Même si les défenseurs bénéficient d’une longueur d’avance, ils sont confrontés à un autre désavantage. Les attaquants ne doivent réussir qu’une seule fois. « Mais, en tant que défenseurs, nous devons nous assurer que chaque vulnérabilité est couverte », explique Schwartz.
L’IA aide les défenseurs à trouver ces vulnérabilités en premier. Auparavant, tester les bugs suspectés pouvait prendre des semaines, obligeant les chercheurs à prioriser ceux qui étaient les plus prometteurs. Mais désormais, les agents d’IA permettent aux chercheurs de tester plusieurs idées à la fois, explique Tzadik. « Ce sont des mois de recherche traditionnelle condensés en quelques jours, quelques heures ou quelques jours, en fait. »
Mais même avec l’IA, le processus demande beaucoup de travail. Après que l’agent ait aidé Wiz à découvrir la vulnérabilité PHP, il ne pouvait toujours pas décrire le fonctionnement du bug, explique Tzadik. Ses explications étaient « tout simplement bâclées ». Lui et ses collègues ont passé des jours à démêler la cause d’un bug et finalement à le reproduire.
Le coût est une autre contrainte. Joshua Saxe, ancien responsable technique de la sécurité de l’IA chez Meta, qui a quitté en février pour cofonder Abundance Security, affirme qu’il travaille avec une organisation qui a dépensé environ 1 million de dollars en utilisant Mythos d’Anthropic pour identifier les bogues, ajoutant que d’autres bogues subsistent.
