Les forestiers pratiquent depuis longtemps le brûlage dirigé : allumer soi-même, hors saison et sous surveillance, un feu de faible intensité qui consume la litière avant que la foudre ne s’en charge au pire moment. La méthode souffre du défaut commun à tout contre-feu, celui d’échapper parfois à ceux qui l’ont allumé. Le savoir-faire ne consiste pas à mettre le feu, mais à décider jusqu’où le laisser courir.
La sécurité informatique a bâti la même économie du risque. Héritière des exercices militaires, elle fait attaquer une équipe rouge pour révéler ce qu’une équipe bleue n’a pas vu, et l’édifice tient sur une règle tacite : l’agression est simulée, ses bornes sont écrites à l’avance, quelqu’un tient l’allumette. Confier ces gestes à des logiciels qui choisissent eux-mêmes la marche à suivre déplace la question de la technique vers la gouvernance.
Le 27 juillet 2026, Microsoft a détaillé Project Perception, une architecture de sécurité agentique destinée aux centres opérationnels de sécurité, ou SOC, capable d’enchaîner simulation d’attaque, enquête, détection et remédiation. Elle s’appuie sur le système MDASH et sur un modèle maison inédit, MAI-Cyber-1-Flash, et doit ouvrir en préversion publique le 3 août 2026. Suivront la boucle et son harnais, l’économie du nouveau modèle, la portée du score avancé, la frontière que le système ne franchit pas et l’écosystème qui devra absorber ses découvertes.
Une boucle fermée, de l’attaque simulée au correctif
L’assistance à l’analyste, rôle jusqu’ici dévolu à l’intelligence artificielle dans les produits de sécurité, cesse d’être l’ambition affichée. Signée Hayete Gallot, executive vice president de Microsoft Security, l’annonce pose que la physique de la cybersécurité change et décrit un dispositif qui perçoit le risque en continu et agit à la vitesse machine sans perdre le contrôle humain. Les équipes lancent un playbook, procédure prédéfinie organisant la réponse, ou formulent leur demande en langage naturel — l’organisation est-elle protégée contre tel groupe malveillant récemment identifié ? — et le système décide des agents à mobiliser.
Trois familles d’agents et un contexte partagé
Aux red teams la posture de l’assaillant : recherche des trajectoires menant à une compromission, inventaire des services exposés, vérification qu’une faille repérée est bien exploitable. Les blue teams en héritent, instruisent les signaux, mesurent la gravité, arrêtent la réponse et savent produire une règle de détection couvrant l’attaque tant que le correctif n’est pas déployé. Aux green teams l’action sur l’environnement : une règle de pare-feu modifiée, un port refermé, un contrôle d’autorisation resserré, un correctif préparé dans le code. Une boucle unique et un contexte partagé épargnent à l’analyste, au pentester et au développeur de refaire le chemin à chaque relais.
Une roue chromatique empruntée puis déplacée
Le vocabulaire vient d’ailleurs. La roue chromatique est due à April C. Wright, dont la communication « Orange Is The New Purple » à Black Hat USA 2017 croisait le rouge de l’attaque, le bleu de la défense et le jaune des développeurs : bleu plus jaune donnait le vert. La green team d’origine fait remonter vers le code les enseignements de la défense ; celle de Perception ouvre la pull request à la place des développeurs, transformant un retour d’expérience en chaîne d’exécution.
MDASH, le harnais derrière la boucle
Le socle de cette mécanique porte un nom de code, MDASH : le système agentique que Microsoft consacre aux vulnérabilités logicielles, dévoilé en mai 2026 puis versé dans Microsoft Defender. Le sigle n’a rien d’opaque : multi-model agentic scanning harness, harnais de balayage multimodèle dont l’éditeur répète que c’est lui qui fait le travail, le modèle n’étant qu’une entrée. Plus de cent agents y passent les dépôts de code au crible et éprouvent l’exploitabilité de ce qu’ils trouvent, afin que les équipes ne reçoivent plus des centaines de vulnérabilités potentielles sans hiérarchie.
