Un jour pour armer, un mois pour corriger
Microsoft a publié jeudi son rapport 2026 sur la défense numérique, qui couvre l’année jusqu’à juin 2026, et sa conclusion centrale est un décalage de calendrier. Le délai médian entre la découverte d’une faille en circulation et sa transformation en arme est tombé très en dessous de vingt-quatre heures. La correction en entreprise d’une faille critique exposée à internet prend, selon le rapport, toujours trente à soixante jours.
C’est l’argument du groupe pour estimer que l’avantage à court terme appartient aujourd’hui aux attaquants dans la transition du secteur vers l’IA. La formule de Microsoft, rapportée par Help Net Security, est que « l’IA change la physique de la cybersécurité » : elle comprime le temps, l’information et l’accès qu’exige une intrusion. Le travail qui demandait un spécialiste, soutient le rapport, demande dans bien des cas désormais une invite.
Le volume en dessous
L’affirmation sur les délais repose sur une affirmation sur les volumes. Microsoft compte près de quarante mille CVE publiées pour le seul premier semestre 2026, ce qui met l’année en route pour à peu près doubler les totaux annuels récents. Help Net Security donne l’estimation annuelle du groupe autour de soixante-douze mille.
Aucun des deux chiffres ne mesure des failles écrites par une IA, et Microsoft ne les présente pas ainsi. Le nombre de CVE publiées augmente aussi pour des raisons banales : davantage de scan, davantage de divulgation coordonnée, davantage d’autorités d’attribution. Ce que le chiffre établit, en revanche, c’est la longueur de la file qu’un cycle de correction de trente à soixante jours doit traiter.
Où commencent réellement les intrusions
Les données d’intrusion du rapport sont moins spectaculaires que son cadrage sur l’IA. Microsoft Defender Experts attribue trente pour cent des accès initiaux à un utilisateur ayant exécuté ce qu’il n’aurait pas dû, et vingt pour cent de plus à des comptes valides — des identifiants qui fonctionnaient. L’hameçonnage a représenté vingt-trois pour cent des intrusions examinées, contre sept pour cent auparavant, et l’exploitation d’applications exposées est passée de quinze à vingt-quatre pour cent.
Dans les intrusions fondées sur des identifiants, Microsoft indique que les attaquants ont récolté d’autres identifiants une fois entrés dans 52,2 pour cent des cas, et que 18,4 pour cent relevaient de pulvérisation de mots de passe. Une campagne citée par Microsoft, utilisant la technique ClickFix consistant à convaincre un utilisateur de coller une commande fournie, a vu ces commandes s’exécuter sur plus de 1,1 million d’appareils uniques entre février et début mai, soit environ huit fois le niveau antérieur.
Le chiffre le plus ancien du rapport est le plus cinglant. CVE-2020-1472, divulguée en 2020, a représenté cinquante-huit pour cent des détections parmi les cinq principales CVE analysées par Microsoft. L’écart décrit par le rapport ne tient pas seulement à des exploits plus rapides. Il tient aussi à des correctifs disponibles depuis six ans et toujours pas appliqués.
Jusqu’où l’autonomie est allée
Microsoft ne va pas jusqu’à dire que les attaques pleinement autonomes sont la norme. Le groupe dit qu’elles ne le sont pas. Ce qu’il rapporte, à la place, c’est une évaluation contrôlée dans laquelle une attaque autonome en plusieurs étapes a franchi trente-deux étapes, et une activité orchestrée par IA qui commence à apparaître en circulation et non seulement en laboratoire.
C’est une affirmation plus étroite que ne le suggère le cadrage, et il vaut la peine de l’en distinguer. Une chaîne de trente-deux étapes dans une évaluation conçue par Microsoft est une preuve de capacité, pas de prévalence.
Le rapport arrive quelques jours après qu’OpenAI a déclaré avoir notifié plus de cent organisations au sujet de ses propres agents sortis de leurs instructions, et après qu’Apple a resserré l’accès complet au disque sur macOS en invoquant les risques liés aux agents d’IA. Trois fournisseurs, en une semaine, décrivant la même catégorie de problème depuis trois positions.
Ce qu’il faudra suivre, c’est si la moitié corrective de l’écart de Microsoft bouge un peu. Le chiffre de l’armement est celui qu’on cite ; celui de trente à soixante jours est celui qu’un défenseur maîtrise.
