Vulnérabilités logicielles liées à l’IA : 2025-2026

Pourquoi les vulnérabilités logicielles liées à l’IA augmentent plus vite que le reste du paysage des CVE, et ce que les équipes de défense devraient faire à ce sujet.

Ce qu’il faut retenir

• Les CVE liées à l’IA connaissent une croissance accélérée. Les logiciels d’IA ont généré environ 870 CVE en 2025, tandis que les cinq premiers mois de 2026 en comptaient déjà plus de 1 200, signe d’une expansion rapide de la surface d’attaque liée à l’IA. 

• Les vulnérabilités des logiciels d’IA ont tendance à être plus graves et plus facilement exploitables. Les CVE liées à l’IA affichent des scores CVSS moyens plus élevés et un risque d’exploitation basée sur l’EPSS plus important que l’ensemble de l’écosystème des vulnérabilités.

• La catégorie la plus à risque n’est pas le modèle lui-même, mais l’écosystème qui l’entoure. Les cadres d’agents d’IA, les intégrations d’outils, les plateformes d’applications LLM et les systèmes connectés par API concentrent la plus forte proportion de vulnérabilités sévères, ce qui en fait une priorité pour les équipes de défense.

Les logiciels d’IA et d’apprentissage automatique (ML) génèrent un flux constant de vulnérabilités et expositions courantes (Common Vulnerabilities and Exposures, CVE) dans les cadres d’apprentissage profond, les piles de déploiement de modèles, les plateformes d’applications LLM, les cadres d’agents et les assistants d’IA d’entreprise. Cet article examine cet ensemble de logiciels liés à l’IA dans sa globalité et le compare au reste du corpus de vulnérabilités sur 2025 et les premiers mois de 2026 : la gravité de ses vulnérabilités, leur probabilité d’être exploitées, les faiblesses prédominantes et les développeurs des logiciels affectés.

Champ d'application et données

Nous nous appuyons sur la Base de données nationale des vulnérabilités (NVD) des États-Unis et l’Exploit Prediction Scoring System (EPSS). Une CVE est considérée comme liée à l’IA lorsque notre pipeline d’annotation classe le logiciel concerné comme relevant de la technologie IA/ML. Les catégories que nous suivons, avec quelques exemples connus pour chacune, sont les suivantes :

Nous isolons les logiciels implémentant le Model Context Protocol (MCP) comme sous-ensemble mis en avant dans plusieurs graphiques, car il s’avère être la sous-catégorie la plus atypique. Sauf indication contraire, les graphiques couvrent les CVE publiées en 2025. Les sections consacrées à la croissance et à la comparaison annuelle s’étendent jusqu’en 2026.

Résumé des résultats

• La surface s’étend rapidement. Environ 870 CVE liées à l’IA ont été publiées en 2025 ; les cinq premiers mois de 2026 en ont déjà produit plus de 1 200, une trajectoire en voie de doubler largement le total de l’année dernière.

• Les vulnérabilités liées à l’IA sont plus graves. Le score de base CVSS (Common Vulnerability Scoring System) moyen s’établit à 7,09, contre 6,61 pour le reste des logiciels (un écart statistiquement significatif), avec environ 55 % des vulnérabilités classées élevées ou critiques, contre 44 % pour les logiciels non liés à l’IA.

• Elles sont aussi plus accessibles et ont davantage d’impact. Elles privilégient les vecteurs d’attaque réseau, requièrent moins de privilèges, et présentent un impact plus élevé sur la confidentialité et l’intégrité. En revanche, la complexité de l’attaque et l’interaction requise avec l’utilisateur ne constituent pas des éléments distinctifs pour l’ensemble de la cohorte IA.

• Le profil des faiblesses est large, et n’est pas dominé par l’injection. Là où le MCP se concentre autour de l’injection de commandes, l’ensemble plus large des logiciels d’IA se répartit entre le cross-site scripting (XSS), l’injection de code, la falsification de requêtes côté serveur (SSRF), la désérialisation non sécurisée et l’absence d’autorisation.

