L’intelligence artificielle ne se contente plus de changer la façon dont on développe les applications ou automatise les tâches : elle transforme aussi la manière dont on détecte et gère la sécurité des logiciels. Gartner place désormais la découverte de vulnérabilités par IA en tête des risques émergents pour le deuxième trimestre 2026, devant l’IA agentique, les problèmes d’intégrité de l’information ou le manque de préparation face à l’IA.

L’essentiel : Gartner place pour la première fois la découverte de vulnérabilités via IA en tête des risques émergents, sur la base des réponses de 316 cadres supérieurs et responsables des risques. L’IA agentique grimpe à la troisième place. Le risque apparaît quand la détection des failles progresse plus vite que leur validation et leur correction, ce qui pousse les DSI vers une gestion des vulnérabilités plus continue et automatisée.

Ce constat parle directement aux responsables systèmes, sécurité et développement, car il signale un changement d’échelle. Les outils d’IA analysent déjà de grands volumes de code, repèrent des schémas vulnérables et automatisent une partie du travail qui demandait auparavant des heures d’expertise humaine, ce qui profite aussi aux équipes défensives. Le problème surgit quand la rapidité de détection dépasse la capacité des organisations à vérifier, prioriser et déployer les correctifs nécessaires.

Le vrai goulot d’étranglement : la correction, pas la détection

Gartner a bâti son rapport sur une enquête menée en avril et mai 2026 auprès de 316 responsables des risques et cadres supérieurs de secteurs et régions variés. Le classement obtenu reste fortement marqué par la technologie.

Ce premier rang ne signifie pas qu’un modèle d’IA peut détecter automatiquement une vulnérabilité critique et la transformer aussitôt en attaque. Le processus reste structuré en plusieurs étapes : repérer un comportement potentiellement vulnérable, démontrer l’existence du problème, identifier les versions touchées, étudier les scénarios d’exploitation possibles et élaborer une correction. Ce qui change, c’est que certaines de ces étapes commencent à s’automatiser à une échelle difficile à atteindre par la seule analyse humaine.

Google a déjà documenté l’usage de systèmes d’IA pour localiser des vulnérabilités dans des projets logiciels, via des initiatives comme Big Sleep et OSS-Fuzz, et développe CodeMender, un outil qui mobilise des agents IA pour aider à réparer les failles trouvées. Une approche proche de celle de Palo Alto Networks, qui utilise l’IA pour protéger les failles avant même leur correction.

Cela peut sembler paradoxal : de meilleurs outils pour dénicher des failles peuvent d’abord faire grimper le nombre de vulnérabilités connues. Du point de vue d’un administrateur système, ce n’est pourtant pas une mauvaise nouvelle en soi. Découvrir et corriger une faille avant qu’elle ne soit exploitée vaut mieux que la laisser dormir des années dans une bibliothèque utilisée par des milliers d’applications. Le vrai problème apparaît seulement quand la capacité à découvrir dépasse celle à corriger.

Des cycles de correctifs vers une sécurité continue

Pendant des années, la plupart des entreprises ont organisé la gestion des vulnérabilités autour de processus prévisibles : analyses périodiques, classement des risques, tests, fenêtres de maintenance et déploiement de mises à jour. L’IA met ce modèle sous tension. Si les agents se mettent à analyser en continu dépôts, dépendances, firmwares et applications, le volume de détections potentielles peut exploser, et la sécurité devra alors prioriser ce qui représente un vrai risque.

C’est là que la priorisation devient cruciale. Une vulnérabilité critique dans une bibliothèque installée sur des centaines de serveurs peut rester inexploitable dans une configuration donnée, alors qu’un problème jugé moins grave sur un service exposé directement sur Internet peut exiger une intervention immédiate. Le score de sévérité garde son utilité, mais doit se combiner avec l’exposition réelle, la configuration, les attaques connues et la criticité des actifs concernés — une logique qui rejoint la démarche de Forescout pour cartographier les actifs cachés avant que l’IA n’accélère les attaques.

