L’intelligence artificielle révolutionne la recherche de vulnérabilités dans les principaux systèmes d’exploitation. Linux en est un exemple frappant, avec une augmentation spectaculaire du nombre de CVE et de correctifs, mettant sous pression ses mainteneurs. Cependant, cette situation n’est pas isolée. Microsoft utilise déjà des agents pour détecter des failles dans Windows, l’IA a permis d’identifier des vulnérabilités dans FreeBSD et OpenBSD, et ces techniques s’appliquent également aux logiciels soutenant Android, iOS et macOS. La différence réside dans la façon dont ces découvertes sont publiées et comptabilisées.

Les clés de l’IA pour détecter des vulnérabilités en 20 secondes

• Linux approche des chiffres inédits de CVE par version, avec une analyse automatisée en hausse.
• Microsoft attribue la découverte de 16 vulnérabilités dans Windows à un système d’agents automatisés.
• Des recherches assistées par l’IA ont confirmé des dizaines de failles dans FreeBSD.
• Android combine code ouvert, fuzzing et nouvelles techniques d’analyse automatisée.
• iOS et macOS publient de nombreux problèmes du kernel, mais Apple ne relie pas systématiquement ces découvertes à l’IA.

Il est essentiel d’interpréter ces statistiques avec prudence. Le fait que Linux publie plus de CVE que d’autres systèmes ne signifie pas nécessairement qu’il soit moins sécurisé.

Linux, Windows, Android, macOS et les systèmes BSD ont des modèles de développement, des surfaces d’attaque et des politiques de divulgation différents. Comparer uniquement le nombre de CVE équivaut à comparer le nombre de pannes détectées dans deux véhicules sans connaître le nombre d’inspections effectuées sur chacun.

L’IA permet de multiplier ces inspections.

Linux : le problème de la découverte excessive

Pendant une grande partie de Linux 6.x, le nombre de CVE corrigées par version tournait autour de 500. Par la suite, ce nombre a dépassé 1 000, et Linux 7.2 a franchi la barre des 1 500. Si la tendance continue, Linux 7.3 pourrait atteindre ou dépasser 2 000 vulnérabilités corrigées.

Cependant, il y a deux phénomènes distincts derrière ces chiffres.

D’une part, le modèle actuel de Linux pour l’attribution des identifiants CVE.

D’autre part, l’utilisation d’outils automatisés et d’IA pour revoir en permanence des parties du kernel qui auparavant pouvaient rester longtemps non inspectées.

Un agent peut analyser des pilotes anciens, des chemins d’erreur peu courants, des sous-systèmes peu utilisés ou du code peu modifié.

Ce processus permet de repérer réellement des défauts.

Mais il génère aussi du bruit.

La documentation officielle du kernel met en garde contre des rapports assistés par IA incluant des conséquences de sécurité spéculatives, des reproductions inexistantes ou des explications excessives. Les mainteneurs veulent des problèmes reproductibles, des versions affectées identifiées et, si possible, des correctifs testés et validés.

Ce problème a été particulièrement évident lors du développement de Linux 7.3.

Les responsables réseau Jakub Kicinski et Paolo Abeni ont dû gérer 632 patches pour net et 648 autres pour net-next. Kicinski a estimé qu’un tiers à la moitié de ceux pour net-next semblaient être des corrections mineures, des nettoyages ou des clarifications liées à l’IA.

La machine peut générer une découverte et proposer un patch en quelques secondes. Mais un mainteneur doit encore comprendre, vérifier et décider si cela mérite d’être intégré dans Linux.

C’est ici qu’apparaît le nouveau goulot d’étranglement.

Windows, FreeBSD et Android : aussi utilisent l’IA pour rechercher des failles

Microsoft fait face à cette évolution, mais dans un cadre de développement fermé.

En 2026, la société a présenté MDASH, un système de sécurité basé sur plusieurs modèles d’agents pour analyser du code et détecter des vulnérabilités.

Microsoft affirme que MDASH a contribué à découvrir 16 vulnérabilités inédites dans des composants réseau et d’authentification de Windows, dont quatre critiques, associées à des exécutions de code à distance.

C’est un exemple clé car il montre que le phénomène ne dépend pas uniquement du code ouvert.

Microsoft peut exécuter ces systèmes en interne contre Windows et ne publier que les résultats qu’elle souhaite rendre publics. Linux, lui, développe une majorité de processus visibles.

FreeBSD offre une comparaison plus directe.

