Le rapport « State of AI Impact on Software Security and Cybersecurity 2026 », publié par la Linux Foundation, met en lumière un défi moins spectaculaire que les injections de prompt ou les attaques sur la chaîne d’approvisionnement : la maintenance routinière des composants logiciels. Les données recueillies auprès de 308 professionnels de la sécurité, travaillant dans des entreprises et des projets open source, indiquent que la gestion du volume croissant de mises à jour constitue un point de friction majeur.

Bien que 93 % des experts interrogés s’inquiètent des attaques sur la chaîne d’approvisionnement et 90 % de l’injection de prompt, le fossé de préparation le plus marqué concerne la génération automatisée d’exploits. Pourtant, le talon d’Achille semble résider dans la mise à jour des composants existants. Quatre-vingt-trois pour cent des praticiens expriment leur inquiétude face à la charge de travail supplémentaire engendrée par un flux important de mises à jour, mais seulement 44 % se disent préparés à gérer ce rythme.

Cette pression est amplifiée par l’intégration des outils de codage assistés par IA. Les chiffres sont éloquents : 60 % des organisations ou projets sondés affirment que ces outils ont augmenté le nombre de dépendances externes dans leur code. Les équipes, quant à elles, ne passent en revue les dépendances transitives — c’est-à-dire les paquets apportés par les dépendances principales — qu’environ la moitié du temps. En parallèle, 58 % des entités déclarent livrer du code plus rapidement que les processus de révision de sécurité ne peuvent suivre.

Difficile de ne pas voir l’IA comme un accélérateur de dette technique. Les raisons pour lesquelles les correctifs sont reportés sont claires : 28 % des cas sont dus au risque de casser quelque chose en production, suivis par le manque de temps (22 %). Abby Kearns, CEO d’ActiveState, a souligné cette dynamique : « chaque dépendance ajoutée vient avec des années d’entretien, et ce travail n’est presque jamais doté des ressources allouées aux nouvelles fonctionnalités » (OpenSSF).

L’impact organisationnel est également révélateur. Les équipes disposant d’un rôle dédié à la sécurité des menaces liées à l’IA fixent les alertes nouvellement émises plus rapidement : 43 % par rapport à seulement 23 % pour les équipes n’ayant pas ce rôle formel. Cela conduit à ce que le rapport nomme la « dette de sécurité », où les alertes moins urgentes s’accumulent.

Face à cela, les recommandations sont précises. Il faut décider qui est propriétaire de la sécurité liée à l’IA sur l’équipe, et réduire les dépendances non essentielles. Selon le rapport, « Une dépendance en moins signifie un facteur de moins sous la juridiction de l’équipe de sécurité » (linuxfoundation.org). Il faut aussi s’assurer que les composants conservés proviennent d’une source validée et régulée.

Pour les dirigeants, la question à se poser est de savoir quelle proportion de leur backlog résulte d’une appréhension du risque de patching plutôt que de l’absence de correctif. Si cette part est importante, le simple fait de scanner le code ne suffira plus. On doit surveiller comment les équipes vont structurer la responsabilité de cette maintenance qui, semble-t-il, est le prochain champ de bataille technique.

Sources

• State of AI Impact on Software Security and Cybersecurity 2026, linuxfoundation.org
• The AI Security Gap Hiding in Routine Maintenance, OpenSSF, 9 novembre 2026
• Why Architectural Intent is Becoming Critical to Software Security, iTWire, 5 novembre 2026
• Fast Code, Slow Feedback: Fixing CI for the Age of AI Agents, DevOps.com, 3 novembre 2026