Vulnérabilités mineures : la fin de l'acceptation tacite à l'ère de l'IA
Dans la plupart des programmes de gestion des vulnérabilités, une phrase revient comme un réflexe : « c'est un CVSS 5.2, c'est un risque faible, on l'accepte ». Ce raisonnement n'était pas absurde. Il reposait sur une hypothèse implicite mais solide, inscrite jusque dans la mécanique du scoring lui-même : exploiter une faille mineure, ou l'enchaîner avec d'autres pour produire un impact réel, coûtait du temps, des compétences rares et un effort que peu d'attaquants étaient prêts à investir pour un gain incertain.
Cette mécanique mérite qu'on s'y arrête, car c'est elle que l'IA fait vaciller. Le calcul de la criticité d'une vulnérabilité, sa note CVSS, intègre directement la difficulté d'exploitation. Une faille jugée complexe à exploiter, qui exige une authentification préalable ou une interaction de la victime, voit sa note mécaniquement abaissée. Or c'est précisément ce paramètre que l'intelligence artificielle érode : ce qui demandait hier un expert et plusieurs jours devient automatisable. Quand la complexité d'exploitation s'effondre, les notes basses qu'elle justifiait perdent leur fondement.
L'industrialisation de l'IA offensive abaisse ainsi simultanément les deux barrières qui protégeaient les vulnérabilités « basses » : le coût et le délai. Le moment est venu de réévaluer une acceptation des risques qui a été calibrée pour un monde qui n'existe plus.
Le CVSS isolé n'a jamais mesuré le risque réel
Avant même de parler d'IA, il faut désamorcer un malentendu de fond. Le score CVSS mesure une sévérité technique intrinsèque, pas un risque opérationnel. Or les deux divergent fortement.
Les travaux de recherche convergent sur un constat dérangeant : moins d'une vulnérabilité sur cinq classée « critique » ou « haute » par le CVSS est réellement observée en exploitation dans la nature, alors que ces notes élevées sont attribuées à près de 57 % des vulnérabilités publiées. Autrement dit, le système qui structure la priorisation de la plupart des organisations produit massivement du bruit en haut de l'échelle et, symétriquement, un faux sentiment de sécurité en bas.
Car la note basse d'une vulnérabilité ne dit rien de son rôle potentiel dans une attaque. Le CVSS évalue chaque faille en isolation, comme si elle vivait seule dans un système parfaitement segmenté. Les attaquants, eux, ne pensent pas en silo.
Le chaînage requalifie le mineur en critique
La technique qui transforme une poussière de failles anodines en compromission majeure porte un nom, et ce n'est pas un concept marginal : la CISA elle-même la documente. Dans sa directive opérationnelle contraignante BOD 22-01, l'agence américaine décrit le chaining comme l'utilisation de vulnérabilités à faible score pour obtenir un premier point d'appui, puis l'exploitation de failles supplémentaires pour élever les privilèges de façon incrémentale.
Le mécanisme est multiplicatif, pas additif. Une divulgation d'information considérée comme mineure devient de la reconnaissance précieuse. Un open redirect sans gravité apparente devient un maillon d'une chaîne d'hameçonnage. Un contrôle d'accès défaillant noté « medium » devient, combiné à une mauvaise configuration, un contournement d'authentification complet. Chaque faille isolée reste « acceptable » ; leur produit ne l'est plus.
Les exemples ne manquent pas. La compromission d'Okta en 2024 a reposé sur un enchaînement de mauvaises configurations de comptes de service et d'escalade de privilèges. L'incident Mailchimp de 2023 a combiné ingénierie sociale et gestion de session insuffisante. Dans chaque cas, prises séparément, les faiblesses semblaient gérables. Assemblées, elles ont coûté des données, de l'argent et de la confiance.
Le problème : les scanners traditionnels et les revues de sécurité cloisonnées évaluent les vulnérabilités une par une. Ils ne voient pas les chemins d'attaque que produit leur combinaison. La « dette de vulnérabilités mineures » qu'on laisse traîner n'est donc pas un stock inoffensif : c'est un réservoir de maillons.