Son code source est accessible, et le projet a mis à jour sa procédure pour demander aux chercheurs d’indiquer quand ils utilisent outils automatisés ou IA pour découvrir des vulnérabilités.

Dans une campagne plus large de recherche assistée par l’IA, 34 vulnérabilités ont été confirmées dans FreeBSD, ainsi que sept preuves de concept d’élévation locale de privilèges. La même initiative a permis de découvrir dans OpenBSD un problème de type use-after-free dans la mise en œuvre des sémaphores System V, présent dans le code depuis environ 23 ans.

Android montre une autre réalité.

Une grande partie de sa base technologique, y compris le Android Open Source Project (AOSP), peut être examiné par des chercheurs externes. Google utilise depuis plusieurs années fuzzing et autres analyses automatisées pour identifier des erreurs avant qu’elles n’atteignent les appareils.

L’arrivée de modèles de langage et d’agents de sécurité élargit ces possibilités : il ne s’agit plus seulement d’envoyer des millions d’entrées aléatoires ou semi-structurées à un programme pour provoquer un faille. Une IA peut chercher à comprendre les relations entre fonctions, suivre des flux de données et formuler des hypothèses pour atteindre des conditions vulnérables.

Cependant, il n’existe actuellement pas de chiffre public équivalent permettant de dire que l’IA a trouvé X vulnérabilités sur Android, à comparer aux environ 2 000 CVE qu’une version de Linux pourrait accumuler.

De plus, Android utilise le kernel Linux, ce qui crée une certaine convergence technologique. Une faille dans le kernel peut potentiellement affecter Android, selon la version, la configuration et le code spécifique de chaque appareil.

Système	Utilisation ou preuve publique de l’IA en sécurité	Ce que l’on peut en déduire
Linux	Forte quantité de rapports et de correctifs assistés par IA	La revue humaine commence à limiter la capacité à traiter tous les résultats
Windows	MDASH a aidé à découvrir 16 vulnérabilités	Microsoft intègre des agents dans son analyse interne
FreeBSD	34 vulnérabilités confirmées via IA, +7 preuves de concept	L’IA peut analyser systématiquement des kernels matures
OpenBSD	Découverte d’un bug présent depuis 23 ans	Même le code très examiné peut receler des erreurs anciennes
Android	Usage étendu historique et analyse IA croissante	Son modèle partiellement open facilite l’analyse à grande échelle
macOS	De nombreuses corrections de kernel, sans preuve publique d’IA	Son compteur ne peut pas être comparé directement avec Linux
iOS/iPadOS	De nombreux bugs corrigés, mais Apple ne signale pas systématiquement si une vulnérabilité a été découverte grâce à l’IA	Les chiffres publics concernent les correctifs, pas forcément ceux découverts par IA

Ce tableau illustre aussi pourquoi il faut éviter une classification du système d’exploitation « avec plus de bugs détectés par l’IA ». Les données ne sont pas équivalentes.

iOS et macOS : beaucoup de bugs du kernel, mais une pièce manque

Apple fournit un exemple particulièrement instructif.

Les mises à jour de sécurité d’iOS montrent que la détection de problèmes en composants de bas niveau n’est pas une exclusivité de Linux.

Seuls iOS 26.6 et iPadOS 26.6, sortis le 27 juillet 2026, ont corrigé de nombreux problèmes liés au kernel. Parmi eux, des use-after-free, des corruptions de mémoire, des lectures ou écritures hors limites, des conditions de course, et des bugs pouvant entraîner des crashs ou exposer la mémoire du kernel.

Il y avait même un dépassement de tampon pouvant permettre à une application d’exécuter du code arbitraire avec les privilèges du kernel.

La mise à jour iOS 26.6.1 a par la suite corrigé plusieurs autres problèmes de kernel, notamment une vulnérabilité de type use-after-free exploitable à distance pour provoquer une fermeture du système, ainsi que d’autres erreurs permettant de lire ou de corrompre la mémoire du kernel.

Cela ne signifie pas qu’iOS est particulièrement vulnérable.

Cela met en lumière le problème d’interprétation des CVE : les systèmes modernes contiennent de grandes quantités de code et sont soumis à une recherche constante.

Et une différence notable avec Linux : Apple utilise en partie des informations sur les vulnérabilités découvertes, mais ses avis de sécurité ne précisent pas systématiquement si l’IA a été utilisée. Il ne serait donc pas rigoureux d’accumuler les CVE d’iOS ou macOS en les qualifiant « bugs trouvés par intelligence artificielle ».

