De la faille au correctif : l'IA entre dans la boucle de la cyberdéfense

Cloudflare : la faille et le correctif dans la même chaîne

Cloudflare utilise Daybreak, d'OpenAI, pour investiguer les vulnérabilités et proposer des correctifs. Ces correctifs ne partent pas tels quels en production : ils sont soumis à une relecture. Le cas d'usage relie donc directement la découverte d'une faille à sa correction, du côté défense — là où les équipes sécurité travaillent d'ordinaire en allers-retours entre l'outil de scan et le dépôt de code.

En parallèle, les développeurs de Cloudflare passent par Codex pour construire plus vite et améliorer la qualité du code. Deux usages distincts, un même fournisseur : l'un tourné vers la chasse aux failles, l'autre vers l'écriture quotidienne.

La mécanique décrite reste celle d'une assistance : le modèle propose, l'humain relit. C'est le point sur lequel repose l'ensemble du dispositif, et c'est aussi ce qui le distingue des projets dont on parle plus bas.

Bruxelles : vendre un agent, c'est devenir fabricant

La directive (UE) 2024/2853, à transposer au plus tard le 9 décembre 2026, fait du logiciel un produit — SaaS compris. Conséquence directe pour les agents IA : qui développe ou vend sous sa marque un agent devient fabricant, et donc responsable sans faute des lésions, des atteintes psychologiques médicalement reconnues et des destructions de données non professionnelles causées par un défaut.

Le texte ne vise pas seulement les nouveautés. Une mise à jour substantielle après cette date fait entrer un agent existant dans le régime : autrement dit, maintenir son produit, c'est déjà y revenir.

Pour les éditeurs, la question n'est plus seulement de savoir ce que le modèle sait faire, mais ce qu'il peut casser, et à qui cela sera imputé.

Exportations et bannissements : le périmètre se rétrécit

Depuis le 16 octobre 2026, Pékin impose une déclaration préalable pour exporter 40 technologies, dont 23 en IA. La consultation court jusqu'au 15 novembre. Le ministère du Commerce précise deux exceptions : l'appel d'un modèle par API et les technologies publiées en open source restent hors champ. En revanche, le déploiement localisé hors de Chine d'un modèle restreint entrera dans le champ une fois le catalogue en vigueur.

De l'autre côté du Pacifique, les États-Unis ont ordonné à leurs agences civiles de cesser d'utiliser DeepSeek, le chatbot d'IA chinois. La décision vise directement la Chine, accusée de surveiller les Américains. Les autorités évoquent aussi la présence possible de « malwares » cachés dans l'outil.

Deux mouvements symétriques : un contrôle à la sortie d'un côté, une exclusion à l'entrée de l'autre. Les API, elles, restent pour l'instant ouvertes.

ECHOTRIBBLE : le même geste, côté offensif

Selon une enquête de The Intercept publiée le 19 octobre 2026, l'armée américaine veut confier à des agents IA des missions offensives : explorer des réseaux, se propager d'un appareil à l'autre et neutraliser des cibles. Le projet, baptisé ECHOTRIBBLE, est encore en développement.

Il s'appuie sur une « supervision humaine minimale », ce qui soulève des inquiétudes sur le contrôle humain. C'est précisément le curseur inverse de celui décrit par Cloudflare, où le correctif proposé par le modèle passe par une relecture avant application.

Les dépêches ne permettent pas d'établir de lien entre les deux programmes au-delà de leur voisinage thématique. Elles dessinent en revanche un même moment : la découverte de failles, leur exploitation et leur correction deviennent des tâches que l'on délègue à des agents, avec des garde-fous dont le niveau varie fortement d'un cas à l'autre.

Et maintenant ?

Trois textes réglementaires ou politiques, un projet militaire et un déploiement industriel : la même semaine, l'agent IA cesse d'être un objet de démonstration pour devenir un objet de droit et de doctrine. La directive européenne déplace la responsabilité vers celui qui vend, le contrôle chinois vers celui qui exporte, le bannissement américain vers celui qui achète. Reste une asymétrie : les garde-fous techniques décrits ici — la relecture d'un correctif — n'ont pas d'équivalent annoncé dans les projets offensifs. Ce n'est pas une question de morale, c'est une question de traçabilité quand quelque chose se casse.