En juillet 2025, Google a annoncé un tournant majeur dans la détection des vulnérabilités : Big Sleep, un agent IA autonome capable de découvrir des failles zero-day dans des projets open-source en moins de 48 heures, sans intervention humaine. Ce système révolutionne la cybersécurité défensive en basculant d’une posture réactive à une approche entièrement préventive.

Big Sleep ne cherche pas les vulnérabilités en parcourant passivement du code existant. Il analyse le comportement du logiciel en détail, comprend sa logique interne, et simule mentalement des milliers d’entrées utilisateur malveillantes pour voir où et comment le système pourrait se casser. C’est une forme de fuzzing intelligent : au lieu de générer du bruit aléatoire, l’IA raisonne sur les points les plus probables de cassure. En 2025, Big Sleep a identifié 20 vulnérabilités critiques dans des composants open-source populaires, dont plusieurs auraient pu affecter des millions d’appareils.

Ce qui rend Big Sleep révolutionnaire, c’est son autonomie complète. Contrairement aux outils de test de pénétration classiques qui nécessitent un expert humain pour orchestrer une campagne, Big Sleep fonctionne 24/7 sans supervision. Il reçoit un objectif (« trouver les failles dans ce logiciel »), puis se lance automatiquement dans une investigation méthodique. L’IA explore les chemins critiques du code, générant dynamiquement des exploits de test, puis analyse les résultats pour confirmer ou infirmer ses hypothèses. Lorsqu’une vulnérabilité est identifiée, le système génère automatiquement un rapport technique détaillé avec preuve de concept (PoC).

L’enjeu stratégique est immense. Traditionnellement, entre la découverte d’une vulnérabilité par les chercheurs et sa correction par l’éditeur, plusieurs mois peuvent s’écouler. Pendant ce temps, les attaquants peuvent découvrir la même faille et la monétiser avant que le patch ne soit appliqué. Avec Big Sleep, ce délai se réduit drastiquement : les failles sont trouvées rapidement, documentées rigoureusement, et les éditeurs sont avertis immédiatement, raccourcissant la fenêtre d’exploitation.

Cependant, cette autonomie soulève des questions d’éthique et de sécurité. Un agent IA capable de trouver des failles zero-day de manière autonome pourrait théoriquement être détourné à des fins malveillantes. Google a donc mis en place des garde-fous stricts : Big Sleep fonctionne dans des environnements isolés, sous contrôle humain final avant toute divulgation, et collabore directement avec les éditeurs pour éviter tout exploit malveillant.

Sources

Le Big Data, Carnets de l’Économie, Numerama
Lien : Voir l’article original