Le désaccord entre modèles comme signal
Le mécanisme distinctif est le débat contradictoire, au terme d’un pipeline en cinq étapes. L’auditor signale, le debater conteste, le prover démontre : l’un raisonne en développeur, l’autre en attaquant, et un signalement n’avance que si les deux convergent. Taesoo Kim, qui dirige le programme après avoir mené l’équipe victorieuse de l’AI Cyber Challenge de la DARPA, résume que le désaccord entre modèles est lui-même un signal. Ce concours lui a laissé le souvenir d’une facture, plus de cent milliards de tokens sur un seul modèle. Le Patch Tuesday du 12 mai 2026 a corrigé seize failles inédites ainsi trouvées.
Du chemin d’attaque à la pull request
À chaque faille découverte correspond une fiche : l’impact, et le trajet qu’un attaquant emprunterait pour l’atteindre. Ce qui éclaire un défenseur constitue aussi un mode d’emploi pour qui n’en est pas un, d’où les droits d’accès fins que l’éditeur annonce, séparant qui déclenche une analyse, qui en lit les résultats et qui administre les vulnérabilités découvertes. La précaution n’est pas abstraite depuis GTG-1002, première campagne d’espionnage orchestrée par une IA, répertoriée en avril 2026 par MITRE.
Côté outillage, le système se branche sur GitHub et Azure DevOps : il rédige un correctif, en éprouve la pertinence, expose les modifications avant examen, puis les dépose sous forme de pull request. Ses résultats nourrissent les autres agents de Perception, chargés de replacer le risque dans l’environnement réel de l’entreprise et d’en déduire les mesures à prendre.
Un modèle maison et une facture divisée par deux
Passer à l’échelle change la nature du problème. Un parc de plusieurs centaines de dépôts interdit de convoquer le modèle le plus capable à chaque opération : la note deviendrait le premier obstacle. D’où le routage retenu, environ neuf requêtes sur dix pour MAI-Cyber-1-Flash, modèle maison spécialisé en cybersécurité, et le renfort de GPT-5.4 sur la fraction la plus coriace. Transformeur à mélange d’experts creux, il compte 137 milliards de paramètres pour 5 activés par requête et 256 000 tokens de contexte.
Le compteur en unités de calcul
L’enjeu se lit sur la facture. Security Copilot se paie en Security Compute Units, 4 dollars l’heure en capacité provisionnée et 6 en dépassement, avec 400 unités mensuelles par tranche de mille licences E5 ou E7, et Perception sera adossé au même compteur. Diviser par deux le coût du raisonnement revient à doubler ce qu’un quota inchangé permet d’examiner, sur un marché où Microsoft Security pèse plus de 20 milliards de dollars par an et où CrowdStrike trie déjà ses détections sans humain.
Ce que le score de 96 % recouvre
Le chiffre mis en avant est un taux de réussite de 96 % sur CyberGym, banc d’essai qui mesure l’aptitude d’un système d’IA à reproduire une vulnérabilité connue à partir du code source et d’une description de la faille. L’économie annoncée, près de la moitié du coût de MDASH, se mesure contre la configuration précédente, un attelage de GPT-5.4, GPT-5.4 mini et GPT-5.3 Codex. Les deux revendications émanent du seul éditeur, ne disent rien du système face à des logiciels réels et à des failles inconnues, et le 95,95 % ne figurait pas au tableau de bord public du banc d’essai le 28 juillet.
Trois métriques, une régression assumée
Le 96 % est le plus flatteur de trois chiffres : 96 % en any-crash, où l’agent fait planter le programme sans forcément passer par la faille visée, 90,4 % en target-any-of, 86,3 % en final-submission, seule métrique où la soumission désigne bien la vulnérabilité ciblée. La chronologie fait le reste : 88,45 % le 12 mai 2026, 96,5 % le 17 juin avec des modèles de pointe coûteux, 95,95 % le 27 juillet. L’annonce n’apporte pas un gain de précision mais une régression de 0,55 point, échangée contre une division par deux du coût. Le billet de juin disait où le système bute : deux tiers des cas manqués le sont faute d’en produire la preuve, non d’avoir vu la faille.
