Alors que beaucoup débattent encore de la confiance à accorder à l'intelligence artificielle sur des sujets sérieux, le gouvernement britannique lui a tout simplement confié les clés de son propre code — et le résultat l'a satisfait. Dans deux programmes pilotes, des modèles d'IA ont passé au crible 548 dépôts de code répartis sur 18 ministères et détecté 1 352 vulnérabilités, dont des contournements d'authentification, des fuites de données et des failles d'exécution de code à distance.
L'une des découvertes les plus parlantes : un workflow GitHub Actions obsolète permettant à un utilisateur externe d'introduire du code malveillant via un commentaire de pull request spécialement conçu. Le genre de faille facile à manquer lors d'un audit manuel, mais triviale pour un modèle entraîné précisément à repérer ce schéma.
Ce qui frappe surtout, c'est le prix. Un mois d'analyse sur neuf organismes publics n'a coûté que 13 000 livres en tokens d'IA. Un test d'intrusion classique de portée comparable coûte généralement des dizaines, voire des centaines de milliers de livres, et prend des semaines. Les équipes ont adopté des approches différentes : l'une a monté une chaîne de six agents IA (tri, validateur, auditeur, traceur, juge, synthèse), une autre a superposé trois niveaux de modèles sur des scanners classiques comme Gitleaks, Trivy et Semgrep.
Le ministre chargé de l'IA, Kanishka Narayan, a annoncé l'extension du programme lors d'un discours à l'Imperial College de Londres. Toutes les failles critiques ont été corrigées, et aucune trace d'exploitation n'a été relevée. La Government Cyber Unit, le National Cyber Security Centre et l'AI Security Institute prévoient désormais d'étendre la méthode au code fermé et à davantage de ministères.
L'annonce comporte aussi un second volet, moins rassurant : la Grande-Bretagne commence à rédiger des protocoles pour le cas où des agents d'IA autonomes échapperaient à la supervision humaine. Le vocabulaire reste prudent — « risque de perte de contrôle », « protocoles de réponse aux incidents » — mais le fait qu'un gouvernement vienne de confier à l'IA la chasse aux failles dans ses propres systèmes, tout en préparant les moyens de la freiner si elle dérape, en dit long sur l'enjeu réel.