Concernant macOS, une situation similaire prévaut. De plus, macOS et iOS partagent des technologies, telles que le kernel XNU, ainsi que diverses frameworks et composants système. Un même type d’erreur peut apparaître dans plusieurs produits Apple ou nécessiter des correctifs liés.

La transparence relative de leur processus interne rend impossible un suivi aussi précis qu’avec Linux.

L’IA modifie le point de congestion de la sécurité

La transformation la plus importante n’est probablement pas que Linux atteigne 2 000 CVE par version ou qu’un agent ait découvert 16 vulnérabilités dans Windows.

Ce qui change, c’est le coût de la recherche de bogues.

Il y a encore quelques années, identifier une vulnérabilité complexe pouvait prendre des jours ou des semaines d’analyse approfondie.

L’automatisation classique a déjà considérablement modifié cette étape. Analyse statique, sanitizers, fuzzers, tout cela permet de dénicher d’énormes quantités de failles depuis des années.

L’IA ajoute une couche supplémentaire.

Les agents peuvent lire du code, formuler des hypothèses, écrire des tests, interpréter des erreurs, modifier un test et le relancer. Si ces agents fonctionnent de façon autonome pendant des heures, leur capacité d’inspection est décuplée.

Cela ne remplace pas le chercheur.

En réalité, l’expérience montre que plus la production de découvertes possibles devient économique, plus il est crucial de prouver leur validité pour éviter un flot de faux positifs.

Ce nouveau processus s’organise souvent en plusieurs couches. Une IA détecte une anomalie, un autre modèle tente de la rejeter, des outils traditionnels exécutent des tests, et un humain ne voit que les résultats qui passent ces filtres.

Linux commence déjà à expérimenter avec des modèles pour réviser certains patches avant leur passage au mainteneur.

Des systèmes propriétaires pourraient faire pareil en interne.

Microsoft peut analyser Windows sans dévoiler chaque candidat rejeté. Apple pourrait employer des outils comparables sur XNU, iOS et macOS sans rendre publics ses résultats. Google, de son côté, dispose d’une longue expérience combinant recherche humaine et automatisation pour Android et autres projets.

Le résultat, c’est que les comptes publics de vulnérabilités pourraient devenir encore moins comparables.

Une plateforme open et très analysée peut sembler pire simplement parce qu’elle découvre, documente et corrige davantage de défauts visibles à tous.

L’arrivée de l’IA renforce cette paradoxe.

Linux révèle en avance sur d’autres systèmes le problème que pose la capacité automatique à rechercher des erreurs, quand celle-ci dépasse la capacité humaine à analyser les résultats. Windows, Android, FreeBSD, OpenBSD, macOS et iOS ne sont pas exempts de cette transformation.

La question ne sera plus seulement : combien de bugs une intelligence artificielle peut-elle découvrir ?

Mais : combien de ces découvertes peuvent être reproduites, évaluées, corrigées sans créer de nouveaux problèmes avant qu’une nouvelle vague automatique ne submerge les mainteneurs ?

Questions fréquentes

L’IA détecte-t-elle plus de vulnérabilités dans Linux que dans Windows ?

Il n’est pas possible de répondre de façon définitive avec les données accessibles. Linux et Windows ont des processus de développement, de divulgation et d’attribution de CVE différents, et Microsoft mène une grande partie de ses recherches en interne.

L’intelligence artificielle a-t-elle réellement trouvé des vulnérabilités sur Windows ?

Oui. Microsoft a rapporté 16 vulnérabilités découvertes avec l’aide de son système MDASH, dont quatre critiques.

L’IA recherche-t-elle aussi des failles dans Android ?

Android, avec ses composants ouverts, a été soumis à du fuzzing et analyse automatisée depuis plusieurs années, et les nouvelles techniques IA élargissent ces méthodes. En revanche, il n’existe pas encore de compteur public directement comparable à Linux.

Des vulnérabilités dans iOS et macOS sont-elles détectées avec l’IA ?

Il est techniquement possible d’utiliser l’IA pour explorer ces systèmes, mais Apple ne mentionne pas systématiquement si une vulnérabilité a été trouvée grâce à elle. Par conséquent, il ne serait pas exact d’ajouter ces CVE à celles attribuées à l’IA ou de les considérer toutes comme des bugs découverts par intelligence artificielle.