L’IA industrialise la recherche de failles. Aux entreprises d’industrialiser leur réponse

Ces derniers mois ont été particulièrement agités autour de l’IA appliquée à la cybersécurité offensive. Avec un message répété à l’envi, et en apparence sans équivoque : les derniers modèles à la mode seraient soudain capables de faire seuls ce que les hackers mettent des années à apprendre. À force de regarder les démonstrations d’Anthropic ou d’OpenAI, on finirait presque par croire que la recherche de vulnérabilités vient d’être inventée. Mais ce serait oublier un peu vite comment fonctionne ce métier.

Car les hackers, éthiques ou non, ont toujours cherché à automatiser leur travail. Dès lors qu’une technique fonctionne, l’étape d'après consiste à trouver un moyen de la reproduire plus vite. Les scanners ont permis de gagner du temps dans la recherche de vulnérabilités, puis d’autres outils ont ensuite facilité leur exploitation. L’IA s’inscrit donc naturellement dans cette continuité : elle ne crée pas l’automatisation, mais lui fait franchir un nouveau cap.

Le problème c’est qu’à force de regarder la puissance du modèle, on oublie tout ce qui fait réellement la performance autour. Orchestrer les outils et organiser les différentes étapes de la recherche est au moins aussi important. Et derrière les chiffres spectaculaires, il reste toujours un travail de validation humaine.

L’ère de l'IA agentique accentue encore ce mouvement. Il y a trois ou quatre ans, un « hunter » pouvait consacrer une soirée entière à tester un seul périmètre. Aujourd’hui, l'usage est plutôt de faire tourner en permanence des dizaines d’agents sur différents programmes. Ils définissent eux-mêmes les scénarios que leurs agents doivent suivre pour rechercher une vulnérabilité, puis les adaptent en fonction des résultats obtenus. Autrement dit, chaque hacker peut désormais transformer une partie de son expérience en une véritable chaîne automatisée de recherche.

C’est d'ailleurs ce qui renforce mécaniquement le modèle du Bug Bounty, dont la valeur a toujours reposé sur la diversité des approches. L’IA ne remplace donc pas l’intelligence collective du Bug Bounty : elle la démultiplie.

Trouver plus ne suffit plus

Le changement d’échelle est déjà très concret. On a même observé des hausses de l’ordre de 70% des rapports valides classés « high » ou « critical » sur certaines périodes correspondant à la sortie de nouveaux modèles. L’IA permet bel et bien de faire remonter davantage de vulnérabilités sérieuses. La conséquence est simple : trouver des vulnérabilités n’est déjà plus le principal problème. Encore récemment, l’enjeu consistait avant tout à trouver la grosse vulnérabilité, celle qui avait échappé aux autres. Avec ces nouveaux outils largement accessibles, tout le monde ou presque peut désormais en faire remonter davantage. Le vrai travail commence ensuite : valider leur exploitabilité et déterminer lesquelles doivent réellement mobiliser les équipes.

Évidemment, l’augmentation du nombre de signalements entraîne aussi celle du bruit. Les premiers usages massifs de l’IA ont produit leur lot de rapports inutiles, de mauvaises interprétations et de doublons. Nombreux sont ceux qui ont déjà été confrontés à ce qu’on appelle l’« AI slop » ; des signalements générés ou assistés par IA qui paraissent crédibles, mais se révèlent mal qualifiés ou tout simplement invalides. L’été 2026 marque d’ailleurs une étape majeure avec une nette progression des rapports valides tandis que ce bruit commence à être mieux maîtrisé.

Cette explosion du volume met directement les plateformes de Bug Bounty à l’épreuve. Leur rôle n’est plus seulement d’ouvrir le robinet des vulnérabilités, mais d’empêcher le bruit d’arriver jusqu’aux entreprises. Certaines ont déjà engagé ce travail depuis plusieurs années en mettant en place des règles de conduite ou des systèmes de crédits qui limitent les soumissions tant qu’un hunter n’a pas fait ses preuves. La réputation et les mécanismes d’incitation permettent également de favoriser les contributions les plus pertinentes. Avec l’IA agentique, ces dispositifs ne sont plus simplement utiles et deviennent carrément indispensables pour absorber le changement d’échelle sans transférer le bruit aux entreprises.

Le résultat attendu est assez simple : le client n’a pas à subir toute la tuyauterie. Il doit recevoir une vulnérabilité déjà vérifiée, replacée dans son contexte et réellement exploitable dans son environnement. C’est ici que le changement de marché devient évident : la rareté n’est progressivement plus la découverte. Elle se situe dans la capacité à transformer une masse de signalements en quelques décisions utiles.

Vers une industrialisation du vulnerability management

La suite logique est donc déjà là : les entreprises doivent industrialiser leur gestion des vulnérabilités. L'arrivée massive de l'agentique va produire un flot de rapports et d'alertes inédit, qui grossit à mesure que les capacités de détection progressent. Centraliser les données, les structurer dans un même format et organiser leur traitement dans la durée n'est plus une option.

Et ce nouveau paysage fait émerger un autre problème de taille : toutes les vulnérabilités ne se valent pas. Une faille peut par exemple être exploitable dans un système générique mais sans conséquence dans un environnement précis. D'où la nécessité de bien classifier et prioriser après la détection « théorique ». C’est précisément pour cela que les plateformes de Bug Bounty ne peuvent plus être de simples outils de remontée. Elles deviennent une brique du vulnerability management lui-même. Elles apportent des méthodes et des outils pour orchestrer les vulnérabilités jusqu'à la remédiation. Elles peuvent également intégrer les contraintes de conformité, comme les délais de correction imposés par certains cadres réglementaires, et guider les équipes dans leur traitement.

Après tout, l’automatisation n’a rien de nouveau dans le monde du hacking. Le même réflexe doit maintenant passer de l’autre côté de la barrière : ce que les hackers automatisent pour trouver des failles, les entreprises doivent l’automatiser pour les traiter. Certaines organisations ont d'ailleurs déjà mis en place une automatisation de leur chaîne de traitement via API : une vulnérabilité validée est directement transmise à la bonne équipe, avec les bonnes informations, puis suivie jusqu’à sa correction. Le vulnerability management devient alors un processus continu, intégré au fonctionnement normal de l’entreprise et non plus une succession d’actions ponctuelles.

C’est probablement le principal effet de l’IA sur le Bug Bounty : elle ne rend pas le modèle obsolète, elle oblige à aller jusqu’au bout de sa logique. Plus la détection s’industrialise, plus la gestion des vulnérabilités doit s’industrialiser à son tour.