dollars par tâche.

PHP2Shell : des failles vieilles de plus de dix ans

La même technologie s'applique au code d'autrui. Le 21 octobre, PHP a publié des mises à jour d'urgence pour deux vulnérabilités critiques de l'interpréteur lui-même, baptisées PHP2Shell. Elles permettent d'exécuter du code sur un serveur web avec une seule requête, sans authentification, avant même le lancement du code du site. Ces erreurs remontent à PHP 5.4, sorti en 2012. Deux équipes, Calif et Wiz, les ont trouvées indépendamment l'une de l'autre, et toutes deux ont utilisé l'IA.

La divulgation prévue a échoué : les détails ont fuité sur Hacker News, et un honeypot d'Amazon a enregistré une tentative d'exploitation quatre jours avant l'annonce publique. La CISA a ajouté les deux vulnérabilités à son catalogue des failles activement exploitées, et selon Censys, même après cela, plus de 32 millions de services PHP avec des versions vulnérables restaient exposés sur le réseau. Les auteurs de la découverte tempèrent eux-mêmes l'enthousiasme : d'après Calif, ils ont utilisé des modèles publics, et la connaissance de l'histoire de PHP comptait davantage que le modèle lui-même. L'IA a été ici un assistant très rapide au service d'un chercheur expérimenté.

Trouver coûte peu, corriger coûte cher

La médaille a son revers. Chacun des 1411 correctifs doit être téléchargé, testé et déployé par quelqu'un. Selon une enquête de Socura, 22 % des responsables de la sécurité britanniques ont pris un arrêt maladie ou des congés pour éviter le Patch Tuesday, et 41 % ont fait des heures supplémentaires. Oracle a ajouté des publications mensuelles de correctifs critiques, VMware mise sur les Express Patches.

Dans l'open source, la situation est encore plus tendue. Le projet curl a fermé son programme de primes aux vulnérabilités : l'équipe croulait sous les rapports, dont beaucoup générés par l'IA, et sur sept rapports reçus en une semaine, aucun ne décrivait une vulnérabilité réelle. Chez Microsoft, un pipeline distinct élimine les fausses découvertes ; les bénévoles n'en ont pas.

Que faire concrètement

Premièrement : si vous êtes responsable d'une infrastructure, passez à l'installation automatique des mises à jour, comme Windows Autopatch, et définissez à l'avance un processus pour les correctifs urgents hors calendrier. Deuxièmement : vérifiez quelles versions de PHP tournent en production, en particulier les anciennes, et mettez-les à jour. Troisièmement : n'attendez pas des chiffres records qu'ils vous aident à fixer vos priorités. Le nombre de bugs trouvés montre à quel point l'IA cherche bien, mais pas combien d'entre eux sont réellement dangereux pour vous.

Le délai entre la découverte et l'attaque se réduit, car les mêmes modèles aident à transformer un bug en exploit fonctionnel. Ceux qui sauront se mettre à jour aussi vite que l'IA trouve les failles l'emporteront. Les autres devront s'habituer à un Patch Tuesday de quinze cents entrées.