L’IA provoque une hausse des divulgations de failles de sécurité et des vulnérabilités RCE

L'intelligence artificielle transforme rapidement le rythme et la nature de la détection des failles de cybersécurité. Selon les données du Google Threat Intelligence Group (GTIG), le nombre mensuel de divulgations de vulnérabilités a doublé entre le début de l'année et le mois d'août 2026, atteignant 10 740 signalements pour ce seul mois. Les tentatives d'exploitation active suivent une tendance similaire, passant d'une moyenne mensuelle de 10,5 en 2025 à 18 par mois entre janvier et août 2026. Les chercheurs du GTIG anticipent une progression continue de ces deux indicateurs à court et moyen terme.

Évolution du profil de gravité des vulnérabilités

Au-delà de l'augmentation du volume de divulgations, le GTIG constate que l'utilisation de l'IA modifie les catégories de failles découvertes. Si la proportion de vulnérabilités à faible risque a diminué, les analyses automatisées révèlent davantage de problèmes à risque modéré ainsi que des failles critiques permettant l'exécution de code à distance (RCE). Les divulgations à haut risque ont bondi de 167 % au cours des huit premiers mois de 2026, passant de 131 en janvier à 350 en août. Les chercheurs attribuent cette hausse au regroupement des calendriers de publication des éditeurs et à l'élargissement du panel de fournisseurs de logiciels touchés, bien que le haut risque ne représente encore que 3 % du total.

Malgré ce rythme élevé de découvertes, l'exploitation réelle reste rare. Seules 0,23 % des failles signalées en 2026 — soit environ une sur 431 — ont fait l'objet d'attaques observées sur le terrain, représentant quelques dizaines de vulnérabilités exploitées par mois plutôt que des milliers. Parallèlement, l'exploitation de failles zero-day n'a connu qu'une légère hausse, passant d'une moyenne mensuelle de huit cas en 2025 à 11 cas par mois jusqu'en août 2026.

Correctifs non répertoriés et limites des modèles

Le GTIG souligne que les bases de données publiques sous-estiment actuellement le nombre de vulnérabilités identifiées par l'IA. Les principales plateformes cloud et SaaS corrigent régulièrement les failles détectées directement dans leurs microservices en production sans demander d'identifiants CVE officiels, réservant ces enregistrements aux logiciels sur site ou tiers. L'absence de métadonnées unifiées masque également l'impact exact de l'IA dans la recherche en sécurité.

Les analystes estiment que la faible augmentation des attaques zero-day illustre les limites des capacités actuelles de l'IA. Selon Steve Povolny, vice-président de la stratégie IA et de la recherche en sécurité chez Exabeam, les outils d'IA excellent dans l'identification rapide et à grande échelle de structures de failles connues, mais restent moins aptes à découvrir de manière autonome des vulnérabilités zero-day inédites et majeures.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Vulnerability disclosures are rocketing, but AI is changing the types of flaw being discovered