L’émission met en lumière un changement structurel : le patching classique n’est plus suffisant, car la publication d’un correctif sert désormais de signal aux attaquants, qui accélèrent et automatisent les attaques, notamment grâce à l’IA. OpenAI, Microsoft, la CISA et le rapport 2026 de Verizon servent de référence à ce constat.
L’élément clé, selon Verizon, : l’exploitation des failles est la première cause de brèches (31%), devant le vol de credentials et le phishing. Seuls 26% des failles exploitées sont entièrement corrigées, et le délai de correction s’allonge. Aux États-Unis, 263 000 serveurs PHP restent non maintenus, et des attaques coordonnées assistées par IA ont réduit la fenêtre d’exploitation, comme le montre le cas ConnectWise.
Les réponses des éditeurs illustrent ce contexte de risque : N-able déploie le patching assisté par IA mais a vu sa propre plateforme compromise. Krugman et Thompson entrevoient un déplacement progressif vers des plateformes fermées, au prix de workflows plus lents, pour réduire le risque d’exposition.
Pour la prestation informatique, le critère opérationnel devient la réduction réelle des actifs exposés des clients, et non plus la simple conformité du patch. Il faut classer les ressources publiques, déplacer les services critiques sur des plateformes gérées ou derrière accès contrôlé, et centrer les rapports trimestriels sur la réduction de la surface attaquable. Le patch reste un filet de sécurité, mais la responsabilité se concentre sur la limitation de l’exposition, à mesure que l’IA s’impose des deux côtés.