Enquête : les équipes de sécurité se méfient de plus en plus des outils de tests d’intrusion entièrement automatisés

Les professionnels de la sécurité semblent perdre confiance dans les tests d’intrusion entièrement automatisés, selon un nouveau rapport de Cobalt, une entreprise spécialisée dans la sécurité offensive.

L’enquête 2026 de l’entreprise sur l’état des tests d’intrusion suggère que de nombreuses équipes sont devenues frustrées par des outils qui promettent une couverture étendue, mais qui manquent en pratique des problèmes graves. Cobalt indique que 78 % des personnes interrogées ont signalé des « faux négatifs critiques » produits par des scanners automatisés, en particulier lors du test d’environnements intégrant des composants d’IA et de grands modèles de langage.

Pourquoi le scepticisme s’accroît

Selon Cobalt, les scanners traditionnels restent utiles pour détecter les vulnérabilités connues fondées sur des signatures. Le problème, affirme l’entreprise, est que ces outils peinent souvent à repérer les failles qui nécessitent davantage de contexte, des interactions en chaîne ou une exploration similaire à celle d’un humain.

Cela est encore plus important dans les systèmes pilotés par l’IA, où des problèmes de sécurité tels que l’injection de commandes ou l’autonomie excessive des agents peuvent ne se manifester qu’après plusieurs étapes d’interaction. Cobalt estime que ce type de faille logique a peu de chances d’être détecté par des contrôles automatisés effectués en une seule passe.

• Seulement 9 % des personnes interrogées se sont déclarées favorables à des tests d’intrusion entièrement autonomes, contre 29 % un an plus tôt.
• 78 % ont déclaré avoir observé des faux négatifs critiques provenant d’outils automatisés.
• Dans les environnements traditionnels, environ 12 % des vulnérabilités détectées ont été classées comme élevées ou critiques.
• Dans les environnements d’IA et de grands modèles de langage, ce chiffre est passé à 32 % et se maintient à ce niveau depuis deux ans, selon Cobalt.

Les tests hybrides gagnent du terrain

Cobalt estime que l’abandon de l’automatisation complète ne constitue pas nécessairement un revers pour le secteur. L’entreprise affirme au contraire que les organisations recherchent de plus en plus une garantie de sécurité plutôt qu’une simple couverture des analyses, et que les systèmes les plus sensibles nécessitent toujours un jugement humain.

L’échantillon du rapport était relativement restreint, avec 450 personnes interrogées, mais ses conclusions font écho à une préoccupation plus large dans le secteur : le développement assisté par l’IA génère davantage de travail de sécurité que ce que de nombreuses équipes peuvent absorber sereinement.

Tout le monde ne se montre pas aussi prudent. CJ Moses, responsable de la sécurité chez Amazon, a déclaré que les tests d’intrusion fondés sur l’IA avaient amélioré l’efficacité des équipes, tout en soulignant que les humains devaient continuer à participer à la prise de décision et à la supervision.

Pour l’instant, la tendance semble favoriser une approche mixte : des outils automatisés pour passer à l’échelle, et des testeurs humains pour les problèmes les plus complexes.