L'IA effondre le coût et le délai d'exploitation
Voilà où le paysage bascule. Historiquement, le facteur limitant de l'attaque n'était pas l'intention mais la main-d'œuvre : il fallait des chercheurs capables d'analyser une faille, d'écrire un exploit fonctionnel et de l'adapter à une cible. L'IA générative démantèle ce goulot d'étranglement.
Les chiffres sont sans équivoque. Le time to exploit, le délai entre la publication d'une vulnérabilité et sa première exploitation observée, est passé de 745 jours en 2020 à seulement 44 jours en 2025, selon l'étude de l'éditeur de threat intelligence Flashpoint, soit une chute de 94 % en cinq ans.
Du côté de Rapid7, dont le 2026 Global Threat Landscape Report s'appuie sur la télémétrie de ses investigations, le délai médian entre la publication d'une faille et son inscription au catalogue des vulnérabilités activement exploitées (KEV) de la CISA est tombé de 8,5 à 5 jours, tandis que l'exploitation confirmée des vulnérabilités notées 7 à 10 a bondi de 105 % en un an, passant de 71 à 146 cas.
Plus frappant encore, parce que cela documente directement la chute de la difficulté d'exploitation : une équipe de l'Université de l'Illinois (Fang, Bindu, Gupta et Kang) a montré dès 2024 qu'un agent bâti sur GPT-4 pouvait exploiter de façon autonome 87 % d'un jeu de 15 vulnérabilités « one-day » à partir de leur seule description CVE, là où GPT-3.5, huit modèles open source et les scanners ZAP et Metasploit obtenaient 0 %.
Les chercheurs ont chiffré le coût moyen d'un exploit réussi à 8,80 dollars, soit 2,8 fois moins cher que les 25 dollars d'un pentester humain pour la même tâche et, contrairement au travail humain, l'agent est massivement parallélisable. Fait notable : privé de la description de la faille, le taux de réussite de l'agent chutait à 7 %, ce qui confirme que l'IA est aujourd'hui bien plus douée pour exploiter une faille connue que pour en découvrir une nouvelle. C'est exactement le terrain des vulnérabilités déjà publiées et non corrigées.
Le point essentiel, souligné par Rapid7, est qu'il ne s'agit pas d'une montée en sophistication des attaquants, mais d'une accélération : l'IA industrialise la reconnaissance, automatise la prise de décision et comprime le temps entre l'exposition et l'exploitation. La majorité des intrusions réussies continuent de partir de conditions connues et évitables : services exposés, identités mal protégées, équipements de bordure non corrigés. Ce qui a changé, c'est la vitesse à laquelle ces conditions sont découvertes et transformées en armes.
Conséquence directe pour les failles « basses » : le calcul coût/bénéfice de l'attaquant, qui les rendait jusqu'ici peu rentables, vient d'être réécrit. Automatiser la découverte et le chaînage de dizaines de vulnérabilités mineures ne demande plus une équipe de chercheurs ; cela demande un script et un budget dérisoire.
Ce que notre veille observe sur le terrain
Ces tendances macro se vérifient dans le flux que nous consolidons en continu. Sur une fenêtre récente de trente jours, notre dispositif de veille a capté près de 23 000 signalements cyber (incidents, divulgations de vulnérabilités, fuites de données et alertes) ; le flux culmine à 1200 à 1800 signalements les jours les plus chargés. Il ne s'agit pas d'événements majeurs au sens d'attaques d'ampleur nationale, mais du bruit de fond quotidien de la menace : c'est précisément ce volume continu qui révèle où se concentre réellement le risque.
| Indicateur | Valeur |
|---|---|
| Signalements cyber | ~23 000 |
| Volume quotidien (jours chargés) | ~1200–1800 / jour |
| Part des vulnérabilités dans le flux | 53,4 % |
| Vulnérabilités KEV activement exploitées suivies | 1 612 |
| ... dont instrumentalisées en ransomware | 325 |
Deux observations confirment l'enjeu de cet article. D'abord, les vulnérabilités dominent largement le flux : elles concernent 53,4 % des signalements, loin devant les fuites de données et les ransomwares. La gestion de vulnérabilités n'est pas un sujet parmi d'autres ; c'est le centre de gravité de la menace.