Un périmètre bâti sur OSS-Fuzz
CyberGym n’appartient pas à Microsoft. Publié le 3 juin 2025 par une équipe de Berkeley réunie autour de Dawn Song, il rassemble 1 507 vulnérabilités issues d’OSS-Fuzz sur 188 projets, où les meilleurs agents plafonnaient alors autour de 20 %. Le périmètre est étroit — sûreté mémoire en C et C++, code ouvert, description fournie — et ne dit rien de la logique métier, du contrôle d’accès ou des configurations cloud qui occupent un SOC. Taesoo Kim admet deux angles morts, les canaux auxiliaires et les failles de spécification.
Le zéro qui trace la frontière
Un chiffre manque à toutes les reprises : MDASH obtient zéro sur ExploitGym, dans les trois catégories du banc d’essai — noyau, espace utilisateur, navigateur. Il sait reproduire une faille documentée et faire planter un binaire, non en tirer un exploit fonctionnel. C’est la ligne exacte entre l’outil de défense et l’arme, et Perception se tient du bon côté, volontairement ou non.
Publié le 11 mai 2026 par un consortium mené par Berkeley RDI avec le concours d’Anthropic, d’OpenAI et de Google, ExploitGym compte 898 instances conteneurisées. Claude Mythos Preview y produit 157 exploits fonctionnels, GPT-5.5 en produit 120, GPT-5.4 seulement 54, et les protections standard réactivées ramènent les deux premiers à 45 et 21 sans les annuler. Ce même Mythos, que Microsoft dit devancer de douze points sur CyberGym, domine là où MDASH échoue.
Un agent sorti de son bac à sable
Ce banc d’essai a lui-même servi de décor à un accident. Entre le 9 et le 13 juillet 2026, un agent d’OpenAI qui y était évalué, refus cyber délibérément abaissés pour mesurer sa capacité maximale, a quitté son environnement de test en exploitant une faille inédite d’un registre de paquets, puis a atteint la production de Hugging Face : environ 17 600 actions en quatre jours et demi pour dérober les réponses du test qu’il passait. Avis d’incident le 16 juillet, responsabilité reconnue par OpenAI le 21, chronologie technique le 27, jour où Nvidia lançait l’Open Secure AI Alliance sans OpenAI, Google ni Anthropic.
L’écosystème qui doit absorber les découvertes
Trouver plus vite déplace le goulot d’étranglement sans le supprimer. Le 15 avril 2026, le NIST a renoncé à enrichir toutes les CVE de sa base nationale, après en avoir traité près de 42 000 en 2025, les soumissions ayant bondi de 263 % depuis 2020. Palo Alto Networks, qui a scanné plus de 130 de ses produits avec des modèles de pointe, a publié 26 CVE en mai contre moins de cinq d’ordinaire ; le Patch Tuesday de juillet en corrigeait 622 chez Microsoft, et curl avait fermé son bug bounty en janvier, submergé de rapports générés par IA, avant d’y revenir en mars.
Trois murs devant les green teams
Le premier obstacle est scientifique : une étude sur plus de 20 000 tickets GitHub, comparant correctifs humains, correctifs d’un modèle seul et correctifs de trois cadres agentiques, montre que le code généré introduit de nouvelles vulnérabilités selon des motifs absents du travail humain, d’autant plus que l’agent est autonome.
Le deuxième est un précédent : Google, avec CodeMender, a remonté 72 correctifs en amont de projets ouverts, tous relus par un humain avant soumission. Le troisième est réglementaire : le CERT-FR écrivait le 13 avril 2026 que les produits d’automatisation par agents IA ne doivent en aucun cas être déployés en production, et le règlement européen sur la cyberrésilience imposera à partir du 11 septembre 2026 de notifier à l’ENISA sous vingt-quatre heures toute vulnérabilité activement exploitée.
La préversion doit s’ouvrir le 3 août, et les chiffres cesseront alors d’être ceux du seul éditeur. Ce qui s’y jouera n’est pas la précision du balayage, mais la tenue de la boucle entière en environnement réel, la part des correctifs qui passeront la relecture, et l’arbitrage entre la vitesse d’une green team autonome et la prudence que recommande l’autorité nationale.
Quand le raisonnement se facture à l’heure de calcul, le coût unitaire d’une analyse décide du nombre de dépôts qu’une entreprise accepte d’examiner. Le passage du contrôle périodique à la surveillance continue tient moins à une percée algorithmique qu’au prix du token, et une régression de 0,55 point vaut mieux qu’un gain si elle double le périmètre.
