Chatbots, agents IA et RAG : choisir la bonne solution IA
Découvrez comment chatbots, agents IA et systèmes RAG transforment le support IT et la gestion des connaissances, et comment choisir...
Le patch management (gestion des correctifs) consiste à identifier, prioriser, tester et déployer les mises à jour de sécurité sur l’ensemble du parc informatique.
À l’ère de l’IA, le défi a changé de nature : les vulnérabilités sont exploitées en quelques heures, le volume de failles explose, et la priorisation au seul score de gravité ne suffit plus. La stratégie gagnante combine priorisation par le risque, automatisation encadrée et mesures compensatoires.
Cet article fait le point sur la pression actuelle, le double rôle de l’IA, et surtout la stratégie concrète à mettre en place pour réduire vraiment les vulnérabilités : priorisation EPSS et KEV, délais de remédiation par criticité, automatisation et garde-fous.
Pourquoi le patch management est-il sous tension ?
Le constat chiffré est sans appel. En 2025, un nombre record de 48 185 CVE ont été publiées, soit une hausse de 20,6 % par rapport aux 39 962 de 2024 ; l’organisation FIRST anticipe près de 59 000 nouvelles vulnérabilités pour 2026.
Côté éditeurs, la tendance est identique : Microsoft a corrigé plus de 130 failles sur un seul Patch Tuesday début 2026, et plus de 500 depuis le début de l’année.
Or l’écart entre la pratique et la menace est béant. La plupart des organisations appliquent encore des cycles de correctifs mensuels, voire trimestriels, alors que l’exploitation se mesure désormais en heures. Une faille non corrigée n’est plus une ligne de backlog : c’est une surface d’attaque directement exploitable.
Pourquoi l’IA change-t-elle la donne ?
Pourtant, toutes les vulnérabilités ne se valent pas. Environ 1 % seulement des CVE publiées sont confirmées comme exploitées dans la nature, soit moins de 500 sur l’année 2025. Le problème n’est donc pas le volume brut, mais l’incapacité à distinguer le bruit du danger réel et à corriger assez vite ce qui compte.
L’intelligence artificielle accélère le cycle des deux côtés du front :
- côté attaquant, elle industrialise et raccourcit la chaîne d’exploitation ;
- côté défenseur, elle aide à trier et à corriger plus vite.
L’IA est aussi devenue une cible à part entière : environ 1 418 CVE liées à des composants d’IA ont été publiées en 2025 (près de 3 % du total), avec une gravité supérieure à la moyenne (57 % élevées, 37 % critiques).
La surface à corriger s’élargit donc en même temps qu’elle s’accélère. C’est précisément ce qui rend obsolète l’approche traditionnelle fondée sur le seul calendrier et le seul score de gravité.
Pourquoi le CVSS ne suffit plus : prioriser par le risque
Le score CVSS mesure la sévérité technique intrinsèque d’une faille, dans l’absolu. Il ne dit ni la probabilité réelle d’exploitation, ni l’exposition de l’actif concerné, ni sa valeur métier.
Résultat : une organisation qui priorise au CVSS corrige beaucoup de failles graves mais jamais exploitées, et passe parfois à côté de celles qui le sont déjà. La priorisation moderne croise plusieurs signaux.
Deux faits guident cette priorisation. D’abord, les failles déjà connues dominent : 81 % des vulnérabilités exploitées pour la première fois en 2025 avaient été divulguées avant 2025. Corriger en priorité les nouveautés est donc contre-productif.
Ensuite, les équipements de bordure (VPN, pare-feux, routeurs) concentrent à eux seuls 18,3 % des failles exploitées en 2025 : exposés sur Internet, ils méritent une attention prioritaire.
Un point d’alerte enfin : le retard d’enrichissement de la NVD touche environ 44 % des CVE récentes, d’où l’intérêt de compléter avec l’EUVD, les avis éditeurs et l’EPSS.
Quelle stratégie de patch management mettre en place ?
Connaître son parc
On ne corrige que ce que l’on connaît. Un inventaire fiable des actifs (idéalement adossé à une CMDB) et une cartographie de la surface d’attaque exposée sont le préalable de tout. Les actifs oubliés, les services exposés non recensés et le matériel de bordure sont les premiers exploités.
Prioriser par le risque, pas par le calendrier
On combine les signaux du tableau précédent pour produire un score d’exploitabilité contextuel : une faille critique, exposée sur Internet et présente dans le catalogue KEV passe avant une faille techniquement grave mais isolée et jamais exploitée. C’est le cœur du changement de paradigme : de la sévérité statique vers l’exploitabilité réelle.
Définir des délais de remédiation par criticité
La priorisation n’a de valeur que si elle se traduit en engagements de délai. Une grille simple, adaptée au contexte de chaque organisation, donne un cadre clair aux équipes.
Automatiser et orchestrer
L’automatisation relie la détection au déploiement : découverte de la vulnérabilité, scoring de risque, création du ticket, puis application du correctif.
Les approches de remédiation agentique vont plus loin en priorisant et en corrigeant automatiquement certaines failles, ce qui réduit le délai d’exposition.
