Points clés à retenir
- Commvault intègre la détection des vulnérabilités par IA de pointe dans son programme de sécurité axé sur les risques, plutôt que de considérer l’IA comme une solution autonome.
- Chaque résultat généré par l’IA est examiné et validé par des experts humains avant que des décisions de correction ne soient prises.
- Frontier AI vient compléter les pratiques de sécurité établies, telles que l’analyse statique, l’analyse dynamique et les tests d’intrusion, en élargissant la couverture du code et en identifiant des scénarios d’exploitation plus complexes.
- Commvault applique une gouvernance rigoureuse en matière de code source, d’accès des fournisseurs et de gestion des vulnérabilités.
- Commvault investit dans des processus évolutifs de gestion des vulnérabilités afin de pouvoir réagir efficacement face à l’augmentation du nombre de problèmes de sécurité potentiels générés par l’intelligence artificielle.
Dans l’ensemble du secteur de la sécurité, l’intelligence artificielle et les grands modèles linguistiques sont mis à contribution pour la détection des vulnérabilités, ce qui permet aux équipes d’évaluer davantage de code, d’explorer davantage de voies d’attaque et d’identifier les failles exploitables plus rapidement qu’avec une analyse manuelle seule. Il ne s’agit pas d’une expérience marginale. C’est un changement radical dans le niveau de rigueur qu’une évaluation de sécurité peut atteindre, et cela modifie les attentes raisonnables des clients vis-à-vis de leurs éditeurs de logiciels.
Les clients posent régulièrement les questions suivantes à leurs éditeurs de logiciels : « Testez-vous vos propres produits en simulant les méthodes qu’un cybercriminel pourrait utiliser ? » « Les processus qui sous-tendent ces tests sont-ils suffisamment rigoureux pour s’adapter à l’évolution des menaces ? » Ce sont là les bonnes questions à poser.
Notre approche : des processus solides, pas un outil unique
La stratégie de sécurité de Commvault repose sur des processus solides et reproductibles, plutôt que sur la dépendance à l’égard d’un outil, d’un modèle ou d’un fournisseur en particulier.
La gestion des vulnérabilités s’appuie sur un cadre bien établi, fondé sur les risques : les vulnérabilités identifiées sont évaluées en fonction de leur exploitabilité pratique, classées par ordre de priorité en fonction de leur gravité et de leur exposition, puis corrigées dans le cadre de notre cycle de vie de développement standard. Ce cadre s’applique de la même manière, que la vulnérabilité ait été détectée lors d’un test d’intrusion, par un chercheur externe ou par l’IA.
La détection des vulnérabilités par l’IA est intégrée à ce cadre en tant que capacité supplémentaire, et non comme un programme distinct fonctionnant selon ses propres règles. Les résultats potentiels générés par des méthodes d’IA sont traités comme des données nécessitant une confirmation humaine de leur exploitabilité avant qu’aucune mesure corrective ne soit prise. Cette étape permet d’éviter simultanément deux types d’échecs : la sous-priorisation d’un risque réel et le gaspillage de ressources sur des faux positifs.
L’IA en complément des pratiques de sécurité établies
Les méthodes d’intelligence artificielle ne remplacent pas les disciplines qui ont toujours défini une gestion responsable des vulnérabilités. L’analyse statique, l’analyse dynamique, les tests d’intrusion et les outils de scan éprouvés restent des éléments essentiels de notre programme. L’IA apporte une profondeur d’analyse : elle permet d’évaluer un ensemble plus large de chemins d’exécution, de modéliser des conditions d’exploitation plus complexes et de mettre en évidence des résultats qui nécessitent une compréhension contextuelle plutôt qu’une simple mise en correspondance de motifs.
Notre programme de gestion des vulnérabilités est, de par sa conception, indépendant de tout outil et de tout modèle. Nous ne dépendons d’aucun fournisseur ni d’aucun modèle en particulier, et de nouvelles approches peuvent être intégrées à mesure qu’elles font leurs preuves, sans qu’il soit nécessaire de repenser l’architecture de la gestion ou de la correction des vulnérabilités détectées. L’avantage ne réside pas dans le modèle que nous utilisons, mais dans le fait que le processus sous-jacent soit suffisamment rigoureux pour donner suite aux résultats fournis par ce modèle.
Gouvernance et contrôles
Chaque analyse par IA que nous effectuons respecte les mêmes principes de gouvernance :
- Les modèles d’IA font l’objet d’une vérification préalable à leur utilisation. Tout accès aux fournisseurs et aux outils est régi par un accord de confidentialité officiel et des conditions générales d’engagement.
- Les découvertes sont traitées selon le même processus d’examen technique de sécurité que celui utilisé pour toutes les autres sources de vulnérabilités.
- Aucun résultat généré par l’IA n’est pris en compte sans un tri effectué par un humain et une confirmation de son exploitabilité.
