Un agent qui prouve une faille en l'attaquant, puis la répare

L'agent CodeMender de Google DeepMind écrit un programme d'attaque pour prouver la réalité d'une faille de sécurité, puis génère son correctif.

Un agent qui prouve qu'une faille de sécurité est dangereuse en l'attaquant pour de vrai, avant de la réparer lui-même : c'est la proposition de CodeMender, que Google fait passer en préversion. Issu des travaux de Google DeepMind, l'outil cherche à automatiser non seulement la détection des vulnérabilités d'un logiciel, mais aussi leur correction, le maillon qui reste le plus lent pour les équipes de sécurité.

Le déroulé tient en trois temps. Un premier balayage repère les failles les plus courantes, y compris des cas subtils qui échappent aux outils d'analyse habituels, dans les principaux langages de programmation. Vient ensuite l'étape distinctive : pour écarter les fausses alertes, l'agent ne se contente pas de signaler un défaut, il en fabrique la preuve, en écrivant et en lançant un petit programme d'attaque dans un environnement de test isolé (un sandbox géré par le client) pour confirmer que la faille est réellement exploitable. Une fois le risque avéré, il propose un correctif prêt à relire, qu'une seconde IA contrôle pour vérifier qu'il ne casse rien dans l'application, la décision finale revenant toujours à un développeur.

Côté mise en place, l'agent se greffe sur les chaînes de développement d'une entreprise ou tourne en local, se connecte aux dépôts de code et s'utilise avec des outils comme VS Code, les données restant isolées et non conservées. CodeMender est par ailleurs multi-modèle : on choisit le moteur selon le coût ou la profondeur d'analyse recherchée, une ouverture à des modèles tiers de premier plan étant prévue d'ici la fin de l'année.