Ensuite, la sévérité se concentre hors du sommet de l'échelle. Parmi les vulnérabilités que nous suivons et pour lesquelles un score CVSS v3 est disponible, seules 17,2 % portent la note « critique ». Près de 38 % sont notées « medium » ou « low », précisément cette zone grise que les organisations ont l'habitude de reléguer en bas de pile. C'est là que se cache le réservoir de maillons exploitables.
Enfin, notre miroir du catalogue KEV suit actuellement 1 612 vulnérabilités confirmées comme activement exploitées. Parmi elles, 325 sont déjà instrumentalisées dans des campagnes de ransomware. Et le plus parlant : parmi ces failles exploitées dont nous connaissons le score, à peine plus d'un tiers (34,5 %) portent la note « critique » — près d'une sur dix est même « medium » ou « low ». Ces failles n'ont pas attendu d'être « critiques » sur le papier pour devenir un vecteur d'attaque réel : elles sont devenues dangereuses parce qu'un exploit existe et circule.
Que faire : ajouter de nouveaux indicateurs à l'évaluation
Les équipes sécurité matures évaluent déjà plutôt bien leurs vulnérabilités au regard de leur environnement : elles disposent d'échelles de criticité et d'impact adaptées à leur système d'information, qui contextualisent le score brut. Le problème n'est donc pas l'absence de méthode : c'est que les indicateurs traditionnels, centrés sur la sévérité intrinsèque, ne capturent plus la nouvelle donne : l'effondrement de la difficulté d'exploitation.
L'enjeu est d'enrichir la grille existante avec des signaux d'exploitabilité réelle et dynamique. Concrètement, au-delà de la note CVSS et du contexte interne, intégrer : le statut KEV (la faille est-elle exploitée dans la nature ?), l'existence d'un exploit public ou d'un proof-of-concept en circulation, et le score EPSS, qui estime la probabilité d'exploitation à court terme. Notre propre corpus le confirme : parmi les quelque 12 000 CVE pour lesquelles nous suivons l'EPSS, à peine 8 % concentrent une probabilité d'exploitation à court terme élevée — de quoi réduire drastiquement la pile à traiter en priorité. Ces indicateurs déplacent la décision du « quelle est la gravité théorique ? » vers le « quelle est la probabilité que cette faille soit réellement attaquée, et à quelle vitesse ? ». Une vulnérabilité « medium » exploitée, dotée d'un exploit public et exposée sur Internet peut ainsi légitimement passer devant une « critique » isolée derrière plusieurs couches de segmentation.
Cela implique aussi de raisonner en chemins d'attaque plutôt qu'en failles individuelles : cartographier comment des faiblesses de second rang peuvent s'enchaîner, et déployer une défense en profondeur où la rupture d'un seul maillon suffit à briser la chaîne.
L'IA défensive : un espoir, mais à la traîne
Si l'IA arme les attaquants, elle outille aussi les défenseurs. Une nouvelle génération d'agents promet de détecter et corriger les failles à grande échelle, quelle que soit leur sévérité. Chez Google, l'agent Big Sleep a découvert de façon autonome de vraies vulnérabilités dans Chrome et SQLite, dont certaines sur le point d'être exploitées ; son successeur CodeMender ne se contente pas de trouver les failles, il réécrit le code vulnérable pour les corriger, avec déjà 72 correctifs soumis à des projets open source. Chez Anthropic, Claude Security est entré en bêta publique pour les clients entreprise : il analyse les dépôts de code et propose des correctifs.