Gartner insiste sur la nécessité d’accélérer les stratégies de réponse, d’améliorer la remédiation et de revoir l’évaluation du risque dans un contexte de détection continue. Pour les départements IT, cela suppose une intégration bien plus étroite entre gestion des actifs, inventaire logiciel, analyse des vulnérabilités, développement et automatisation des patchs. Connaître précisément le logiciel présent dans l’infrastructure devient tout aussi essentiel : découvrir une vulnérabilité ne sert à pas grand-chose si l’organisation met des jours à savoir quels serveurs utilisent la bibliothèque concernée.

L’IA sert aussi la défense

La même technologie qui inquiète les responsables des risques peut aussi renforcer la sécurité. Les agents IA aident déjà à analyser du code, vérifier des dépendances, repérer des configurations à risque, générer des tests et proposer des corrections, ce qui ouvre la voie à une évolution simultanée de la détection et de la remédiation. L’objectif technique pourrait devenir un cycle entièrement automatisé : détecter, valider, prioriser, corriger, tester, déployer.

L’intervention humaine reste indispensable, surtout sur les infrastructures critiques ou les applications d’entreprise, pour vérifier qu’un patch ne provoque pas d’effets secondaires indésirables. Mettre à jour une bibliothèque dans une application moderne n’a rien à voir avec modifier un logiciel industriel, un système legacy ou une plateforme qui doit tourner en permanence. Le logiciel legacy reste d’ailleurs un vrai casse-tête : beaucoup d’entreprises font encore tourner des applications anciennes qui dépendent de bibliothèques obsolètes, de versions non supportées ou de composants difficiles à toucher. Découvrir automatiquement plus de vulnérabilités dans ces environnements ne facilite pas leur résolution. Quand un patch immédiat n’est pas possible, la segmentation réseau, l’isolation de certains services, le moindre privilège, le contrôle du trafic et la réduction de la surface d’attaque prennent alors le relais.

L’IA agentique, autre risque en forte hausse

Le rapport signale aussi la montée de l’IA agentique, de la quatrième à la troisième position des risques émergents. Là encore, la perspective change : les agents utilisent des outils, interagissent avec des applications, accèdent à des bases de données et exécutent des actions. Plus leur autonomie augmente, plus les permissions et les mécanismes de contrôle pèsent lourd, un enjeu que Portnox tente d’adresser avec un interrupteur capable d’isoler un agent d’IA devenu dangereux.

Pour les équipes de sécurité, la question devient : que peut faire une identité donnée dans l’infrastructure ? Un agent avec des droits excessifs peut poser problème, que ce soit à cause d’une attaque, d’une instruction mal formulée ou d’une configuration inadaptée. Les principes de base restent valables : privilèges minimaux, séparation des fonctions, journalisation, identifiants temporaires et surveillance des opérations sensibles. Ce qui change, c’est que les identités ne désignent plus seulement des personnes, services ou applications, mais aussi des agents capables d’exécuter des séquences entières d’opérations, un mouvement de fond que confirme l’étude Google Cloud selon laquelle 83 % des entreprises jugent leur infrastructure encore insuffisante pour l’IA agentique.

Gartner place l’intégrité de l’information en quatrième position et le manque de préparation face à l’IA en cinquième. Trois des cinq risques principaux sont donc directement liés à cette technologie. Pour les directions informatiques, le message est moins futuriste qu’il n’y paraît : l’IA accélère des processus déjà en place, détection d’erreurs, analyse logicielle, prise de décision, exécution d’actions, et l’infrastructure doit renforcer ses mécanismes de contrôle au même rythme.

Questions fréquentes

L’IA peut-elle détecter automatiquement des vulnérabilités logicielles ?

Des systèmes existent déjà pour repérer des vulnérabilités et comportements potentiellement dangereux dans le code. Détecter une faille n’implique pourtant pas qu’elle soit exploitable, et sa validation reste indispensable.

Pourquoi Gartner considère-t-il ce phénomène comme un risque prioritaire ?

Parce que la capacité automatisée à découvrir des vulnérabilités peut dépasser la rapidité des entreprises à les analyser et les corriger.

L’IA peut-elle aussi servir à corriger ces vulnérabilités ?

Oui. Des projets comme CodeMender de Google utilisent déjà des agents IA pour analyser du code, proposer des correctifs et valider des corrections.

Quelles implications concrètes pour les équipes IT ?

Un inventaire logiciel précis, une meilleure connaissance des dépendances, une priorisation selon l’exposition réelle et une réduction du délai entre détection et déploiement des correctifs.