Les chasseurs de bugs IA de Microsoft s'apprêtent à alourdir Patch Tuesday

L'initiative Secure Future Initiative de Microsoft a deux ans, et l'entreprise la présente toujours comme le plus grand projet d'ingénierie de cybersécurité de l'histoire. C'est la formulation de Microsoft, issue d'un précédent rapport d'étape, et l'édition de juillet 2026 n'a pas pour objet de le prouver. Ce que met à jour cette publication, c'est la manière dont le projet passe de la promesse au pipeline : l'IA fait davantage de détection, les humains prennent davantage de décisions.

Le rapport de juillet organise ses progrès autour de trois thèmes : des fondations sécurisées, une défense propulsée par l'IA et une cybersécurité prête pour l'avenir. Les deux premiers sont mesurables dès aujourd'hui. Le troisième regarde entièrement au-delà des menaces actuelles, vers l'informatique quantique à grande échelle. Et le signe le plus clair que les deux premiers sont réels est un système nommé MDASH, dont les mises à jour de ce mois-ci indiquent qu'il a quitté le stade du benchmark.

Deux ans après, la Secure Future Initiative est un pari sur l'IA

Le rapport s'ouvre sur une conviction que Microsoft énonce sans détour : « La sécurité n'est jamais terminée. » C'était l'idée fondatrice de l'initiative il y a deux ans, et l'édition de juillet 2026 s'y appuie fortement, car l'IA a changé la donne des deux côtés. L'argument du rapport est que les attaquants peuvent désormais découvrir des vulnérabilités, enchaîner des chemins d'attaque et accélérer l'exploitation plus vite que ne le permettent les approches manuelles, et que les défenseurs doivent utiliser les mêmes avancées simplement pour rester à niveau.

Le rapport s'inscrit également dans un bilan plus large de juillet, et ce bilan contenait un nouvel ensemble de validations externes. Microsoft a été nommé Leader dans quatre évaluations distinctes d'analystes :

Ces quatre reconnaissances couvrent la protection des endpoints, l'identité, la détection gérée et la protection native du cloud, ce qui suit de près l'agenda du SFI. Elles constituent le genre de tableaux de bord auxquels Microsoft peut se référer lorsqu'une expression comme « le plus grand de l'histoire » a besoin d'un second avis extérieur.

MDASH : le scan agentique passe en production

L'élément le plus concret de la mise à jour de juillet est la note de progression sur MDASH, le système de scan agentique multimodèle de Microsoft Security. L'article, intitulé « Beyond the benchmark », indique que le système s'intègre désormais dans des flux de travail réels sur Windows, Azure et les systèmes d'identité. Microsoft décrit MDASH comme un outil qui scanne le code source pour identifier les vulnérabilités, et la description est volontairement composée : le système est multimodèle et agentique, pas un scanner isolé qui effectue un unique passage.

Microsoft n'est pas seul à parier sur des équipes d'agents pour cette tâche. Fugu-Cyber de Sakana, que nous avons couvert précédemment, utilise également plusieurs sous-agents pour valider les vulnérabilités avant d'agir. La différence tient à l'endroit où s'exécute le code de MDASH. Il se situe dans les propres gammes de produits de Microsoft, ce qui signifie que les publications de sécurité de l'entreprise servent aussi d'étude de cas.

La conséquence se matérialise quelque part de très banal : le Patch Tuesday. Microsoft a déclaré déployer l'IA pour « identifier les problèmes potentiels plus tôt », et a prévenu les clients qu'ils « verront un volume plus élevé de mises à jour de sécurité incluses dans chaque publication de sécurité ». L'entreprise met à jour son Secure Development Lifecycle pour tenir compte des techniques d'attaque activées par l'IA, tout en gardant des humains dans la boucle pour la revue de code.

Cette dernière clause porte la tension de toute l'initiative. La même organisation qui célèbre les vulnérabilités trouvées par l'IA rassure aussi les clients en disant qu'une machine n'a pas pris le contrôle de la décision d'expédier un correctif. Son AI Red Team a publié ce mois-ci un livre blanc sur la taxonomie des modes de défaillance de l'IA agentique, ce qui est la manière de Microsoft de reconnaître que les agents se cassent, et elle en catalogue les formes. En parallèle, l'entreprise a élargi ses recommandations Zero Trust for AI avec de nouveaux outils pour sécuriser les agents IA et les environnements DevSecOps.

La recherche sur les menaces publiée parallèlement au rapport maintient des enjeux concrets. Microsoft Threat Intelligence a disséqué DeadLock, une opération de ransomware en Rust qui gère les communications et les négociations avec les victimes sur une infrastructure décentralisée, et ChainDrop, un ver voleur d'identifiants caché dans plus de 400 paquets npm compromis qui se propageait en republiant des mises à jour malveillantes. Ce ne sont pas des scénarios pour lesquels l'initiative se prépare. Ce sont les billets de blog de ce mois-ci.

Deux ans après, le bilan d'un projet que Microsoft qualifie de plus grand effort d'ingénierie cybersécurité de l'histoire n'est plus un diaporama. C'est la taille de la mise à jour mensuelle, la vitesse du scanner et la patience des humains qui relisent les bugs trouvés par les machines. Le pari de Microsoft est que les agents trouveront plus de bugs que les relecteurs ne peuvent en traiter, et que les relecteurs décident toujours de ce qui est publié.