Mais c'est précisément là qu'il faut raisonner clairement, car ces outils ne comblent pas l'écart décrit dans cet article : ils le mettent crûment en lumière. Le modèle de pointe d'Anthropic, Claude Mythos, en est l'illustration la plus frappante. En moins de deux mois, Anthropic et la cinquantaine d'organisations de son programme Glasswing ont identifié plus de 10 000 vulnérabilités critiques ou élevées. Et la conclusion qu'en tire Anthropic est exactement la thèse de cet article : la découverte n'est plus le goulot d'étranglement, la correction l'est. Plus de 99 % des failles trouvées par Mythos n'étaient pas encore corrigées au moment de l'annonce, et plusieurs mainteneurs open source ont demandé à l'entreprise de ralentir son rythme de divulgation, faute de pouvoir absorber le volume.
Autrement dit, l'IA défensive accélère la détection bien plus vite que la remédiation. Elle déplace le problème sans le résoudre : nous savons désormais que nous avons des milliers de failles, y compris « mineures », mais nous ne les corrigeons pas plus vite pour autant. Comme le résumait un dirigeant cité par Fortune, trouver le risque plus vite qu'on ne peut le corriger ne rend pas une organisation plus sûre. C'est exactement pourquoi la priorisation par l'exploitabilité réelle, décrite plus haut, devient vitale : quand la liste des failles connues explose, savoir lesquelles corriger en premier n'est plus un confort, c'est la seule stratégie tenable.
La dette à intérêts composés
L'acceptation des risques low et medium était un arbitrage rationnel dans un monde où exploiter ces failles coûtait cher. Ce monde a changé. Quand le coût d'exploitation se chiffre en quelques dollars et le délai en quelques jours, le stock de vulnérabilités « mineures » qu'une organisation laisse vivre cesse d'être un risque dormant pour devenir une dette à intérêts composés.
La question n'est plus « cette faille est-elle critique ? » mais « est-elle atteignable, exploitable, et utile à un attaquant qui dispose désormais d'outils pour l'exploiter à coût marginal ? ». Pour beaucoup de failles aujourd'hui classées « acceptables », la réponse honnête est : oui.
Sources
- Flashpoint, N-Day Vulnerability Trends (time to exploit 745 à 44 jours, -94 % en 5 ans) : flashpoint.io
- Rapid7, 2026 Global Threat Landscape Report (délai médian KEV 8,5 à 5 jours ; +105 % d'exploitation des CVE 7-10, 71 à 146) : rapid7.com
- R. Fang, R. Bindu, A. Gupta, D. Kang (UIUC), LLM Agents can Autonomously Exploit One-day Vulnerabilities, arXiv:2404.08144 (87 % de réussite ; 8,80 $/exploit ; 7 % sans description CVE) : arxiv.org
- CISA, Directive BOD 22-01 (définition du chaining) : cisa.gov
- arXiv:2506.01220, Vulnerability Management Chaining (limites du CVSS : <20 % des high/critical exploités, 57 % des CVE notées élevées)
- Indusface, AppSecure, Chainguard : analyses sur le chaînage de vulnérabilités low/medium (cas Okta 2024, Mailchimp 2023)
- Anthropic, Project Glasswing / Claude Mythos Preview (plus de 10 000 vulnérabilités critiques/élevées ; >99 % non corrigées) : anthropic.com/glasswing
- Google DeepMind, CodeMender (72 correctifs open source ; réécriture de code) : deepmind.google ; Big Sleep (découverte autonome de failles Chrome/SQLite)
- Fortune, Security Boulevard, Help Net Security : couverture de l'écart découverte/correction (avril-mai 2026)
- Données primaires : données LuksMentis (~23 000 signalements cyber sur 30 jours ; miroir du catalogue KEV : 1 612 CVE activement exploitées dont 325 liées au ransomware ; 2 637 CVE dotées d'un score CVSS v3 ; EPSS suivi sur ~12 000 CVE)