MtoM Mag - Le journal de l'MtoM.

L’outil Claude Code Security d’Anthropic a fait chuter les actions du secteur de la cybersécurité : environ 20 milliards de dollars de capitalisation boursière se sont volatilisés en une seule séance. Juste après l’annonce, JFrog a perdu près d’un quart de sa valeur, tandis que CrowdStrike et Cloudflare ont chuté d’environ 8 % chacun. Les investisseurs se posent une question très simple : si une IA peut trouver des vulnérabilités et suggérer des correctifs, pourquoi payer pour de coûteux outils d’entreprise ?

Il y a beaucoup de choses à saluer ici. Claude Code Security ne se contente pas de signaler un problème : il explique le risque, propose une solution et formate le résultat pour une pull request ou un ticket. Pour les petites et moyennes entreprises qui effectuent des audits ponctuels ou des vérifications avant publication, c’est une véritable avancée. Les concurrents, qu’ils soient sur le cloud, sur site ou en local, suivront inévitablement, ce qui rehausse le niveau d’exigence pour l’ensemble de l’industrie.

Le risque auquel je serais attentif est celui d’un faux sentiment de sécurité. Un développeur écrit du code, Claude le vérifie, suggère une correction, la pull request est validée — et soudain, les outils de sécurité dédiés semblent être des dépenses superflues. Juste une couche d’audit supplémentaire qui n’intervient qu’une fois la décision déjà prise. Mais aujourd’hui, le meilleur modèle d’IA produit un code qui est à la fois fonctionnel et sécurisé dans seulement 56 % des cas. Plus les équipes se reposeront uniquement sur cela, plus le nombre de vulnérabilités qui atteindront la production augmentera. Faire l’impasse sur une analyse dédiée ne simplifie pas le pipeline, cela l’affaiblit.

Il y a aussi des choses que l’IA ne peut tout simplement pas encore faire. Dans certains pays, les régulateurs ne vous laisseront pas remplacer un outil d’analyse certifié, disposant d’une piste d’audit, par une conversation sur un chat. Les modèles de langage ont encore du mal avec l’analyse binaire lorsqu’il n’y a pas de code source. De plus, le travail le plus critique dans la défense contre les menaces, comme la surveillance en temps réel du darknet, les nouveaux indicateurs de compromission, l’attribution des attaques ou la détection de portes dérobées intentionnelles dans les chaînes d’approvisionnement, repose sur des renseignements exclusifs auxquels aucun modèle public n’a accès. C’est là que les plateformes spécialisées demeurent indispensables. Le marché va se segmenter, cela ne fait aucun doute, mais l’expertise approfondie en cybersécurité n’est pas près de disparaître.