L'IA accélère la découverte de vulnérabilités mais ralentit leur correction : le dilemme de sécurité de l'Université Monash et la sortie de crise

Quand l’IA accélère la découverte de vulnérabilités, mais que la correction reste prisonnière d’une « pensée d’hier »

Les équipes de sécurité applicative font face à une contradiction de plus en plus vive : les outils d’IA permettent une découverte de vulnérabilités à un rythme historique, mais l’efficacité des corrections ne suit pas. Luke Bampton, responsable de la sécurité applicative à l’Université Monash, a déclaré dans une interview récente : « Nous n’avons jamais découvert de vulnérabilités aussi rapidement, mais le retard dans la correction persiste. » Cette observation révèle un problème structurel profond de la sécurité applicative à l’ère de l’IA.

L’Université Monash compte aujourd’hui plus de 98 000 étudiants et 20 000 employés, et gère 500 000 adresses IP. En tant qu’établissement mondial d’enseignement supérieur et de recherche, elle soutient plus de 40 équipes de développement, composées aussi bien d’ingénieurs expérimentés que d’étudiants de premier cycle. La stratégie de Bampton n’est pas d’imposer des outils uniformes, mais de garantir des résultats de sécurité cohérents. Cependant, la pénétration rapide de l’IA est en train de rompre l’équilibre établi.

Bampton souligne que les méthodes de travail actuelles restent celles de « l’ère pré-IA » : elles ne sont pas conçues pour « devoir corriger un problème de production dès hier ». L’IA, en tant que « multiplicateur de puissance » des produits numériques, se déploie à grande échelle, mais la sécurité est encore en phase de rattrapage. Il mentionne notamment les récentes avancées comme Mythos d’Anthropic, qui montrent que l’IA générative s’infiltre en amont dans le domaine de la sécurité applicative. Selon lui, la correction pilotée par une IA digne de confiance sera la prochaine étape, mais « pour l’instant, nous en sommes à l’étape où l’IA accélère la livraison, tandis que la sécurité reste à la traîne ».

Menaces sur la chaîne d’approvisionnement et risque de « décharge cognitive »

Outre le décalage entre la découverte et la correction, Bampton met en lumière deux nouveaux axes de risque : les attaques sur la chaîne d’approvisionnement logicielle et la « décharge cognitive » des développeurs.

« Les attaques sur la chaîne d’approvisionnement ont explosé, et les identifiants des développeurs constituent une menace majeure. » Il rappelle qu’à l’ère de l’IA, les mécanismes de scan des vulnérabilités dans les bibliothèques tierces restent indispensables. Cependant, un danger plus insidieux réside dans le fait que, lorsque les développeurs s’appuient excessivement sur les outils de génération de code par IA, leurs compétences propres en matière de sécurité peuvent se détériorer progressivement. Cet effet de « décharge cognitive » a déjà été confirmé par plusieurs études, et Bampton en fait une priorité éducative.

Pour cette raison, l’Université Monash a placé l’éducation au cœur de sa stratégie de sécurité. Bampton estime que les responsables de la sécurité doivent activement établir des canaux de communication avec les développeurs : « Si vous ne savez pas qui je suis ou si vous me trouvez difficile d’accès, je ne peux pas vraiment vous aider. » Il perçoit la résolution des problèmes de sécurité comme un « défi de marketing et de sensibilisation », et non comme un simple problème technique.

L’arrivée du supercalculateur : un nouveau champ de bataille pour les équipes de sécurité

Avec le déploiement du supercalculateur IA MAVERIC à l’Université Monash, ainsi que d’une série de machines de développement IA dédiées, le centre de gravité des équipes de sécurité se déplace également vers l’IA et les modes de travail non déterministes. Bampton indique qu’en tant que professionnel de la sécurité applicative, il se concentre de plus en plus sur la manière d’orienter les développeurs vers une utilisation responsable de cette technologie.« Ce que nous voulons au final, ce sont des codes sécurisés, des codes fonctionnels et des solutions robustes et évolutives. » Il souligne que, malgré l’évolution des stacks techniques, les principes fondamentaux de la sécurité des applications — la communication et la collaboration interpersonnelles — restent valables. Dans un monde où les outils d’IA deviennent de plus en plus automatisés, la confiance et la connexion entre les humains deviennent le « patch de sécurité » le plus crucial.

Tendances à long terme : la sécurité de l’IA nécessite une nouvelle logique organisationnelle

Le cas de Monash n’est pas un cas isolé. D’un point de vue mondial, l’application de l’IA dans le domaine de la sécurité évolue de la « détection assistée » vers la « réparation autonome », mais les processus organisationnels et la culture ont souvent du retard. Les entreprises doivent repenser le cycle de vie de la gestion des vulnérabilités : lorsque l’IA peut détecter une vulnérabilité en quelques minutes, le processus de correction ne devrait plus se faire en semaines ou en mois.

Le défi plus profond réside dans le fait que l’IA elle-même peut devenir une surface d’attaque. Alors que les développeurs s’appuient sur l’IA pour générer du code, les « dépendances fantômes » dans la chaîne d’approvisionnement augmentent de manière exponentielle. Les équipes de sécurité doivent développer de nouvelles capacités d’audit du code généré par l’IA, tout en évitant une avalanche de dette technique.

Bampton reste optimiste quant à l’avenir, mais il insiste sur le fait que les travaux fondamentaux ne doivent pas être négligés. Dans la vague de l’IA, l’université Monash tente de fournir un modèle de gouvernance de la sécurité pour l’enseignement supérieur à travers une combinaison de « connexion interpersonnelle + formation continue + informatique contrôlée ». Cette exploration pourrait préfigurer la direction générale de l’évolution de la sécurité des applications à l’ère post-IA : plus la technologie est automatisée, plus le rôle des humains devient crucial.