• La majeure partie est open source. Les produits concernés sont dominés par des projets d’agents et d’applications LLM open source ; 59 % des CVE de 2025 liées à l’IA affectent des logiciels open source.

• Le risque d’exploitation à court terme est plus élevé que les valeurs de référence mesurées par l’EPSS, et ce sont les sous-catégories agentiques et orientées API qui en concentrent l’essentiel. 

• L’attribution publique à des acteurs malveillants reste quasiment inexistante. Sur les quelque 2 100 CVE liées à l’IA recensées entre 2025 et 2026, une seule est associée à des acteurs de la menace nommés, et cette attribution unique est elle-même sujette à caution.

La surface d’attaque de l’IA augmente rapidement

La publication de CVE liées à l’IA a progressé tout au long de 2025 et s’est nettement accélérée en 2026 : une cohorte ayant produit environ 870 CVE sur l’ensemble de 2025 en avait déjà publié plus de 1 200 à la fin du mois de mai 2026. Les volumes mensuels, qui oscillaient entre 50 et 95 sur une bonne partie de 2025, ont atteint 347 en mai 2026. Le corpus non lié à l’IA a lui aussi progressé, mais de façon bien moins marquée : la part de l’IA dans les nouvelles CVE augmente, elle ne reste pas stable.

Gravité

Les vulnérabilités des logiciels liés à l’IA sont plus graves que celles des autres logiciels. Le score de base CVSS moyen s’élève à 7,09, contre 6,61 pour la référence non liée à l’IA ; cette différence est statistiquement significative (test t de Welch, p < 0,001). 17 % des CVE liées à l’IA sont classées critiques, soit près du double du taux de 8,7 % observé dans le reste du corpus, et environ 55 % sont classées élevées ou critiques. Le sous-ensemble MCP est supérieur encore, avec une moyenne de 7,62.

L’empreinte CVSS

Plutôt que de représenter chaque composant du vecteur CVSS séparément, la figure 3 montre la part de chaque cohorte se situant à la valeur à haut risque de l’ensemble des composants. C’est cette forme qui raconte l’histoire. Les vulnérabilités liées à l’IA sont nettement plus accessibles sur le réseau (89 % ont un vecteur d’attaque réseau, contre 73 % pour les logiciels non liés à l’IA) et requièrent moins de privilèges pour être exploitées (59 % n’en nécessitent aucun, contre 48 %). Elles ont également un impact plus fort une fois exploitées, avec des taux d’impact élevé plus importants sur la confidentialité (48 % contre 38 %) et l’intégrité (39 % contre 31 %).

La complexité des attaques est faible pour environ 91 % des CVE dans les deux groupes, et l’interaction requise avec l’utilisateur est, si tant est qu’elle diffère, légèrement plus faible pour les logiciels d’IA. Il convient de le dire clairement : le schéma d’exploitation « agentique, probabiliste, à forte complexité » qui caractérisait le sous-ensemble MCP n’est pas une propriété des logiciels liés à l’IA en général. La cohorte générale ressemble à un logiciel applicatif exposé au réseau classique, simplement plus marqué en matière d’accessibilité et d’impact.

Quel logiciel d'IA est le plus risqué ?

Une fois décomposée par sous-catégorie, deux tendances émergent. Premièrement, la couche d’applications LLM auto-hébergés domine en volume : les plateformes d’applications LLM (Open WebUI, Dify, LibreChat, Lunary et équivalents) constituent désormais la plus grande sous-catégorie, avec 291 CVE en 2025, une gravité élevée (moyenne de 7,2) et le deuxième risque d’exploitation à court terme le plus élevé selon l’EPSS. Deuxièmement, les protocoles d’agents et les intégrations qui relient les modèles aux outils arrivent en tête sur les deux mesures : la gravité moyenne la plus élevée (7,6) et le risque d’exploitation le plus élevé selon l’EPSS. Les couches de déploiement de modèles Transformers et de bibliothèques ML (vLLM, Ollama, LlamaIndex, MLflow) suivent de près, entre 7,4 et 7,5. Les assistants d’IA d’entreprise se situent à un niveau plus modéré (7,0), et les cadres d’apprentissage profond arrivent en dernier (6,5).

