Black Hat 2026 : ce qu’ont défendu les keynotes

La conférence Black Hat USA s’est tenue du 1er au 6 août à Las Vegas et, pour la première fois, le débat au cœur de l’événement ne portait pas sur une attaque ou une défense en particulier. Il portait sur l’économie.

David Weston, qui dirige la sécurité agentique chez Microsoft, a ouvert la journée du mercredi avec « The End of Rare: Defending When Offense Is Cheap ». Sa prémisse : sans qu’on le dise, toute l’architecture de la sécurité moderne a été calculée en fonction de la rareté. Écrire un exploit est difficile, donc on part du principe que les frontières de réseau, de processus, d’identité et de bac à sable tiendront la plupart du temps, et l’on investit dans la correction rapide et la détection des comportements connus. Ce calcul ne tient plus. Le Security Response Center de Microsoft traite neuf fois le volume de vulnérabilités qu’il gérait en mars, et ce volume double toutes les six semaines. La formule de Weston : le corps-à-corps avec les attaquants est une stratégie perdante pour la défense.

Ce qu’il a présenté avait de quoi mettre mal à l’aise. Un système d’IA interne de Microsoft a pris 200 vulnérabilités du noyau Linux et en a transformé 182 en preuves de concept provoquant au minimum un plantage – dont de nombreux exploits root fonctionnels –, pour un coût moyen de 3,61 $ et 21 minutes chacune. Des bugs qui, selon lui, demandaient autrefois un an de travail manuel sont désormais « crachés à une cadence industrielle », et pas seulement sous Windows.

La conclusion découle de l’arithmétique. Si trouver des bugs est quasi gratuit et que les corriger un par un ne l’est pas, le seul levier qui reste est d’arrêter de les corriger un par un. L’ordonnance de Weston : des langages sûrs en mémoire, pour que des classes entières de bugs ne puissent pas exister ; la vérification formelle, pour que les composants critiques soient prouvés plutôt que testés ; et la remédiation automatisée, pour que les correctifs encore nécessaires arrivent au rythme de la découverte.

Yan Shoshitaishvili, de l’université d’État de l’Arizona, a pris le relais le jeudi avec « Vulnerability Research in the Agentic Age ». Là où Weston parlait en défenseur, Shoshitaishvili parlait en chercheur qui a consacré sa carrière à trouver des bugs. Selon lui, les outils agentiques ont détourné la compétence humaine de la découverte elle-même pour la porter vers la conception de stratégies de recherche, de pipelines de validation et de vérifications d’exploitabilité. Il a décrit un travail sur le noyau Linux passé de centaines de vulnérabilités candidates à bien plus d’un millier d’élévations de privilèges potentielles dès lors que le processus a intégré les propriétés des vulnérabilités – en précisant qu’il s’agissait d’un résultat indicatif, pas d’un benchmark contrôlé. Il a aussi pointé le problème que nous avons traité dans Vingt-six mille signalements, deux cents correctifs : la découverte va plus vite que la capacité de quiconque à traiter les signalements de manière responsable.

Sur les 121 présentations (briefings), 35 portaient directement sur la sécurité de l’IA, le red teaming ou l’offensive assistée par LLM. Le fil conducteur, des keynotes aux présentations : si les bugs ne coûtent presque rien à trouver, l’objectif est de les rendre impossibles plutôt que détectables.