Les équipes de défense ont longtemps pensé qu’un bon programme de correctifs permettait de reprendre la main. Pourtant, les tendances observées récemment montrent une surge de vulnérabilités qui déborde le modèle traditionnel : trop de failles nouvelles, un passage à l’exploitation plus rapide, et des systèmes défensifs qui ne voient pas toujours assez vite ce qui est réellement atteignable.
Dans son dernier rapport, Rapid7 décrit une période particulièrement stressante pour la gestion de l’exposition. L’analyse insiste sur un point : ce n’est pas seulement une question de calendrier de patch. Le facteur décisif est la compression induite par l’intelligence artificielle, qui accélère à la fois la découverte et la transformation de l’information en accès opérationnel.
Pourquoi la surge de vulnérabilités change la donne
Les chiffres mis en avant par Rapid7 soulignent l’ampleur du phénomène. Entre le deuxième trimestre 2025 et celui de 2026, le nombre de vulnérabilités de niveau élevé à critique a doublé. En parallèle, la progression des vulnérabilités nouvellement exploitées est nettement positive, mais le contraste principal se situe entre la quantité de failles annoncées et celle qui devient réellement exploitable dans des environnements protégés.
Autrement dit, le volume augmente plus vite que ce que les équipes peuvent absorber. Et même lorsqu’une faille existe, son exploitation dépend du contexte : présence de protections, segmentation, règles réseau, et autres barrières qui peuvent empêcher l’attaquant d’aller au bout de son scénario.
L’IA comprime le temps entre découverte et exploitation
Le cœur du problème, selon l’analyse, est l’effet de compression. Avec l’IA, les cycles ne se contentent plus d’accélérer la recherche de failles : ils peuvent aussi accélérer la préparation de preuves de concept et la capacité à tester l’exploitabilité plus tôt.
Cette dynamique ne signifie pas que toutes les failles annoncées deviennent exploitables instantanément. Mais elle réduit fortement la marge de manœuvre. Si les attaquants progressent à une vitesse supérieure, les équipes qui attendent “le prochain cycle de patch” se retrouvent en retard sur la réalité du terrain.
Le décalage entre failles publiées et triage possible
Rapid7 pointe ce qu’elle décrit comme un élargissement de l’écart entre ce qui est divulgué et ce que chaque équipe peut traiter concrètement. Plusieurs raisons s’additionnent : la fréquence des nouvelles applications, l’évolution continue des environnements, et surtout la difficulté à maintenir une visibilité fiable sur ce qui est réellement exposé.
Dans beaucoup d’organisations, l’architecture moderne implique désormais des interactions via des API et une chaîne d’approvisionnement multiple. Résultat : comprendre “où” et “comment” une attaque peut se matérialiser devient plus complexe qu’avant, alors que l’attaquant n’a besoin que d’un chemin réussi.
Attaque contre défense : l’asymétrie s’intensifie
Cette asymétrie est souvent résumée ainsi : l’attaquant n’a besoin que d’une faiblesse, tandis que la défense doit couvrir de nombreux points. Avec la diversification des surfaces d’attaque (terminaux, serveurs, pare-feu, services externes, dépendances), la tâche de protection et de supervision devient plus lourde à maintenir et plus difficile à prioriser.
Des vulnérabilités “Holy Grail” plus nombreuses
Un autre élément met les équipes sous pression : la hausse des vulnérabilités dites “Holy Grail”. Dans ce contexte, il s’agit de failles qui ne requièrent ni authentification ni interaction utilisateur spécifique pour être exploitées.
Selon l’analyse citée, ces vulnérabilités progressent fortement d’une année sur l’autre et pèsent davantage dans le total des failles effectivement exploitées. Le message pour les décideurs et les équipes techniques est clair : lorsqu’une faille contourne l’authentification et réduit les frictions d’exploitation, le risque opérationnel grimpe rapidement.
Vibe coding et réutilisation de schémas vulnérables
La surge de vulnérabilités ne provient pas uniquement d’une meilleure capacité à scanner. L’analyse évoque aussi un phénomène de type vibe coding : en pratique, l’IA peut produire du code à partir de modèles et d’exemples existants.
Si ces modèles contiennent déjà des erreurs connues, de nouveaux bouts de code peuvent hériter des mêmes faiblesses. Ainsi, même des applications “récentes” peuvent introduire (ou réintroduire) les mêmes vulnérabilités, qui seront ensuite identifiées plus vite par des scans automatisés.
