Le 14 août 2026, l’entreprise chinoise d’intelligence artificielle Zhipu AI (Z.ai) a publié un chiffre frappant : 2 436. Il s’agit du nombre total de vulnérabilités de sécurité confirmées dans 269 projets logiciels du monde réel par les modèles de Zhipu AI, en collaboration avec plusieurs équipes de cybersécurité depuis la génération GLM-5.2. Parmi elles, 1 097 ont été classées comme critiques ou de sévérité élevée. La plus ancienne faille remonte à du code écrit en 1981 — l’année où IBM a commercialisé son tout premier ordinateur personnel. En d’autres termes, cette vulnérabilité est restée dormante pendant près de 45 ans, surpassant en âge nombre de ses lecteurs.
Qu’une vulnérabilité reste cachée pendant 45 ans peut ressembler à une légende urbaine, mais la raison en est extrêmement pragmatique. Le logiciel moderne n’est que rarement écrit d’une seule traite ; il ressemble plutôt à un bâtiment historique : les fondations ont été coulées il y a plusieurs décennies, et les développeurs ultérieurs se contentent de rénover les façades ou d’ajouter des tuyaux, sans jamais oser toucher aux structures porteuses. Les noyaux de systèmes d’exploitation et les moteurs de recherche représentent des dizaines de millions de lignes de code, modifiées au fil du temps par des centaines de programmeurs. Dans le monde du code patrimonial, une règle non écrite prévaut : « Si ça marche, n’y touche pas. » Une seule modification erronée risque de provoquer des pannes en cascade sur les systèmes mondiaux qui en dépendent. Par conséquent, les défauts non déclenchés se transmettent de génération en génération. Les statistiques de Zhipu AI indiquent que la durée moyenne de latence de ces vulnérabilités atteint 26,6 ans. La faille Log4j fin 2021, qui avait contraint les départements informatiques du monde entier à des gardes de nuit, était un problème ancien similaire dissimulé dans une bibliothèque — à la différence près que cette fois-là, les pirates avaient frappé les premiers.
La raison principale pour laquelle ces failles ont échappé à la détection réside dans les limites de l’inspection humaine. Le code open source mondial compte des dizaines de milliards de lignes ; même l’équipe la plus chevronnée ne peut tout passer au peigne fin. L’audit par IA fonctionne de manière fondamentalement différente : le modèle ne se contente pas de « lire » le code, il le teste dynamiquement. Après avoir analysé le code source, l’IA génère des entrées complexes pour provoquer des anomalies — un peu comme si l’on vérifiait une serrure non pas en observant le trou de la clé, mais en tournant la poignée pour voir si la porte s’ouvre. Zhipu AI a intégré la recherche de failles dans son programme d’entraînement, apprenant au modèle à déchiffrer le code, repérer les anomalies et vérifier si elles sont réellement exploitables. Les 2 436 vulnérabilités concernent des noyaux de systèmes d’exploitation, des moteurs de navigateurs, des infrastructures open source et des protocoles réseau — le socle numérique de notre quotidien.
À ce stade, le comportement du modèle a commencé à dépasser les attentes initiales des concepteurs. Selon le blog officiel de Zhipu AI, l’objectif initial de l’entraînement était simplement de rendre le modèle plus performant pour « découvrir et raisonner sur les vulnérabilités ». Cependant, avec l’augmentation de l’échelle d’entraînement, le modèle ne s’est plus satisfait de repérer des défauts isolés — il a commencé à raisonner sur plusieurs étapes pour élaborer des chaînes d’attaque (Attack Chains) complètes. En termes simples, il est passé de « constater qu’une porte n’est pas verrouillée » à « planifier comment s’introduire, franchir le couloir et crocheter la seconde porte ». L’équipe a utilisé le terme d’« émergence » pour décrire ce phénomène : ces capacités offensives n’ont pas été enseignées délibérément ; elles sont apparues spontanément durant l’apprentissage, « plus rapidement que prévu ». La progression la plus spectaculaire a eu lieu dans la planification d’attaques, le domaine qui accusait le plus de retard, ce qui suscite à la fois enthousiasme et inquiétude au sein de la communauté de la cybersécurité.