De la recherche de candidats à la solution validée
Les résultats générés par l’IA sont considérés comme des pistes, et non comme des vulnérabilités confirmées. Chacune d’entre elles est évaluée par des ingénieurs et des experts en sécurité des produits afin de déterminer si elle peut être exploitée concrètement dans des environnements clients réalistes. Les niveaux de gravité sont attribués en fonction de l’exposition, de l’exploitabilité et de l’impact, et non en fonction de la manière dont la faille a été détectée. Les vulnérabilités confirmées suivent les mêmes délais de correction et les mêmes procédures d’escalade que celles provenant de toute autre source, la priorité étant déterminée par leur gravité et leur exposition.
Premières informations concernant le « Patch Tuesday » – août 2026
Notre premier « Patch Tuesday », publié le 11 août 2026, comprend les informations suivantes :
| ID CVE | Gravité | Résumé |
| CVE-2026-13737 | Critique | CommServe présentait une faille permettant de contourner la liste blanche, ce qui affectait l’autorisation d’exécution des commandes. |
| CVE-2026-13738 | Critique | CommServe présentait une faille permettant de contourner les autorisations et affectant un ensemble limité d’opérations d’exécution de commandes. |
| CVE-2026-13739 | Élevé | Une interface héritée du Command Center présentait une vulnérabilité de type « Server-Side Request Forgery » (SSRF) sans authentification, liée au traitement d’URL cibles arbitraires. |
Les avis techniques complets, comprenant les versions concernées et les recommandations de correction, sont disponibles sur notre page « Avis de sécurité ». Pour en savoir plus sur le passage à une cadence mensuelle, consultez l’article « Renforcer la confiance dans les divulgations CVE
».
Pourquoi la préparation opérationnelle est plus importante que n’importe quel outil pris isolément
À mesure que la détection des vulnérabilités par l’IA devient une pratique courante dans le secteur, le volume de résultats potentiels que les équipes de sécurité doivent évaluer ne cessera d’augmenter. La question qui importe pour tout éditeur de logiciels d’entreprise n’est pas de savoir quel modèle d’IA il utilise. Il s’agit plutôt de déterminer si son processus de gestion des vulnérabilités est suffisamment mature et évolutif pour gérer ce flux sans créer de retard qui augmenterait l’exposition des clients.
Nous accompagnons nos investissements dans l’IA d’investissements équivalents dans l’infrastructure opérationnelle nécessaire pour donner suite à ses découvertes : capacité de tri, hiérarchisation par niveau de gravité, suivi des mesures correctives et pratiques coordonnées de divulgation. La valeur de notre investissement dépend entièrement de la capacité de réaction qui le sous-tend.
FAQ
Q : Quelle est l’approche de Commvault en matière de tests de sécurité basés sur une IA de pointe ? R : Nous évaluons activement nos produits à l’aide de méthodes d’IA dans le cadre de notre programme structuré d’ingénierie de la sécurité. Nous testons de manière réfléchie différents modèles et outils afin de détecter toute vulnérabilité potentielle qui n’aurait pas été découverte auparavant par des humains ou par les tests existants. Ce travail suit le même processus de gestion des vulnérabilités que toute autre forme de test. Ce travail est déjà en cours ; il ne s’agit pas d’un élément de notre feuille de route. Q : Comment Commvault se prépare-t-il à la détection des vulnérabilités par l’IA ? R : Nous avons développé un programme conçu pour être indépendant de tout modèle et de tout outil. Notre objectif est de veiller à ce que nos pratiques d’ingénierie de la sécurité puissent intégrer les meilleures méthodes disponibles parmi toute une gamme d’outils d’IA, au sein d’un cadre cohérent de gouvernance et de gestion des risques.
Q : Commvault utilise-t-il ces modèles en toute sécurité ? R : Oui. Toutes les analyses effectuées par l’IA font l’objet d’une vérification approfondie. L’accès des fournisseurs et des outils est régi par un accord de confidentialité (NDA) officiel et des conditions d’engagement, et chaque résultat généré par l’IA doit être validé par un humain quant à sa pertinence avant que toute mesure corrective ne soit prise. Q : Comment Commvault adapte-t-il la gestion des vulnérabilités à l’ère de l’IA ?
R : Notre priorité est de veiller à ce que le processus de réponse s’adapte au volume de données à analyser et à son rythme. L’IA augmentant le nombre de résultats potentiels que nos équipes doivent examiner, nous investissons dans un tri basé sur les risques, dans des accords de niveau de service cohérents en matière de correction, ainsi que dans l’infrastructure opérationnelle nécessaire pour traiter un débit de détection plus élevé dans des délais raccourcis, afin de réduire l’exposition au risque de nos clients.
Bill O’Connell est directeur de la sécurité chez Commvault.
