Peu de vulnérabilités découvertes par l'IA sont réellement exploitées, selon l'analyse de VulnCheck

VulnCheck a compté combien de fois les vulnérabilités de sécurité découvertes par l'IA sont réellement exploitées. Patrick Garrity rapporte qu'au premier semestre 2026, il y a eu 1 061 vulnérabilités issues de la recherche assistée par l'IA, dont 14 (1,3 %) ont fait l'objet d'attaques confirmées, soit un taux comparable à celui de toutes les autres vulnérabilités. Pour le projet Glasswing d'Anthropic, plus de 23 000 découvertes ont conduit à 126 entrées publiées et à une seule attaque confirmée. Malgré cela, l'exploitation est plus rapide : le délai moyen entre la publication et la première attaque confirmée est désormais de 80 jours, contre 120 l'année précédente. Environ 200 vulnérabilités ont été attaquées dans le mois suivant leur publication, alors même que le nombre de vulnérabilités signalées est nettement plus élevé qu'auparavant. Les systèmes de gestion de contenu web sont les plus touchés, représentant un tiers des cas. Garrity cite également les produits d'IA eux-mêmes comme nouvelle surface d'attaque, notamment les outils de construction de modèles et les interfaces pour agents. Le simple nombre de découvertes en dit peu sur le risque réel.