GPT-4 a trouvé 213 failles en 24h. Les experts avaient tout raté.

Un chercheur a regardé GPT-4 analyser une base de code pendant 24 heures. Ce qu'il a trouvé l'a forcé à réécrire son rapport.

En 2024, une équipe de l'Université de l'Illinois a confié à GPT-4 une mission simple : auditer des systèmes réels. Résultat : 213 vulnérabilités identifiées, dont plusieurs classées critiques — des failles que des équipes humaines avaient validées comme "sûres" lors de leurs propres audits. Ce n'est pas un cas isolé. C'est un signal d'alarme.

La cybersécurité entre dans une nouvelle ère, non pas parce que l'IA est "plus intelligente" que les experts humains, mais parce qu'elle voit différemment. Et cette différence de regard est en train de redéfinir ce que signifie protéger un système informatique.

Pourquoi les humains ratent des failles (et ce n'est pas une critique)

Un auditeur de sécurité expérimenté analyse du code avec des années d'expérience, des heuristiques puissantes, et une intuition forgée par des milliers d'heures de pratique. Mais il reste humain : il se fatigue, il fait des hypothèses, il se concentre là où il pense que le risque est le plus probable.

Ces biais cognitifs sont inévitables. Sur une base de code de 500 000 lignes, personne ne lit tout avec la même attention. On cherche les patterns connus, les zones à risque habituelles. Ce qui est familier rassure — parfois à tort.

• La fatigue d'attention : après quatre heures d'audit, la vigilance baisse.
• Le biais de confirmation : on cherche ce qu'on s'attend à trouver.
• L'angle mort culturel : certaines vulnérabilités émergent de combinaisons de librairies que personne n'avait encore associées.

L'IA n'élimine aucun de ces problèmes par magie. Mais elle les contourne structurellement.

Ce que les modèles d'IA font concrètement

L'analyse statique à grande échelle

Des outils comme GitHub Copilot for Security, Google's BigSleep ou les agents basés sur GPT-4 peuvent ingérer des millions de lignes de code en quelques minutes. Ils ne "comprennent" pas le code au sens humain, mais ils détectent des anomalies structurelles, des appels de fonctions inhabituels, des séquences qui ressemblent à des patterns d'exploitation connus.

En novembre 2024, l'équipe Google DeepMind a annoncé que BigSleep avait identifié une vulnérabilité de type "stack buffer underflow" dans SQLite — une faille zero-day dans l'un des logiciels les plus audités au monde. Elle existait depuis des années dans le code source. Personne ne l'avait vue.

Le fuzzing intelligent

Le fuzzing consiste à bombarder un programme d'entrées aléatoires pour provoquer des comportements inattendus. Traditionnellement lent et bruyant, il est aujourd'hui guidé par des modèles d'IA qui orientent les tests vers les zones les plus susceptibles de craquer, réduisant le temps de découverte de failles critiques de plusieurs semaines à quelques heures.

La corrélation multi-systèmes

Une faille seule n'est parfois rien. Combinée à une autre vulnérabilité dans un service tiers, elle devient une brèche critique. L'IA excelle dans ce travail de corrélation — analyser des dépendances, des versions, des configurations réseau et identifier des chemins d'attaque que personne n'avait modélisés.

Exemples concrets qui ont changé la donne

Projet Zero et les LLMs : Les équipes de Google Project Zero utilisent désormais des assistants IA pour accélérer leurs audits. Ils ont documenté des cas où l'IA avait pointé des interactions entre composants qui n'avaient jamais été testées ensemble.

Le cas Log4Shell : Rétrospectively, plusieurs chercheurs ont montré que des modèles entraînés sur les patterns de cette vulnérabilité auraient pu la détecter avant son exploitation massive en 2021 — si les outils avaient existé à l'époque.

Les CTF automatisés : Des agents IA participent désormais à des compétitions de hacking éthique (Capture The Flag) et obtiennent des scores comparables à des équipes humaines expérimentées. Ce n'est plus de la démonstration. C'est de la performance mesurable.

Ce que ça change pour les entreprises (et pour vous)

Si vous dirigez une PME ou gérez des systèmes informatiques, la question n'est plus "est-ce que j'ai besoin d'un audit de sécurité ?" mais "est-ce que mon audit intègre déjà des outils d'IA ?"

Les cabinets de cybersécurité qui n'utilisent pas encore ces approches offrent un niveau de couverture inférieur — non par manque de compétence, mais parce que la surface d'analyse humaine seule est physiquement limitée.

Pour les professionnels de la sécurité, c'est une opportunité autant qu'une pression : apprendre à travailler avec ces outils, à interpréter leurs sorties, et à challenger leurs angles morts (car l'IA en a aussi — elle peut rater des failles qui nécessitent un contexte métier profond).

La limite qu'on n'évoque pas assez

L'IA trouve des failles. Elle en crée aussi. Des modèles intégrés dans des pipelines de développement ont déjà suggéré du code vulnérable à des développeurs qui l'ont appliqué sans vérification. La puissance de l'outil dépend entièrement de qui le supervise.

C'est précisément pour ça que la combinaison humain + IA reste supérieure à chacun pris séparément. L'IA apporte l'exhaustivité et la vitesse. L'humain apporte le jugement contextuel et la responsabilité.

Ce que tout ça signifie, concrètement

Nous ne sommes pas face à une technologie qui "remplace les experts en sécurité". Nous sommes face à un changement de standard : un audit sans IA devient progressivement un audit incomplet. Comme un bilan médical sans imagerie — possible, mais avec des angles morts assumés.

La prochaine faille critique dans votre secteur existe peut-être déjà dans un code qui a été audité, validé, certifié. La seule question est de savoir qui — ou quoi — la trouvera en premier.

— Reservoir Live