- Les audits de code assistés par IA vont alimenter une part croissante des vulnérabilités publiées, et donc des correctifs à déployer.
- Le volume de vulnérabilités publiées augmentait déjà fortement avant cet effet ; le délai entre publication et exploitation se réduit.
- Il faut une fonction de triage capable de qualifier un correctif en quelques heures, et un circuit de changement accéléré pour les cas critiques.
- Les contrats d’infogérance et l’architecture (haute disponibilité, retour arrière) doivent permettre de déployer vite sans interrompre la production.
- Public
- DSI, RSSI, dirigeants
- Niveau
- Décision et organisation
- Thème
- Gestion des vulnérabilités et des correctifs
- Contexte
- Annonces d’Anthropic, avril à juillet 2026
Ce que Claude Mythos a démontré#
Selon Anthropic, son équipe Frontier Red Team a utilisé Claude Mythos pour identifier de façon autonome des milliers de vulnérabilités critiques dans la plupart des grands systèmes d’exploitation et navigateurs, dont une faille vieille de 27 ans dans OpenBSD et une chaîne d’exploitation permettant l’exécution de code à distance sur un serveur NFS de FreeBSD.
La version de recherche, Claude Mythos Preview, est réservée à un nombre restreint d’organisations dans le cadre du Project Glasswing, qui l’utilisent pour auditer leur propre code. Claude Mythos 5 et Claude Fable 5 ont été lancés le 9 juin 2026 ; Fable 5 repose sur le même modèle, avec des garde-fous supplémentaires dans les domaines sensibles, dont la cybersécurité. D’autres acteurs devraient développer des capacités comparables dans les mois qui viennent.
Une nouvelle source de correctifs pour toutes les entreprises#
Même sans accès direct à ces modèles, votre système d’information est concerné. Toute vulnérabilité découverte suit un processus de divulgation responsable vers l’éditeur, qui publie ensuite un correctif. Une part croissante des vulnérabilités publiées dans les prochains mois résultera donc, directement ou non, d’audits assistés par IA.
Ce mouvement s’ajoute à une croissance déjà soutenue : plus de 48 000 vulnérabilités (CVE) ont été référencées en 2025, soit plus de 130 par jour, et le FIRST anticipait environ 59 000 CVE pour 2026 avant même cet effet. Les rapports de réponse à incident, comme M-Trends de Mandiant, montrent par ailleurs que le délai entre la publication d’une faille et sa première exploitation ne cesse de se réduire.
Ce qui change au quotidien#
Une DSI qui recevait une dizaine de correctifs critiques par mois pourrait en recevoir autant par semaine sur ses périmètres les plus exposés. Sans évolution des processus, le choix devient vite intenable : déployer en urgence sans tests, ou laisser grossir un retard que les attaquants exploitent dès la publication des vulnérabilités.
- Une fonction de triage capable de qualifier chaque correctif en quelques heures : déploiement immédiat, prochaine fenêtre, ou mesure de contournement temporaire (segmentation, désactivation d’une fonction, règle de filtrage).
- Un inventaire fiable des actifs et de leurs versions : on ne corrige pas ce que l’on ne connaît pas.
- Une priorisation par l’exploitabilité : vulnérabilités activement exploitées et équipements exposés à Internet d’abord.
- Un déploiement automatisé des correctifs, avec des anneaux de test et une supervision continue.
Gouvernance et budget#
Un comité de changement mensuel, pensé pour un monde où les correctifs arrivaient au compte-gouttes, devient un goulet d’étranglement. Les DSI les mieux préparées mettent en place un circuit accéléré et préapprouvé pour les correctifs critiques.
| Indicateur | Pourquoi le suivre |
|---|---|
| Délai de remédiation des vulnérabilités critiques | Mesure la capacité réelle de réaction |
| Taux de conformité des correctifs | Montre la part du parc à jour |
| Exposition des équipements accessibles depuis Internet | Concentre l’attention sur le risque principal |
| Nombre de vulnérabilités ouvertes | À éviter seul : il augmentera mécaniquement sans refléter la qualité du travail |
Absorber ce volume à ressources constantes n’est pas réaliste. Il faut investir dans l’automatisation, ou s’appuyer sur un partenaire déjà outillé : un budget à anticiper maintenant plutôt qu’après un incident, et presque toujours inférieur au coût d’une interruption de production ou d’un manquement aux obligations de la directive NIS 2.
Prestataires et infrastructure#
Ce changement de rythme doit se traduire dans vos contrats. Votre prestataire peut-il tenir un rythme hebdomadaire, voire quotidien, sur les composants exposés à Internet ? Avec quel engagement de délai pour une vulnérabilité activement exploitée ? Une question à poser avant la crise.
Il suppose aussi une infrastructure conçue pour l’encaisser : haute disponibilité, redondance, migration à chaud et retour arrière rapide. Sans cela, chaque correctif critique devient un risque d’interruption de service.
Un rappel sur la disponibilité des outils#
Le 12 juin 2026, Anthropic a suspendu l’accès à Claude Mythos 5 et Claude Fable 5 pour se conformer à des contrôles à l’exportation du Département du Commerce américain, non en raison d’une faille de sécurité. Ces contrôles ont été levés le 30 juin, et l’accès a été rétabli le 1er juillet. Un rappel que la disponibilité et la gouvernance des outils comptent autant que leurs performances, et qu’il vaut mieux éviter une dépendance excessive à un seul fournisseur.
Ce qu’il faut retenir#
La prochaine vague de correctifs ne sera pas seulement plus rapide à produire pour les éditeurs : elle sera surtout bien plus massive à absorber pour les DSI. C’est d’abord une question d’organisation, de gouvernance et de budget. Les DSI qui font évoluer dès aujourd’hui leur triage, leur gestion des changements, leurs indicateurs et leur automatisation transformeront cette accélération en avantage plutôt qu’en surcharge permanente.
Questions fréquentes#
Pourquoi la gestion des vulnérabilités devient-elle plus complexe ?
L’IA accélère la découverte de vulnérabilités. Les éditeurs publient donc davantage de correctifs, ce qui oblige les entreprises à renforcer leurs processus de déploiement.
Qu’est-ce que le patch management ?
La gestion des correctifs consiste à identifier, tester, prioriser et déployer les mises à jour de sécurité pour protéger le système d’information contre les vulnérabilités connues.
Pourquoi automatiser le déploiement des correctifs ?
Pour réduire les délais de remédiation, limiter les erreurs, préserver la disponibilité et répondre aux exigences comme celles de NIS 2.
Que peut apporter un prestataire spécialisé ?
Des outils, des processus et une organisation déjà en place pour qualifier et déployer rapidement les correctifs, avec des engagements de délai.