L'IA corrige les failles de sécurité toute seule : bonne nouvelle pour votre PME ?

Une IA qui repère un trou de sécurité dans un logiciel, écrit le correctif, vérifie qu'il ne casse rien, puis le propose aux développeurs. Sans humain dans la boucle. C'est ce que Google DeepMind vient de présenter avec CodeMender, et la question mérite d'être posée pour les dirigeants de TPE et PME : faut-il s'en réjouir, ou s'en méfier ?

Ce qu'il faut retenir

• CodeMender, l'agent IA de DeepMind, détecte et corrige automatiquement des failles de sécurité dans du code open source : 72 correctifs validés en 6 mois sur des projets de plusieurs millions de lignes.
• L'outil ne se contente pas de signaler le problème : il génère le patch, le teste, puis le soumet. Un second modèle IA joue le rôle de juge pour éviter d'introduire une régression.
• Pour une PME, l'enjeu n'est pas l'outil lui-même mais ce qu'il révèle : les vulnérabilités s'accumulent plus vite qu'on ne les corrige, et l'IA seule ne suffit pas à protéger un parc.

Ce que fait CodeMender, en clair

La plupart des outils de sécurité connus, comme SonarQube ou Coverity, savent repérer une faille et vous dire où elle se trouve. La correction, elle, reste à votre charge. CodeMender va plus loin : détection, écriture du correctif, validation, puis soumission aux mainteneurs du projet.

L'agent travaille de deux façons. En mode réactif, il corrige une vulnérabilité dès qu'elle est découverte. En mode proactif, il réécrit du code existant pour le rendre plus solide, par exemple en ajoutant des vérifications qui bloquent toute une catégorie d'attaques d'un coup, plutôt qu'une faille à la fois.

Le point intéressant, c'est le garde-fou. Un second modèle IA, surnommé le juge, compare la version d'origine et la version corrigée. Il vérifie quatre critères : le correctif traite bien la cause, il reste fonctionnel, il ne casse aucun test existant, et il respecte le style du projet. Si un problème apparaît, l'agent se reprend et retente.

Pourquoi un dirigeant de PME devrait s'y intéresser

Une PME de 20 à 500 postes utilise chaque jour des dizaines de logiciels qu'elle n'a pas écrits : son ERP, sa messagerie, ses postes de travail, ses serveurs. Chacun embarque des bibliothèques open source, et chacune de ces bibliothèques peut contenir une faille publiée du jour au lendemain sous forme de CVE.

Le problème n'a jamais été de savoir corriger une faille. Il a toujours été le volume et la vitesse. Une vulnérabilité critique exploitée met en moyenne quelques jours à être attaquée à grande échelle. Sans équipe dédiée, une PME ne voit souvent passer ces alertes que trop tard.

Des outils comme CodeMender annoncent un monde où une partie de ce travail se fait sans intervention. Bonne nouvelle. Mais une IA qui patche du code open source ne supervise pas votre parc, ne surveille pas vos accès, et ne répond pas à 2 heures du matin quand un poste se met à chiffrer vos fichiers.

L'IA ne remplace pas la supervision, elle la renforce

C'est le vrai enseignement. L'IA devient excellente sur des tâches précises : analyser du code, trier des milliers d'alertes, proposer un correctif. Elle ne remplace pas le jugement humain sur ce qui compte pour votre activité : quel système est critique, quelle interruption est acceptable, quand déclencher une réponse.

C'est exactement la logique que nous appliquons chez Autensai. La supervision cybersécurité associe une couche IA, qui détecte et trie en continu, et un binôme dédié nommé, qui décide et agit. La machine absorbe le volume. L'humain garde le contrôle, avec des délais de réaction contractuels.

CodeMender n'est pas encore disponible publiquement. Mais la direction est claire : la sécurité de demain combine l'IA pour l'échelle et l'humain pour la décision. La question pour votre PME n'est pas de savoir si l'IA va corriger vos failles, mais qui supervise l'ensemble quand l'alerte tombe.

Vérifier le niveau de protection de votre parc en 5 minutes →