⚡️ MISE À JOUR IA : un benchmark de cybersécurité qui avait mis en échec tous les modèles d’IA il y a un an vient d’être percé à jour, et les implications vont dans les deux sens.
CyberGym teste une chose précise : est-ce qu’un agent IA peut lire une description de vulnérabilité et une base de code réelle, puis générer un code de preuve de concept fonctionnel qui déclenche effectivement le bug ? Ne pas parler de sécurité. En faire.
Le benchmark s’appuie sur 1 507 vulnérabilités historiques réelles issues de 188 projets logiciels, sans exemples jouets, sans cas de test simplifiés.
Quand les chercheurs ont d’abord lancé ce benchmark, même la meilleure combinaison IA et agent disponible n’a réussi à le casser qu’environ 20 % du temps. Les chercheurs en sécurité l’ont pris comme un gage rassurant : l’exploitation autonome restait encore largement hors de portée.
Cette assurance a disparu. Les modèles spécialisés les plus récents affichent désormais des taux de réussite de 80 % et plus sur le même benchmark, soit un bond d’environ quatre fois en à peine un an.
C’est plus sérieux que de repérer des bugs connus par simple reconnaissance de motifs. Dans des tests ouverts, sans aucune connaissance préalable de ce qui est cassé, ces mêmes configurations d’agents ont découvert de manière indépendante des vulnérabilités zero-day confirmées : des failles de sécurité que personne ne connaissait jusqu’à ce que l’IA les trouve.
C’est la partie inconfortable de ce graphique. La même capacité qui permet à l’agent IA d’un défenseur de trouver et de corriger une faille avant que les attaquants ne le fassent est aussi la capacité qui permet à l’agent IA d’un attaquant de trouver cette faille en premier.
Offense et défense se livrent désormais une course sur une infrastructure identique.
#AI #Cybersecurity #GPT5 #Claude #DeepSeek
CyberGym teste une chose précise : est-ce qu’un agent IA peut lire une description de vulnérabilité et une base de code réelle, puis générer un code de preuve de concept fonctionnel qui déclenche effectivement le bug ? Ne pas parler de sécurité. En faire.
Le benchmark s’appuie sur 1 507 vulnérabilités historiques réelles issues de 188 projets logiciels, sans exemples jouets, sans cas de test simplifiés.
Quand les chercheurs ont d’abord lancé ce benchmark, même la meilleure combinaison IA et agent disponible n’a réussi à le casser qu’environ 20 % du temps. Les chercheurs en sécurité l’ont pris comme un gage rassurant : l’exploitation autonome restait encore largement hors de portée.
Cette assurance a disparu. Les modèles spécialisés les plus récents affichent désormais des taux de réussite de 80 % et plus sur le même benchmark, soit un bond d’environ quatre fois en à peine un an.
C’est plus sérieux que de repérer des bugs connus par simple reconnaissance de motifs. Dans des tests ouverts, sans aucune connaissance préalable de ce qui est cassé, ces mêmes configurations d’agents ont découvert de manière indépendante des vulnérabilités zero-day confirmées : des failles de sécurité que personne ne connaissait jusqu’à ce que l’IA les trouve.
C’est la partie inconfortable de ce graphique. La même capacité qui permet à l’agent IA d’un défenseur de trouver et de corriger une faille avant que les attaquants ne le fassent est aussi la capacité qui permet à l’agent IA d’un attaquant de trouver cette faille en premier.
Offense et défense se livrent désormais une course sur une infrastructure identique.
#AI #Cybersecurity #GPT5 #Claude #DeepSeek