Cisco parie que les entreprises verront l’intérêt de laisser l’IA identifier rapidement la poignée de fichiers méritant d’être étudiés par les chercheurs en vulnérabilités logicielles humaines.
Cisco a révélé une famille de modèles d’IA ouverts appelés Antares qui, selon lui, peuvent aider les équipes de sécurité à isoler les parties potentiellement vulnérables d’un référentiel de logiciels avant le début d’une enquête plus approfondie.
Plutôt que de détecter un CVE spécifique ou de générer un correctif, ces modèles recherchent dans une base de code en utilisant uniquement une description Common Weakness Enumeration (CWE) et renvoient les fichiers les plus susceptibles de contenir cette classe de vulnérabilité.
« Son objectif est de réduire une grande base de code à un ensemble ciblé de fichiers sur lesquels un professionnel de la sécurité ou un flux de travail de sécurité en aval devrait enquêter », a déclaré Supriti Vijay, chercheur en IA chez Cisco, par courrier électronique. « L’objectif n’est pas de remplacer le jugement d’un ingénieur en sécurité ou de l’envoyer à la chasse aux oies sauvages, mais de réduire la fatigue et la charge de travail en l’aidant à trier un problème plus tôt et à concentrer son enquête sur les parties les plus pertinentes de la base de code.
La famille Antares se compose de modèles avec 350 millions, 1 milliard et 3 milliards de paramètres formés spécifiquement pour la localisation des vulnérabilités à l’échelle du référentiel.
La société a déclaré que son plus grand modèle se rapproche des performances de GPT-5.5 sur son benchmark de localisation de vulnérabilité interne (Vloc) tout en restant suffisamment petit pour un déploiement local à faible coût.
Un assistant de recherche, pas un détecteur de vulnérabilité
Cisco prend soin de définir ce qu’est Antares et ce qu’il n’est pas.
« Antares produit une liste classée des fichiers sources susceptibles de contenir une vulnérabilité pertinente, ainsi que la trace d’exploration du terminal qui a conduit à ce résultat », a écrit Amin Karbasi, scientifique en chef de l’IA de la Fondation Cisco, dans un article de blog, ajoutant que les modèles ne sont pas destinés à remplacer la chaîne d’outils de sécurité des applications plus large : des analystes humains ou des outils de sécurité en aval seront toujours nécessaires pour confirmer l’exploitabilité, identifier les lignes de code vulnérables, évaluer la gravité et générer des correctifs.
Antares diffère des plateformes d’analyse statique classiques telles que Semgrep ou CodeQL, qui s’appuient principalement sur des règles ou requêtes prédéfinies. Cisco décrit plutôt Antares comme un agent d’exploration fondé sur des preuves qui adapte sa recherche à mesure qu’elle parcourt le référentiel.
L’argument de Cisco est que les grands référentiels contiennent souvent des milliers de fichiers, ce qui rend les révisions manuelles exhaustives et irréalistes. En réduisant l’espace de recherche à une liste restreinte gérable, l’entreprise espère réduire la fatigue des enquêtes sans remplacer le jugement humain.
Revendications de spécialisation à grande échelle
Cisco fait également une déclaration sur la manière dont les modèles de cybersécurité devraient évoluer.
Au lieu de rechercher des modèles fondamentaux plus vastes, Cisco a fait valoir que les modèles spécialisés et entraînés aux tâches peuvent surpasser des alternatives beaucoup plus larges et ouvertes pour la localisation des vulnérabilités. Dans son évaluation Antares-3B, le plus grand modèle destiné aux déploiements mono-GPU, a produit des résultats comparables à GPT-5.5 tout en surpassant plusieurs modèles ouverts considérablement plus grands de Google, OpenAI et Meta.
La famille comprend également l’Antares-350M pour les environnements aux ressources limitées et l’Antares-1B pour les ordinateurs portables et les postes de travail, que Cisco a mis à disposition sous forme de modèles ouverts sur Hugging Face.
L’interface de ligne de commande (CLI) des modèles prend en charge les enquêtes CWE ciblées, les analyses à l’échelle du référentiel, la sortie SARIF et l’inférence locale, ce qui, selon Cisco, permet aux organisations de conserver le code propriétaire dans leur propre limite de confiance.
Cependant, étant donné qu’Antares identifie les dossiers candidats plutôt que les vulnérabilités confirmées, les organisations devront toujours comprendre à quelle fréquence ces recherches à l’échelle du référentiel doivent être exécutées, dans quelle mesure elles améliorent les flux de travail de tri existants et si la réduction des efforts d’investigation se traduit finalement par des avantages mesurables en termes de sécurité ou de coûts.
