Cette décision est un signal clair que de puissants modèles d’IA font des percées dans le véritable travail de sécurité logicielle.
Microsoft prévoit d’intégrer le modèle Mythos AI d’Anthropic dans son cycle de vie de développement de sécurité, une décision qui suggère que l’IA générative avancée commence à jouer un rôle direct dans la façon dont les principaux fournisseurs de logiciels identifient les vulnérabilités et renforcent le code contre les attaques.
La société a déclaré qu’elle utiliserait Mythos Preview, ainsi que d’autres modèles avancés, dans le cadre d’une initiative plus large visant à renforcer le codage sécurisé et la détection des vulnérabilités plus tôt dans le processus de développement logiciel.
Cette annonce intervient alors que Mythos d’Anthropic renforce les inquiétudes selon lesquelles les modèles d’IA avancés pourraient réduire considérablement le délai entre la découverte d’une faille logicielle et son exploitation. Les analystes affirment que Mythos marque une avancée notable dans la recherche sur les vulnérabilités basée sur l’IA, avec la capacité de découvrir des milliers de failles graves dans les principaux systèmes d’exploitation et navigateurs.
OpenAI est également entré dans l’espace avec GPT-5.4-Cyber, une version de son modèle phare conçue pour les travaux défensifs de cybersécurité. Keith Prabhu, fondateur et PDG de Confidis, a déclaré qu’un futur modèle OpenAI, qu’il a appelé « Spud », pourrait devenir un rival encore plus puissant.
Cette décision va au-delà de la propre organisation d’ingénierie de Microsoft. Pour les responsables de la sécurité des entreprises, cela constitue un signe clair que les modèles d’IA de pointe commencent à passer d’une utilisation expérimentale à des flux de travail de cybersécurité de base.
Cela pourrait changer la façon dont les éditeurs de logiciels créent leurs produits et la façon dont les défenseurs perçoivent les risques et les avantages liés à l’utilisation des mêmes outils d’IA que les attaquants peuvent également exploiter.
« Cela marque un tournant décisif dans le processus du cycle de vie du développement de logiciels sécurisés », a déclaré Prabhu. « Alors que les outils précédents n’étaient capables que d’analyser le code statique à la recherche de vulnérabilités, avec l’IA, il existe une possibilité d’un modèle d’apprentissage dynamique qui peut également effectuer des tests de vulnérabilité dynamiques et même des tests d’intrusion en temps réel. »
Au fil du temps, a déclaré Prabhu, la pression en faveur de l’adoption d’outils de sécurité assistés par l’IA risque de s’étendre au-delà des plus grands fournisseurs de logiciels.
Pourquoi la décision de Microsoft est importante
Neil Shah, vice-président de la recherche chez Counterpoint Research, a déclaré que plus de 95 % des entreprises Fortune 500 utilisent Microsoft Azure dans une certaine mesure, tandis qu’Azure AI et la suite Copilot sont implantés dans environ 65 % de ces entreprises. Des millions d’entreprises s’appuient également sur plusieurs produits et services cloud Microsoft.
« L’utilisation de Mythos dans le cycle de vie de développement de la sécurité de Microsoft pourrait contribuer à renforcer et à durcir des produits tels que Windows, Azure, Microsoft 365 et les outils de développement », a déclaré Shah. « Chaque entreprise exécutant ces produits pourrait bénéficier de l’amélioration de la sécurité sans avoir besoin elle-même d’un accès direct à Mythos. »
Prabhu a noté que Microsoft a déclaré avoir évalué Mythos à l’aide de son benchmark open source pour des tâches d’ingénierie de détection réelles, avec des résultats montrant des améliorations substantielles par rapport aux modèles précédents.
« Une telle affirmation venant de Microsoft suggère que ces nouveaux modèles d’IA sont de mieux en mieux capables d’identifier les failles exploitables que les générations précédentes », a ajouté Prabhu. « Cependant, comme pour tout outil d’IA, la force de l’outil réside dans sa capacité à analyser rapidement le code sur la base de l’apprentissage antérieur. Il est possible qu’il puisse passer à côté de nouveaux types de vulnérabilités que seul un « humain dans le circuit » pourrait identifier. «
