L'IA qui promet de résorber 80 % de votre arriéré de sécurité

L'industrie de la sécurité a un problème de mathématiques. Les attaques alimentées par l'IA ont triplé, selon l'annonce de Cognition, et les équipes d'entreprise sont confrontées à 10 à 100 fois plus de résultats de sécurité qu'il y a quelques années. Une grande partie de ceux-ci sont de faux positifs, mais distinguer le vrai du bruit prend encore des heures humaines que personne n'a. LTM, un fournisseur de sécurité managée desservant plus de 260 clients, dont 26 des Fortune 500 et les cinq plus grandes banques mondiales, tente désormais de résoudre cette équation avec un ingénieur logiciel IA.

LTM s'est associé à Cognition pour intégrer Devin, l'agent de codage autonome, dans un service managé appelé BlueVerse RightLogic. Le discours est direct : Devin ingère les résultats des scanners de vulnérabilités déjà utilisés par les entreprises, les priorise en fonction de la criticité métier et de l'exposition réglementaire, et envoie des pull requests qui corrigent ceux qu'il peut traiter. Les ingénieurs de LTM examinent chaque correctif avant la fusion et gèrent les cas complexes qui nécessitent un jugement humain. Les entreprises affirment que le service peut résorber 80 % de l'arriéré de CVE d'un client, contre 60 % avant l'intégration de Devin.

La crise du volume de sécurité

Le problème de volume est réel. Les attaquants déploient désormais des essaims d'IA à faible coût qui sondent chaque point d'entrée possible, et les outils sur lesquels la plupart des entreprises comptent s'arrêtent encore à la détection. Ils signalent une vulnérabilité mais laissent la validation et la correction aux humains, déjà submergés par la fatigue des alertes. Des recherches connexes sur les agents IA automatisant les pipelines de tests d'intrusion ont décrit les équipes de sécurité comme « submergées par la fatigue des alertes et le tri manuel », et le même schéma se retrouve dans l'ensemble du secteur. L'IA générative a également intensifié les attaques de phishing, érodant la marge que les filtres de messagerie traditionnels et la formation offraient autrefois.

La clientèle de LTM est particulièrement exposée. Les institutions financières détiennent des données sensibles et sont confrontées à des délais réglementaires stricts pour le patching. Le catalogue des vulnérabilités connues exploitées de la CISA, qui répertorie les failles activement exploitées telles que CVE-2026-45659 dans SharePoint Server, oblige les agences à patcher dans un délai de quelques jours. Un service managé qui promet de résorber la majeure partie de cet arriéré avant une échéance a un attrait évident.

Comment fonctionne BlueVerse RightLogic

Le service repose sur trois piliers. Premièrement, la correction managée : RightLogic ingère les résultats des scanners existants, les classe et achemine les correctifs à haute confiance vers Devin pour une correction de bout en bout. Les ingénieurs de LTM prennent en charge le reste. Deuxièmement, l'échelle et la gouvernance d'entreprise : Devin offre une capacité autonome sur des dizaines de milliers de résultats, tandis que LTM applique des playbooks de correction, des règles de conformité et des normes de codage conçues pour les secteurs réglementés. Les entreprises affirment que cette combinaison est conçue pour résorber 80 % d'un arriéré de CVE, une affirmation soutenue conjointement par les deux parties. Troisièmement, l'amélioration continue : chaque engagement affine les playbooks de LTM, encodant les règles de chaque client pour que les corrections futures soient plus rapides.

Il s'agit de la première des cinq offres conjointes que les deux entreprises prévoient de lancer sur le marché, couvrant la modernisation des applications et la transformation du cycle de développement logiciel (SDLC). Un grand nombre d'ingénieurs de LTM ont déjà été formés sur Devin, de sorte que les équipes clientes sont censées être productives dès le premier jour.

Les affirmations passées au crible

Les chiffres phares méritent un examen minutieux. L'affirmation d'une réduction de 30 % des coûts compare Devin Security Swarm à « l'alternative comparable la plus proche », mais Cognition ne nomme pas cette alternative ni ne divulgue la méthodologie derrière la comparaison. Le taux de résorption de l'arriéré de 80 % est une amélioration par rapport à 60 %, mais ce chiffre antérieur a également été obtenu par LTM sans Devin, donc l'écart peut refléter en partie un raffinement des processus plutôt que l'IA seule.

Il existe également un écart bien connu entre les performances sur les benchmarks et la fiabilité en production. Un modèle qui obtient un score de 96,58 sur un benchmark structuré peut encore trébucher sur les vulnérabilités complexes et dépendantes du contexte que les bases de code réelles cachent. Cognition affirme que Devin trouve « plus de vulnérabilités vérifiées pour un coût inférieur de 30 % », mais la vérification nécessite encore un relecteur humain avant que toute correction ne soit fusionnée. Cette barrière manuelle maintient une qualité élevée mais limite le débit à la disponibilité des ingénieurs en sécurité, ce qui est exactement le goulot d'étranglement que le service prétend briser.

Le tableau ci-dessous résume les métriques clés et les réserves qui les entourent.

Les services financiers en premier

RightLogic est lancé dans les secteurs bancaire, des services financiers et de l'assurance, où Devin a déjà été testé et où LTM entretient des relations institutionnelles solides. Harsh Naidu, Chief Business Officer de LTM pour les services bancaires et financiers, a déclaré que le secteur est sous pression pour renforcer la sécurité tout en accélérant l'adoption de l'IA, et que le service aide les clients à « réduire les arriérés de vulnérabilités, automatiser la correction et améliorer la cyber-résilience ». Gardner Johnson, VP des partenariats mondiaux chez Cognition, a formulé le problème en des termes plus directs : « La sécurité est devenue un problème de volume qu'aucune équipe humaine ne peut résoudre en embauchant. »

Le partenariat prévoit d'étendre RightLogic à d'autres secteurs, y compris les travaux de modernisation des applications. Pour l'instant, le véritable test est de savoir si Devin peut constamment livrer des correctifs qui passent la revue humaine à un rythme qui allège réellement l'arriéré, et non pas le réorganise. Les chiffres sont ambitieux, mais la preuve sera dans les pull requests qui ne sont pas rejetées.