L’IA met fin à l’ère des vulnérabilités rares, rendant abondantes les puissantes capacités offensives et obligeant les équipes de cybersécurité à aller au-delà des correctifs réactifs vers une construction de logiciels fondamentalement plus sûre.
Cette réalité était au cœur d’un discours prononcé par David Weston (photo), vice-président de la sécurité de l’IA chez Microsoft Corp., à Black Hat USA, intitulé « La fin du rare : défendre quand l’offense est bon marché ». Weston a expliqué que les défenses traditionnelles reposaient depuis longtemps sur l’économie de la rareté : des systèmes Zero Day coûteux, des frontières de sécurité strictes et l’hypothèse que ces murs tiendraient le coup.
« Nous avons préparé cela. Nous avons dit que nous étions en sécurité parce que c'est rare. » » dit Weston. « Et cela coûte cher. Malheureusement, l'IA a changé la donne. Ce n'est plus rare. »
Weston s'est entretenu avec Krista Case à Black Hat USA, lors d'une diffusion exclusive sur theCUBE, le studio de diffusion en direct de SiliconANGLE Media. Ils ont expliqué pourquoi les équipes de sécurité doivent investir les gains de productivité générés par l'IA dans la construction de logiciels plus sûrs, dans des langages sécurisés en mémoire et dans la vérification formelle, plutôt que d'essayer de devancer les attaquants avec des correctifs plus rapides. (* Divulgation ci-dessous.)
Changer la physique d'une construction de logiciels plus sûre
Le simple fait d’accélérer les correctifs reste une stratégie réactive qui laisse une fenêtre aux attaquants, a noté Weston. Les attaquants bénéficient de l’asymétrie (il leur suffit d’avoir raison une seule fois) et de l’agilité, puisqu’ils ne sont confrontés à aucune des contraintes de conformité ou de processus qui ralentissent les défenseurs.
« L'IA rend tout le monde plus productif. En particulier les ingénieurs », a-t-il déclaré. « Investissons cette productivité dans le changement de la physique. » dit-il.
Cela signifie donner la priorité à la sécurité par construction, aux langages sécurisés en mémoire tels que Rust et aux méthodes formelles qui transforment la logique du programme en représentations mathématiques qui peuvent être prouvées exemptes de certaines classes de défaillance. Les résultats de Google avec Rust illustrent le potentiel. Environ 75 % de ses vulnérabilités en 2019 étaient des problèmes de sécurité de la mémoire. En 2025, cette part était tombée en dessous de 20 %, et sur 5 millions de nouvelles lignes de code écrites dans des langages plus sûrs, la société n’a signalé aucun nouveau problème de sécurité de la mémoire.
« Vous voyez deux des bibliothèques de logiciels les plus importantes de la planète vivre de bonnes expériences ici et utiliser des agents pour y parvenir », a déclaré Weston. « C'est mon appel à l'action : tout le monde doit commencer à expérimenter cela dans votre base de code. »
Restez à l'écoute pour l'interview vidéo complète, qui fait partie de la couverture de Black Hat USA 2026 par SiliconANGLE et theCUBE.
(* Divulgation : TheCUBE est un partenaire média payant pour Black Hat USA. Les sponsors de la couverture de l'événement theCUBE n'ont pas de contrôle éditorial sur le contenu de theCUBE ou SiliconANGLE.)
