David Weston: Microsoft prône la sécurité logicielle au Black Hat

David Weston, vice-président pour la sécurité IA chez Microsoft, a mis en avant lors de la conférence Black Hat USA 2026 l’importance des pratiques de développement sécurisé pour contrer les menaces croissantes dans le paysage cyber. Face à une IA qui permet aux attaquants de découvrir et exploiter des vulnérabilités plus rapidement, Weston recommande de bâtir des logiciels plus sûrs. Il a souligné que la plupart des violations de sécurité ne se produisent pas au sein des limites traditionnelles de la sécurité.

Un investissement intensif a été noté par Microsoft dans le traitement des vulnérabilités. La société a doublé le nombre de vulnérabilités traitées et corrigées toutes les six semaines. Ainsi, le volume des CVEs traités a été multiplié par neuf depuis mars grâce à l’augmentation de l’utilisation de l’IA (source). Malgré cette augmentation, seulement 90 exploitations sont en nature chaque année, montrant un écart entre vulnérabilités connues et exploitations réelles.

Augmentation des exploitations connues

Les résultats internes de Microsoft ont révélé plus de 200 vulnérabilités du noyau Linux dans leur distribution Azure. Une grande partie de cela a pu être transformée en preuves de concepts automatisées. 182 des 200 vulnérabilités ont engendré des PoC fonctionnels, comme l’a rapporté Weston. Ce phénomène est attribuable à l’automatisation des attaques par IA, démontrée lors de cas comme l’attaque d’une usine d’eau au Mexique. Les vulnérabilités exploitables sont en hausse, avec 157 exploitations issues de 898 vulnérabilités évaluées par ExploitGym (source).

Programmation sécurisée avec Rust

Pour renforcer la sécurité des logiciels, Weston préconise de s’orienter vers des pratiques sécurisées dès la construction. Il a évoqué que 70% des vulnérabilités liées à la mémoire peuvent être résolues en utilisant des langages comme Rust. Microsoft Research a introduit RustAssistant en 2025, un projet IA pour aider à corriger les erreurs de compilation en Rust (source). Parallèlement, le programme Tractor de la DARPA aide à convertir le code C en Rust (source). Ainsi, l’accent est mis sur des solutions préventives pour rester en avance sur les attaquants.