Pourquoi ce sujet ?

La cybersécurité évolue à une vitesse qui dépasse depuis longtemps les capacités humaines seules. Aujourd'hui, l'intelligence artificielle s'impose comme un accélérateur important dans la découverte et l'exploitation des vulnérabilités : les CVEs (Common Vulnerabilities and Exposures). Ce sujet est au cœur des enjeux actuels des équipes sécurité, qu'elles soient offensives ou défensives.

Qu'est-ce qu'un CVE ?

Un CVE est un identifiant standardisé attribué à une faille de sécurité connue dans un logiciel ou un système. Chaque CVE est référencé publiquement (sur nvd.nist.gov notamment) avec un score de criticité (CVSS), une description et la liste des systèmes affectés.

La gestion des CVEs est un pilier de la sécurité opérationnelle : ignorer un CVE critique sur un système exposé, c'est laisser une porte ouverte.

L'IA dans la découverte de vulnérabilités

Traditionnellement, la recherche de vulnérabilités repose sur l'analyse manuelle de code, le fuzzing ou des outils spécialisés comme Nessus ou OpenVAS. L'IA vient changer ce processus à plusieurs niveaux :

• Analyse statique augmentée : Des modèles entraînés sur des millions de lignes de code open source peuvent détecter des patterns associés à des classes de vulnérabilités connues (buffer overflow, injection SQL, mauvaise gestion de la mémoire) bien plus rapidement qu'un humain.
• Fuzzing intelligent : Des outils comme OSS-Fuzz de Google intègrent des approches guidées par l'IA pour générer des entrées qui maximisent la couverture du code et augmentent les chances de déclencher un comportement inattendu.
• LLMs et audit de code : Des modèles de langage comme GPT-5, Claude Fable 5 ou des modèles spécialisés (Codex, StarCoder) sont utilisés pour analyser des portions de code et repérer des vulnérabilités potentielles. Les chercheurs en sécurité les utilisent comme assistants d'audit, pas comme remplacement.

L'IA dans l'exploitation de CVEs

L'exploitation va plus loin : une fois une CVE identifiée, l'IA peut accélérer la génération de preuves de concept (PoC) et l'automatisation des attaques.

• Exploitation autonome : Des recherches récentes (Université de l'Illinois, 2024) ont montré que des agents LLM sont capables d'exploiter des vulnérabilités one-day (des CVEs publiées mais pas encore patchées) de façon autonome, avec un taux de succès notable sur des environnements de test. Ces résultats ont relancé le débat sur la divulgation responsable des CVEs.
• Frameworks d'attaque assistés : Du côté offensif, des frameworks comme Metasploit commencent à intégrer des fonctionnalités assistées par IA pour suggérer des modules et adapter les payloads.

Enjeux défensifs

L'IA ne profite pas qu'aux attaquants. Côté défense, elle sert à :

• Prioriser les CVEs : Avec des milliers de CVEs publiées chaque année, les équipes ne peuvent pas tout patcher en même temps. Des outils comme Vulnrichment ou des solutions commerciales (Tenable, Qualys) utilisent l'IA pour évaluer le risque réel d'exploitation selon le contexte de l'entreprise.
• Détecter les tentatives d'exploitation : Les SIEM et EDR modernes intègrent des modèles de détection comportementale capables de repérer des schémas d'exploitation même sans signature connue.
• Automatiser la remédiation : Certaines plateformes proposent des correctifs ou des workarounds générés par IA en attendant le patch officiel.

Mise en perspective professionnelle

En tant que technicien en infrastructure, ce sujet a des implications directes : savoir qu'une CVE critique vient d'être publiée sur un service qu'on administre (Active Directory, VPN, hyperviseur) et pouvoir évaluer rapidement son niveau de risque, c'est une compétence opérationnelle concrète. L'IA devient un outil d'aide à la décision pour optimiser nos fenêtres de patch et de remédiation, et non un remplacement de l'administrateur système.