Activité étatique persistante et monétisation criminelle
Rapid7 ne se limite pas aux aspects purement techniques. Le rapport met également en avant des comportements persistants liés à des acteurs étatiques et à des groupes criminels.
Le document évoque une activité soutenue associée à plusieurs pays, avec des priorités géographiques et politiques distinctes. Toutefois, l’analyse rappelle un point important : en termes d’exploitation, les capacités ne sont pas forcément “plus avancées” que celles observées chez des groupes motivés financièrement. La différence réside surtout dans les motivations et les ressources disponibles, ce qui influence la stratégie (espionnage à long terme, sabotage potentiel, etc.).
Côté criminel, la logique est différente : obtenir un accès, monétiser rapidement, puis se retirer. Dans les deux cas, le résultat pour les défenseurs peut être le même—une exploitation rapide si le réseau offre une route atteignable.
Rançongiciels : le ciblage reste très concentré
La monétisation par rançongiciel demeure un levier central. Les données citées montrent que les victimes restent fortement concentrées dans certaines zones géographiques, avec un écart numérique marqué entre le principal pays ciblé et le deuxième.
Le rapport mentionne aussi des secteurs fréquemment touchés, dont des services aux entreprises, la santé, l’industrie, la technologie et la construction. Ces tendances comptent car elles influencent la probabilité de voir certaines familles d’attaques réapparaître et s’adapter à des environnements similaires.
Le patching seul ne suffit plus : passer de la réaction à l’anticipation
Quand le temps entre divulgation et exploitation se réduit, la défense ne peut plus reposer exclusivement sur une approche réactive. L’analyse présentée par Rapid7 insiste sur l’idée que la solution ne se trouve pas dans “l’attente du prochain cycle” : l’enjeu est d’agir en amont, en réduisant l’exposition avant que l’exploit ne soit crédible.
Le contraste entre le nombre de vulnérabilités découvertes et celui des vulnérabilités effectivement exploitées est présenté comme un signal positif : lorsque les barrières existent et que la surface réellement accessible est réduite, le risque baisse, même si les annonces continuent d’augmenter.
Priorité à l’exposition réseau, pas uniquement au score
Un changement de mentalité ressort nettement : se focaliser seulement sur la sévérité (par exemple via des scores) n’est plus suffisant. Les responsables de Rapid7 indiquent que, pour les nouvelles vulnérabilités, il faut plutôt regarder l’exposition—c’est-à-dire où la vulnérabilité se trouve dans le réseau, et ce que l’impact pourrait produire si un hôte était compromis.
En d’autres termes, l’objectif n’est pas de tout corriger “au même moment”, mais de comprendre ce qui peut être atteint par un attaquant et de réduire les chemins d’accès. Cette approche transforme la gestion des vulnérabilités en une discipline orientée risques concrets, plus proche de la réalité opérationnelle.
Comment rendre cette approche praticable
Sans entrer dans des procédures spécifiques, l’idée centrale est de relier la vulnérabilité à la cartographie du risque : quels systèmes sont joignables, quelles routes réseau existent, quelles dépendances et quelles interactions peuvent élargir la surface d’attaque. Ensuite, les équipes peuvent définir des priorités basées sur la probabilité d’accès et la gravité du scénario correspondant.
Cette méthode aide aussi à éviter une confusion fréquente : croire qu’un grand nombre de correctifs publiés équivaut automatiquement à un risque équivalent. La réalité est plus nuancée : tout dépend de la manière dont l’environnement est exposé et de la présence (ou non) de mécanismes de défense qui empêchent l’exploitation.
Conclusion : viser la réduction d’exposition pour survivre à la compression
La surge de vulnérabilités décrite dans l’analyse n’est pas un phénomène isolé : elle s’inscrit dans une trajectoire portée par l’IA, par l’industrialisation des capacités d’attaque et par l’accélération des cycles logiciels. Dans ce contexte, le patching reste nécessaire, mais il ne constitue plus une stratégie suffisante à lui seul.
La priorité devient la réduction d’exposition : comprendre ce qui est atteignable, réduire les routes d’attaque, et corriger en tenant compte du risque réel plutôt que du seul niveau de sévérité. C’est à cette condition que la défense peut reprendre de l’avance, même lorsque les annonces continuent d’affluer et que l’exploitation se rapproche.
Source: https://www.securityweek.com/ai-driven-vulnerability-surge-breaks-the-traditional-patching-model/
