L'IA découvre une avalanche de failles de sécurité. Presque aucune n'est exploitée
VulnCheck a recensé 1 061 vulnérabilités découvertes avec l'aide de l'IA au premier semestre 2026. Quatorze ont été confirmées comme exploitées, soit 1,3 %, une proportion comparable à celle des failles découvertes autrement.
Le nombre de vulnérabilités logicielles découvertes avec l’aide de l’IA a explosé au cours de l’année écoulée. Celui des failles réellement utilisées par des attaquants, non. La société de sécurité VulnCheck a chiffré cet écart dans son rapport semestriel, qui offre un antidote utile aux articles alarmistes dans les deux sens.
Le chercheur Patrick Garrity a compté 1 061 vulnérabilités découvertes au premier semestre 2026 et dont l’origine pouvait être reliée à l’IA. Quatorze ont été confirmées comme exploitées dans la nature. Cela représente 1,3 %, presque exactement le taux d’exploitation de l’ensemble des vulnérabilités. Le projet Glasswing d’Anthropic illustre le filtre : plus de 23 000 découvertes ont produit 126 entrées publiées dans la base publique des vulnérabilités, et une seule attaque confirmée.
Le rapport n’est pas entièrement rassurant. Les attaques arrivent plus vite qu’avant. Le délai médian entre la divulgation d’une vulnérabilité et sa première exploitation confirmée est passé de 120 jours en 2025 à 80 jours au premier semestre 2026, et environ 200 failles ont été attaquées dans le mois suivant leur divulgation. Environ 23 % ont été exploitées le jour même de leur publication ou avant, ce qui signifie que les attaquants étaient au courant les premiers. Les systèmes de gestion de contenu web ont été les plus touchés, avec un tiers des cas.
Ce qui se cache derrière. La plupart des articles confondent deux choses que le rapport distingue clairement. Trouver une vulnérabilité est un problème de recherche, exactement le type de problème où les modèles sont efficaces ; c’est pourquoi le volume brut a autant augmenté. Transformer une faille en attaque fonctionnelle contre une cible précise est un autre métier, qui exige fiabilité, diffusion et raison d’agir. Cette seconde étape élimine encore presque tout. Le volume de découvertes assistées par l’IA renseigne donc très peu les défenseurs sur le danger réel, ce qui constitue le point central de Garrity. La vraie tendance inquiétante n’est pas la colonne IA, mais la réduction du délai entre divulgation et attaque ; elle précède la vague actuelle d’outils. Garrity signale toutefois une catégorie à surveiller : les produits d’IA eux-mêmes, notamment les outils de construction de modèles et les interfaces d’agents.
Ce que cela signifie pour vous : Si vous avez lu que l’IA allait offrir aux attaquants une réserve illimitée d’armes, les chiffres ne le montrent pas encore. Si vous avez lu que les outils de sécurité dopés à l’IA avaient rendu tout le monde plus sûr, les chiffres ne le montrent pas non plus. La conclusion pratique est peu spectaculaire : corrigez plus vite. La moitié des failles exploitées le sont désormais dans les 80 jours suivant leur publication. Si vous faites fonctionner un site sous WordPress, Drupal ou un système comparable, vous êtes dans la catégorie la plus ciblée. Activer les mises à jour automatiques de votre CMS et de ses extensions vous sera plus utile ce mois-ci que n’importe quelle opinion sur l’IA et la sécurité.
Sources
Sources: https://www.vulncheck.com/blog/state-of-exploitation-1h-2026
AMD entraîne un modèle entièrement ouvert sur ses propres puces, mais réserve les poids à la recherche
Instella-MoE-16B-A3B compte 16 milliards de paramètres mais n’en active que 2,8 milliards par jeton. AMD publie les poids de chaque étape, les mélanges de données et le code, sans licence commerciale.