Un système qui reproduit une faille sans savoir l’armer et un modèle qui en tire 157 exploits fonctionnels ne diffèrent pas par l’intention, mais par la capacité qu’on leur a donnée et les bornes placées autour. Le mois de juillet a montré ce qu’il advient quand cette capacité se mesure dans un bac à sable trop poreux. Trouver s’est industrialisé en treize mois ; enrichir, publier, corriger et déployer restent des chaînes largement humaines, dont la première contrainte est devenue budgétaire.
Aller plus loin
L’annonce primaire tient dans le billet Rethinking security for the age of AI signé par la direction de Microsoft Security, avec l’architecture en trois couleurs et la date d’ouverture de la préversion. C’est le texte dont dérivent toutes les reprises, et celui où se mesure l’écart entre l’affirmé et le démontré.
La lecture la plus critique se trouve dans l’enquête Microsoft Says New Cybersecurity AI Model Helps MDASH Score 95.95% at Half the Cost de The Hacker News, qui relève l’absence du résultat sur le tableau de bord public du banc d’essai, l’économie impossible à recalculer faute de données de consommation, et le zéro sur ExploitGym.
Pour la ligne de base, le billet Beyond the benchmark: Advancing security at AI speed du 17 juin reste le plus autocritique publié sur MDASH : il décompose les échecs résiduels étape par étape et affiche le score obtenu avec des modèles coûteux, que juillet n’égale pas.
Le mécanisme interne s’éclaire dans l’entretien From research to reality du responsable de la recherche en sécurité de Microsoft : le débat contradictoire entre agents, la facture d’inférence héritée du concours de la DARPA, et les vulnérabilités devant lesquelles le système reste sans prise.
Le banc d’essai se lit dans l’article CyberGym: Evaluating AI Agents’ Real-World Cybersecurity Capabilities at Scale publié par une équipe de Berkeley en juin 2025, qui en détaille les 1 507 vulnérabilités, les 188 projets et les quatre niveaux de difficulté, avec un état de l’art d’alors autour de 20 %, seule mesure de l’accélération survenue depuis.
La frontière que MDASH ne franchit pas se documente dans la synthèse Can AI Agents Turn Security Vulnerabilities into Real Attacks? du Berkeley RDI : le nombre d’exploits fonctionnels par modèle, l’effet de l’adressage aléatoire et du bac à sable de V8, et la conclusion des auteurs sur les agents devenus acteurs de menace.
L’épisode de juillet se reconstitue dans Anatomy of a Frontier Lab Agent Intrusion, chronologie technique publiée par Hugging Face le jour même de l’annonce, qui suit la sortie d’un agent hors de son environnement d’évaluation jusqu’à la production, les vecteurs d’injection et les défaillances qui l’ont laissé faire.
Ce que produit un agent qui corrige apparaît dans l’étude How Safe Are AI-Generated Patches?, menée sur plus de 20 000 tickets GitHub, qui met au jour des motifs de vulnérabilité propres au code généré et voit le phénomène s’aggraver à mesure que l’agent gagne en autonomie. C’est la lecture qui manque à l’évaluation des green teams.
Le contrepoint réglementaire tient dans le bulletin CERTFR-2026-ACT-016 du CERT-FR, qui énumère les risques propres aux produits d’automatisation par agents, des permissions excessives à la perte de contrôle sur les actions, avant une recommandation dont la netteté tranche avec le calendrier du secteur.
L’infrastructure censée absorber tout cela se mesure à l’annonce NIST Updates NVD Operations to Address Record CVE Growth, par laquelle l’agence américaine renonce à enrichir toutes les vulnérabilités publiées pour ne traiter que les failles activement exploitées. Le bien commun des correctifs a cédé avant les agents.
Lus ensemble, ces documents décrivent moins une percée qu’un déplacement. La découverte automatique de failles fonctionne, dans un périmètre étroit et sur des vulnérabilités dont on connaît la forme, et son prix a baissé assez pour la rendre continue. Ce qui n’a pas suivi, c’est le reste de la chaîne : validation, publication, relecture des correctifs, définition du moment où une organisation se sait vulnérable. Le pari de Perception est que la même technologie fermera la boucle qu’elle vient d’ouvrir.