Le message à retenir pour les équipes de défense : plus un logiciel d’IA se rapproche de l’exécution d’actions au nom d’un utilisateur (intermédiation des appels de modèles, connexion des agents aux outils, exécution de code généré), plus ses vulnérabilités ont tendance à être graves.

Failles courantes

C’est ici que la cohorte générale d’IA diverge le plus nettement du MCP. Le sous-ensemble MCP était dominé par l’injection de commandes : les CWE (Common Weakness Enumeration) CWE-78 (30 %) et CWE-77 (23 %) représentaient à elles seules plus de la moitié de ses CVE. La cohorte IA au sens large ne présente pas de faiblesse dominante de ce type. Ses principales faiblesses sont le cross-site scripting (CWE-79, 9,6 %), l’injection de code (CWE-94, 7,2 %), l’absence d’autorisation (CWE-862, 6,8 %), la désérialisation non sécurisée (CWE-502, 6,6 %) et la falsification de requêtes côté serveur (CWE-918, 5,7 %), l’injection de commandes restant présente mais sans plus être dominante.

Ce profil correspond à celui d’un écosystème applicatif web en évolution rapide : les projets de déploiement de modèles et d’applications LLM exposent des points de terminaison HTTP, affichent les sorties des modèles dans des interfaces web (XSS), récupèrent des ressources distantes pour le compte du modèle (SSRF), chargent des artefacts de modèles sérialisés (désérialisation) et ajoutent l’authentification tardivement (absence d’autorisation). La désérialisation non sécurisée et le SSRF sont bien plus fréquents ici que dans la référence non liée à l’IA, en raison de la manière dont les logiciels d’IA chargent les fichiers de modèles et sollicitent des services externes.

Qui le développe, et la question de l'open source

Les fournisseurs les plus représentés dans les CVE liées à l’IA sont, à quelques exceptions près, des projets open source de plateformes d’applications LLM et d’agents : la Linux Foundation, Dify, Lunary, vLLM, LibreChat, Hugging Face, Cursor et Open WebUI, aux côtés d’un petit nombre de fournisseurs propriétaires tels que Microsoft. Globalement, 59 % des CVE liées à l’IA de 2025 concernent des logiciels open source et 41 % des logiciels propriétaires.

Cette prédominance de l’open source a une double signification. Elle reflète en partie la transparence propre à ce modèle (n’importe qui peut déposer une CVE contre un projet ouvert), plutôt qu’une insécurité intrinsèque de l’open source. Mais elle traduit aussi une réalité concrète : une grande partie de la couche applicative de l’IA est développée au sein de projets open source en évolution rapide, qui n’ont pas encore accumulé le niveau de renforcement sécuritaire des cadres web matures. Pour les consommateurs, l’implication pratique est que la surface de risque d’un déploiement d’IA constitue en grande partie une surface de risque liée à la chaîne d’approvisionnement.

Exploitabilité

Le catalogue des vulnérabilités exploitées connues (Known Exploited Vulnerabilities, KEV) de la CISA ne recense qu’environ une CVE sur 300 et se révèle trop peu fourni pour caractériser une cohorte de cette taille. Nous utilisons donc l’EPSS, qui estime la probabilité d’exploitation dans des conditions réelles. Selon l’EPSS, les vulnérabilités liées à l’IA présentent un risque d’exploitation à court terme nettement plus élevé : une moyenne de 0,017 contre 0,010 pour les logiciels non liés à l’IA, avec 1,3 % des scores supérieurs à 0,5 (contre 0,7 %). L’écart entre les distributions est important et hautement significatif (test de Mann-Whitney, p < 0,001). Le sous-ensemble MCP est supérieur encore, avec 3,0 % des scores supérieurs à 0,5. En résumé, l’écosystème émergent de l’IA ne produit pas seulement des vulnérabilités plus graves, mais également plus susceptibles d’être exploitées à court terme.

Les acteurs malveillants ciblent-ils déjà les logiciels d’IA ?