Figure : Progression des scores de GLM-5.3 par rapport à GLM-5.2 dans les tests d’attaque et de défense cyber. Source : z.ai
Plus contre-intuitif encore est l’origine de ces capacités. GLM-5.3 et GLM-5.2 partagent exactement le même modèle de base (le même « cerveau »). Tous les gains de performance découlent exclusivement de l’amplification de la phase de post-entraînement (Post-training) : davantage de tâches réelles, une durée d’apprentissage prolongée et des ressources de calcul accrues. La déclaration officielle précise : « Tout ce que nous avons fait pour GLM-5.3 a consisté à étendre l’échelle du post-entraînement. » Les résultats sont remarquables : sur Terminal Bench 3.0, qui mesure l’exécution autonome en ligne de commande, le score est passé de 4,6 à 28,3 (soit environ 6 fois plus) ; sur ExploitBench, benchmark d’exploitation de vulnérabilités, il a grimpé de 24,4 % à 54,4 % ; et les performances globales sur les tests internes de programmation ont augmenté de 50 %. En somme, l’épicentre de la compétition entre grands modèles se déplace de « créer un meilleur cerveau » vers « entraîner le même cerveau de manière nettement plus poussée ».
Figure : Résultats comparatifs de GLM-5.3 face aux principaux modèles sur la programmation, la cybersécurité et les tâches générales. Source : z.ai
L’extension du post-entraînement a généré un effet secondaire avantageux : obtenir des performances équivalentes en consommant moins de « calcul de réflexion » (inférence). Lors des évaluations internes, GLM-5.3 a consommé environ 20 % de tokens de raisonnement en moins que GLM-5.2 pour atteindre le même taux de réussite. En configuration de haut niveau de calcul, il a obtenu des taux de réussite supérieurs en utilisant moins de la moitié du temps de réflexion des modèles concurrents. Pour les utilisateurs, cette efficacité se traduit par des réponses plus rapides et des coûts d’appel d’API réduits.
Figure : Benchmark interne de programmation de Z.ai : GLM-5.3 consomme moins de calcul de réflexion pour atteindre une précision identique. Source : z.ai
Du point de vue du secteur, le chiffre le plus marquant est un autre nombre : sur les 2 436 vulnérabilités découvertes, seules 53 ont été corrigées et divulguées publiquement, tandis que les 2 383 autres demeurent dans des processus confidentiels de correctif. La vitesse à laquelle l’IA découvre les failles a dépassé la capacité humaine à les réparer. Les équipes de sécurité accumulent des retards, faisant du processus de divulgation le nouveau goulot d’étranglement. Il s’agit néanmoins d’un réel progrès : pendant des décennies, ces failles n’étaient même pas détectées ; elles sont désormais inscrites dans la file d’attente des correctifs. Si la cadence de correction parvient à suivre, l’audit par IA constituera un atout majeur pour les défenseurs.
Zhipu AI n’a pas éludé la dualité de ces capacités : un modèle doué pour trouver des vulnérabilités possède intrinsèquement la capacité de les exploiter. C’est pourquoi l’entreprise a annoncé un report de deux semaines de la publication des poids du modèle (Open Weights), afin d’effectuer les évaluations de sécurité et les renforcements nécessaires. Ce délai de deux semaines suscite de vifs débats. Une partie des observateurs estime que publier en open source un modèle capable de planifier des attaques revient à distribuer des armes à grande échelle, posant des risques avérés de détournement. À l’inverse, d’autres rappellent que les défenseurs ont un besoin urgent de ces outils : les projets open source manquent cruellement d’auditeurs, et l’IA permet pour la première fois un diagnostic massif des codes existants — plus vite les brèches sont colmatées, plus les utilisateurs sont en sécurité. Plusieurs analystes remarquent également que la mise à disposition des poids reste pour l’instant une annonce, aucun fichier téléchargeable n’étant disponible le jour du lancement. L’évaluation préalable avant l’ouverture constitue le compromis adopté par Zhipu AI.
Il convient enfin de préciser que cette capacité offensive n’est pas l’apanage des laboratoires chinois. Sur des benchmarks plus exigeants de chaînes d’attaque, des modèles fermés tels qu’Anthropic Fable 5 et GPT-5.6 Sol conservent leur avance : lors d’épreuves chronométrées de six heures, ils ont accompli respectivement 247 et 293 tâches, contre 130 pour GLM-5.3. La montée en puissance des capacités offensives de l’IA est une tendance partagée par l’ensemble des modèles de pointe à l’échelle mondiale, Zhipu AI s’imposant comme l’un des challengers les plus agressifs dans le domaine des poids open source. Le domaine où la progression est la plus rapide est précisément celui où l’écart initial était le plus grand — un constat qui vaut aussi bien pour l’attaque que pour la défense.
Liens de référence :
- Blog officiel de Z.ai : Annonce de GLM-5.3 « Frontier Coding with Emergent Cyber Capabilities »
- Discussion Hacker News (item?id=49294997)
- Axios : Zhipu reporte le lancement open source de GLM-5.3 en raison de risques de piratage
- VentureBeat : Couverture du lancement de GLM-5.3 (incluant les vulnérabilités de Cursor)
- Registre de divulgation de sécurité de Z.ai (Security Disclosure Ledger)