L’objectif n’est pas de tout automatiser, mais de supprimer les attentes inutiles (approbations superflues, tickets dormants) sur les correctifs déjà décidés.
Tester et déployer par vagues
Vitesse ne veut pas dire imprudence. On teste les correctifs sur un échantillon représentatif, puis on déploie par vagues (staged rollout) plutôt que d’un bloc.
La panne mondiale provoquée en juillet 2024 par une mise à jour défectueuse poussée massivement et sans échelonnement reste l’avertissement de référence : un déploiement progressif limite le rayon d’impact d’un correctif défaillant.
Prévoir des mesures compensatoires
Quand un correctif tarde ou n’existe pas encore, le risque ne disparaît pas pour autant. Le virtual patching (règles de pare-feu applicatif ou d’IPS), l’isolement réseau et la restriction d’accès réduisent l’exposition en attendant. Ces mesures sont indispensables pour les failles exploitées sans correctif disponible.
Comment intégrer l’IA dans le patch management (avec prudence) ?
L’IA est un levier puissant à condition de l’encadrer. Côté bénéfices, l’apprentissage automatique fiabilise la priorisation : EPSS v4 fournit un socle gratuit de prédiction d’exploitation, que l’on enrichit du contexte d’actifs et du catalogue KEV.
Certaines plateformes reclassent automatiquement une vulnérabilité dès qu’elle passe de « divulguée » à « activement exploitée », sans intervention humaine, et déclenchent la remédiation.
Côté garde-fous, l’automatisation ne dispense pas de supervision. Le déploiement échelonné, la validation humaine sur les actifs critiques et la traçabilité des actions restent indispensables.
La prudence vaut particulièrement pour les agents IA autonomes : en avril 2026, le CERT-FR a recommandé de proscrire le déploiement d’assistants autonomes sur les postes de travail, un agent capable d’exécuter des commandes système augmentant fortement le risque de compromission, notamment par injection de prompt.
Autrement dit, l’IA accélère la priorisation et le déploiement, mais ne remplace ni la gouvernance ni le jugement sur ce qui peut être corrigé automatiquement.
Les outils du patch management moderne
L’outillage se répartit entre la gestion et le déploiement des correctifs d’une part, et le renseignement sur les vulnérabilités d’autre part.
Le bon outil dépend de la taille du parc, de la maturité de l’équipe et de l’intégration au reste de l’écosystème (CMDB, ITSM, EDR). L’important n’est pas la marque, mais la capacité à relier renseignement, priorisation et déploiement dans un flux continu, plutôt que d’empiler des consoles déconnectées.
Les pièges à éviter
Corriger au calendrier plutôt qu’au risque
Un cycle mensuel rigide laisse des failles activement exploitées ouvertes pendant des semaines. La priorisation par le risque doit primer.
Automatiser sans déploiement échelonné
Pousser un correctif partout d’un coup expose à un incident massif si la mise à jour est défectueuse. Le staged rollout n’est pas optionnel.
Négliger les équipements de bordure
VPN, pare-feux et routeurs exposés sont des cibles de premier choix ; ils doivent figurer en tête des priorités.
Oublier les actifs non gérés
Ce qui n’est pas inventorié n’est pas corrigé. La couverture de l’inventaire conditionne tout le reste.
Ignorer les mesures compensatoires
Sans virtual patching ni isolement, une faille sans correctif disponible reste exploitable sans filet.
Sur-déléguer à l’IA
Les agents autonomes mal encadrés introduisent de nouveaux risques. L’IA assiste la décision ; elle ne remplace ni la supervision ni la traçabilité.
FAQ : patch management à l’ère de l’IA
Faut-il tout corriger immédiatement ?
Non, et ce serait impossible vu le volume (plus de 48 000 CVE en 2025). L’enjeu est de corriger vite ce qui est réellement exploité ou exposé, en s’appuyant sur le catalogue KEV, les scores EPSS et le contexte de vos actifs, plutôt que de tout traiter au même rythme.
Quelle différence entre CVSS et EPSS ?
Le CVSS mesure la sévérité technique d’une faille, dans l’absolu. L’EPSS estime la probabilité qu’elle soit exploitée à court terme. Les deux se complètent : une faille critique au CVSS mais à très faible EPSS est moins urgente qu’une faille moyenne déjà exploitée.
L’IA peut-elle automatiser entièrement le patch management ?
Pas en toute sécurité. L’IA accélère la priorisation et le déploiement, mais la supervision humaine, le déploiement par vagues et la validation des actifs critiques restent nécessaires. Le CERT-FR a d’ailleurs mis en garde contre les agents autonomes mal maîtrisés sur les postes de travail.
En combien de temps une vulnérabilité est-elle exploitée ?
De plus en plus vite. En 2025, 32 % des failles nouvellement exploitées l’ont été avant leur divulgation publique ou dans les 24 heures suivantes. Les cycles de correctifs mensuels ne suffisent plus pour les failles critiques exposées.
Que faire quand aucun correctif n’est disponible ?
Appliquer des mesures compensatoires : virtual patching via un pare-feu applicatif ou un IPS, isolement réseau, restriction des accès et surveillance renforcée, le temps que l’éditeur publie un correctif.