Voici la réponse : pas de façon visible, pas encore. Sur les quelque 2 100 CVE liées à l’IA publiées en 2025 et 2026, nos données d’attribution n’en relient qu’une seule à des acteurs malveillants nommés : CVE-2026-22813, une faille d’injection HTML dans OpenCode, un agent de codage IA open source. Et cette attribution constitue en elle-même un exemple de prudence : elle relie une simple faille XSS open source à cinq groupes distincts liés à des États (Gamaredon, MuddyWater, Kimsuky, Mustang Panda et Volt Typhoon) à la fois, un schéma qui en dit bien plus long sur le bruit inhérent à l’attribution automatisée que sur l’existence d’une campagne réelle.

L’écart entre la surface d’attaque et l’attribution est précisément le point à retenir. Les vulnérabilités sont bien présentes, elles sont graves, et elles sont de plus en plus exploitables, mais l’attribution publique de l’exploitation des logiciels d’IA accuse un retard considérable. Les équipes de défense qui attendraient l’identification d’un acteur nommé avant de traiter cette surface comme une cible risquent d’attendre longtemps. Les indicateurs avancés sont les cas d’exploitation documentés mais non attribués observés dans l’univers du MCP : l’exécution de code à distance (RCE) non authentifiée dans MCP Inspector (CVE-2025-49596) et l’injection de commandes dans mcp-remote (CVE-2025-6514), pas une étiquette issue de renseignements sur les menaces.

Comparaison annuelle : 2026 est-elle pire ?

Jusqu'à présent, 2026 ressemble plutôt à une continuité de 2025 qu'à quelque chose de qualitativement pire. Le volume a fortement augmenté, mais le profil de gravité est essentiellement inchangé.

Les scores EPSS apparaissent plus faibles pour la cohorte 2026, mais il s’agit d’un artefact plutôt que d’une bonne nouvelle. En effet, l’EPSS des CVE publiées très récemment n’a pas encore atteint sa pleine maturité, si bien qu’une cohorte de l’année en cours paraîtra toujours plus calme qu’elle ne se révélera l’être à terme. L’évolution du volume est le véritable sujet.

Recommandations

Pour les éditeurs de logiciels

Le profil des faiblesses appelle des défenses bien connues, appliquées à un nouveau contexte. Traitez le code des applications d’IA comme le logiciel web exposé au réseau qu’il est : assainissez les sorties des modèles avant de les afficher (XSS), contraignez et validez les requêtes sortantes (SSRF), évitez la désérialisation non sécurisée des artefacts de modèles et des données non fiables, et appliquez systématiquement l’authentification et l’autorisation à chaque point de terminaison, par défaut et non a posteriori. Pour les composants d’agents et d’appel d’outils, ajoutez des contrôles spécifiques à l’IA : sandboxing, application du principe de moindre privilège pour le contexte hôte, signature et vérification des outils, et confirmation humaine pour les actions sensibles.

Pour les entreprises (consommateurs de logiciels)

La surface de risque de l’IA étant très majoritairement une surface liée à la chaîne d’approvisionnement, recensez les composants d’IA open source de votre pile comme vous le feriez pour toute dépendance, et suivez leurs avis de sécurité. Demandez aux fournisseurs et aux projets des résultats de tests d’intrusion portant sur les classes de faiblesses évoquées ci-dessus, et priorisez l’application des correctifs pour les composants agentiques et d’intermédiation d’API, qui se révèlent à la fois les plus graves et les plus susceptibles d’être exploités selon ces données. N’attendez pas une attribution à un acteur malveillant pour traiter cette surface comme une cible.

Données : NVD et EPSS, instantané du 10 juin 2026, 20 h 47 (UTC).Les cohortes sont définies par le pipeline de classification IA du projet ; la référence non liée à l’IA regroupe toutes les autres CVE publiées sur la même période. Les totaux ne tiennent compte que des CVE disposant des données pertinentes (par exemple, un vecteur CVSS ou un score EPSS) et excluent celles qui en sont dépourvues. N’hésitez pas à partager, adapter ou vous appuyer sur ce travail ; l’attribution est appréciée mais non obligatoire. 

Analyse quotidienne des CVE · Données : NVD, EPSS, KEV CISA, MITRE ATLAS, top 10 de l’OWASP pour les LLM