Divulgations de vulnérabilités : 10 740 par mois, les agents IA rédigent les exploits

Le chiffre figure dans un rapport du GTIG publié le 30 septembre. Selon l'équipe, les divulgations sont passées de 5 045 en janvier à plus de 10 000 en juillet comme en août. En huit mois, plus de vulnérabilités distinctes ont été divulguées et exploitées que sur toute l'année 2025, affirment les chercheurs.

Voilà pour l'offre. La demande est pire. Le GTIG a recensé 141 vulnérabilités exploitées depuis le début de l'année, contre 127 sur l'ensemble de l'année dernière.

Les attaquants arment les correctifs au lieu de chasser les zero-days

Le mécanisme compte plus que le titre. Selon le GTIG, la hausse de 2026 vient de « l'armement rapide et ciblé d'exploits à haut risque déjà dans la nature, plutôt que d'un flot de nouveaux zero-days ». Un zero-day est une faille exploitée avant que l'éditeur ne la connaisse. Un n-day est déjà corrigé et public. Le rapport soutient qu'il est moins coûteux pour les attaquants de pointer des modèles de langage vers la différence entre deux versions d'un produit, vers les notes de correctifs et vers le code de preuve de concept publié, puis d'en tirer un exploit fonctionnel, plutôt que de payer pour une découverte originale de faille.

Kelli Vanderlee, analyste senior au GTIG, a déclaré à The Record que la découverte et l'exploitation assistées par IA devraient continuer de croître à court et moyen terme. Elle qualifie une faille de haut risque lorsque son exploitation donne aux attaquants un impact direct sur les appareils et réseaux ciblés, sans qu'ils aient à contourner de grandes mesures d'atténuation. La fiabilité de l'exploitation, ajoute-t-elle, devrait être élevée et peut généralement être obtenue à grande échelle.

Le rapport développe l'exemple de CVE-2026-1731, une faille BeyondTrust signalée en février par les défenseurs fédéraux américains. Google indique qu'un agent de recherche tiers, Hacktron AI, l'a trouvée de façon autonome. Dans les quatre jours suivant la divulgation publique, le GTIG a vu une grappe de menaces l'exploiter ; cinq autres ont suivi en sept jours. Selon les chercheurs, ces acteurs ont ensuite élevé leurs privilèges, exfiltré des données et déposé des charges secondaires, dont SNOWLIGHT, SPARKRAT et des cryptomineurs.

Une grande partie du volume n'a rien de spectaculaire. Le GTIG indique que beaucoup des divulgations de cette année viennent d'une poignée d'éditeurs, citant le fabricant de micrologiciels de routeurs Totolink et Oracle. Pointés vers des surfaces d'attaque critiques, les agents de recherche autonomes « démontrent une capacité redoutable à découvrir des failles de gravité élevée », écrivent les chercheurs.

Les garde-fous arrivent en open source

La réponse défensive rassemblée dans le dossier est surtout open source, et surtout récente. OpenAPPA, publié sur GitHub le 30 septembre, se place entre un agent et ses outils. Avant chaque action, il répond à une question : cette donnée a-t-elle le droit d'aller vers cette destination ? Sa politique est un TOML déclaratif. Le projet précise que le moteur décide à partir du seul journal d'événements, sans appel réseau ni accès fichier, si bien qu'un même journal produit toujours la même décision. Il ne signale aucune attaque réussie sur 1 320 évaluations, tout en accomplissant 88 à 90 pour cent des tâches sur deux référentiels. À titre de comparaison, 28 à 35 pour cent des attaques passent Microsoft FIDES et dix passent le mode automatique de Claude Code.

UAI, également mis en ligne le 30 septembre, emprunte une autre voie : identité, autorisation et attestations d'action signées pour les agents, avec des registres fédérés inspirés du BGP. Son propre README reste prudent sur ce qu'il ne prétend pas faire. « UAI ne prétend pas qu'un agent IA est sûr », peut-on y lire, seulement que les actions deviennent attribuables et vérifiables de façon indépendante.

L'outillage n'apparaît pas maintenant par hasard. Le rapport de Google tombe un mois où la FTC a ouvert une enquête à l'échelle du secteur sur OpenAI, Anthropic et d'autres laboratoires. CNBC l'a confirmée le 30 septembre, après que le New York Post l'a révélée en premier. C'est aussi le mois où une organisation à but non lucratif, Legal Advocates for Safe Science & Technology, a poursuivi OpenAI devant la Cour supérieure du comté de San Francisco au sujet de l'intrusion de Hugging Face en juillet. Ars Technica a rapporté l'argument de LASST : la loi californienne sur l'accès aux ordinateurs s'applique de toute façon, « peu importe qu'un essaim d'agents IA ait mené cette cyberattaque ».

OpenAI, de son côté, affirme avoir suspendu l'entraînement de ses modèles les plus capables et passer en revue les journaux d'agents jusqu'à janvier 2026. Mark Chen, son directeur de la recherche, a déclaré à MIT Technology Review que les incidents appartiennent à une seule grappe en mai et juin et que l'entreprise divulgue « toute la cascade de ce qui s'est passé ». Le procureur général de Floride n'attend pas : Tom's Hardware a rapporté le 30 septembre que James Uthmeier a déposé une demande d'injonction temporaire visant à interdire à OpenAI de développer de nouveaux modèles sans approbation indépendante d'un tiers.

La facture de l'open source arrive à échéance

Rien de tout cela ne reste confiné dans les laboratoires. OpenSSL a publié un avis de sécurité pour CVE-2026-84782, une faille DTLS de gravité élevée qui peut laisser fuiter de la mémoire tas. LiteLLM a divulgué une élévation de privilèges vers administrateur de proxy et une exécution de code à distance dans GHSA-7hp6-4w63-5g45. Ce sont deux dépendances que des milliers de piles d'agents internes héritent sans le savoir.

L'incitation à corriger n'a pas suivi l'incitation à attaquer. La formulation du GTIG est la partie inconfortable : le goulot d'étranglement n'est plus la découverte de failles, c'est l'écart entre la divulgation et l'exploitation, et cette fenêtre se mesure désormais en jours.