Deux annonces, une même direction
Le 28 octobre 2026, Google a présenté Gemini 4 Carbon, un modèle conçu pour la programmation et la cybersécurité. Il revendique des performances de premier plan dans la détection de vulnérabilités, leur exploitation et la génération de correctifs. Et, selon ses évaluations internes, un taux de production de code sécurisé plus de deux fois supérieur à celui de son modèle précédent.
Quelques jours plus tard, Orange Cyberdefense annonçait intégrer une version spécialisée de Mistral Large 4 à ses offres.
Un outil à double tranchant
Le détail le plus parlant concerne l'accès. Google réserve d'abord Carbon à des spécialistes de la défense inscrits dans un programme dédié. La raison est explicite : ses capacités d'exploitation présentent un risque en cas d'usage malveillant.
Ce qui trouve une faille sait l'exploiter. Et la corriger. Tout dépend de qui l'utilise en premier.
La vitesse ne se joue pas dans le modèle
Si ces modèles accélèrent la découverte de vulnérabilités des deux côtés, l'avantage revient à l'organisation qui transforme une détection en correctif déployé. Un modèle performant posé sur un processus de patch lent ne change pas grand-chose. La gestion des vulnérabilités reste une affaire de chaîne complète.
Gouverner ce qu'on confie au modèle
Soumettre du code source, des journaux ou des configurations à un modèle externe pose des questions concrètes. Confidentialité. Localisation des données. Réversibilité si l'on change d'outil. Elles relèvent du contrat avec le prestataire, et pas seulement d'une note interne.
Tester un correctif généré comme n'importe quel changement
C'est le point le plus souvent négligé. Un correctif proposé par une IA reste un changement en production. Il peut corriger la faille et casser autre chose. Il doit donc passer par les mêmes tests de non-régression, la même revue, le même circuit de mise en production qu'un correctif écrit par un développeur.
Concrètement, cela suppose une suite de tests automatisés suffisamment large pour absorber le volume. Si l'IA multiplie par trois le nombre de correctifs proposés, la capacité de validation doit suivre. Sinon, on déplace le risque : moins de failles connues, plus de régressions imprévues.
L'IA défensive est un levier réel. Pas un substitut à une chaîne de test maîtrisée.
