L’épisode révèle une évolution structurelle : la découverte accélérée de vulnérabilités—impulsée par l’IA—dépasse les capacités de correction. Microsoft et des groupes tels qu’Epoch AI rapportent des records, Microsoft ayant corrigé 1 411 failles en un Patch Tuesday, et plus de 2 500 failles graves signalées en juillet d’après Epoch AI. Ce contexte remet en question les politiques de correction reposant uniquement sur la sévérité.
L’écart se creuse entre vulnérabilités signalées et exploitées. L’IA d’Anthropic a identifié plus de 10 000 failles, tandis que le catalogue KEV de la CISA—basé sur l’exploitation avérée—progresse moins vite. Les nouvelles directives de la CISA priorisent la remédiation selon l’exposition et la preuve d’exploitation, au-delà de la seule gravité.
Cette évolution accroît la pression opérationnelle : selon Nerdio, 60 % des prestataires informatiques jugent la complexité supérieure à leur capacité de croissance et 29 % subissent une perte de techniciens liée au burn-out. Les grandes entreprises ajoutent du personnel, mais la plupart ne peuvent suivre ce modèle.
Conséquence : les politiques de patch garantissant la correction de toute faille critique deviennent intenables. Il faut privilégier la hiérarchisation active des risques, une gestion dynamique et une transparence accrue avec les clients sur les failles différées, alors que l’examen par les assureurs et auditeurs s’intensifie.