AI SAST – l'analyse de code qui raisonne sur l'intention

Wiz décrit l'AI SAST non comme un modèle unique mais comme un système multi-moteurs conscient du contexte. Niveau 1 : scan de base déterministe par signatures — rapide, économique, avant chaque merge. Niveau 2 : raisonnement IA continu sur chaque pull request, comprenant structure applicative, trust boundaries et flux de données. Niveau 3 : pentesting agentique ciblé, réservé aux applications à forte valeur. Thèse centrale : « Deep scanning everywhere doesn't scale » — l'analyse frontière est coûteuse et ponctuelle alors que le code change toutes les heures.

L'usage le plus mûr n'est pas de trouver mais de trier. Un filtre LLM derrière un scanner déterministe réduit les fausses alertes de façon cohérente sur plusieurs études indépendantes : QASecClaw 88,6 % sur l'OWASP Benchmark à 3,1 % de perte de rappel, « Sifting the Noise » jusqu'à 93,3 % sur de vraies alertes CodeQL, SAST-Genius environ 91 % (225 à 20 findings). C'est là que se situe le levier économique, car l'alert fatigue est la première cause d'échec des programmes SAST.

Au niveau 2, le modèle construit d'abord une compréhension de l'application, formule des hypothèses d'attaque et les teste au-delà des frontières de fichiers et de fonctions — « comme un chercheur en sécurité ». L'approche neuro-symbolique IRIS (le LLM infère les spécifications de taint, CodeQL exécute l'analyse) a trouvé 55 vulnérabilités au lieu de 27 sur CWE-Bench-Java face à CodeQL seul, dont quatre inconnues. L'étude riche en contexte CORRECT le montre : le contexte du dépôt est le levier décisif.

La découverte elle-même devient une commodité : Google Big Sleep a signalé vingt zero-days réels en 2025 et a empêché une attaque pour la première fois (CVE-2025-6965). Les finalistes du DARPA AIxCC ont trouvé de façon autonome 86 % des vulnérabilités injectées en août 2025, à environ 152 dollars par tâche. Wiz Atlas dépasse 90 % sur le benchmark CyberGym et plus de 200 vulnérabilités inconnues. En 2026, même un modèle open-weight (Kimi K2.5) a trouvé, via un harnais d'agents synthétisé, dix zero-days dans Google Chrome.

Les grands assistants de code intègrent la revue de sécurité : Claude Code Security Review d'Anthropic (open source, MIT, diff-aware, filtre activement les classes propices aux FP), GitHub Copilot Code Review (plus de 60 M de revues, 71 % avec retour actionnable), OpenAI Codex Security (plus de 100 000 PR externes par jour, précision avant rappel), Cursor Bugbot (8 passes parallèles plus vote majoritaire contre le non-déterminisme, 70 %+ de résolution). Tous documentent explicitement le risque d'hallucination et l'obligation de relecture.

À côté des acteurs établis (Checkmarx, Veracode Fix, Snyk Agent Fix à 85 % de taux secure-and-functional, Sonar, GitLab Duo), une classe d'outils IA-natifs a émergé : ZeroPath, Corgea, DryRun, Amplify, Almanax. Un test indépendant de pentester (Joshua Rogers, 09/2025) confirme leur force sur les failles de logique et d'autorisation, mais mesure de larges écarts : Corgea environ 80 % de détection à ~50 % de fausses alertes, d'autres majoritairement des fausses alertes. Les benchmarks d'éditeurs (« 100 % de détection ») méritent un contre-contrôle.

Les verdicts des LLM varient d'une exécution à l'autre, par principe : même à température 0, les sorties ne sont pas reproductibles car l'inférence n'est pas invariante par batch (Thinking Machines : 80 résultats différents pour 1 000 requêtes identiques). Pour un gate de conformité, cela signifie que la base reproductible doit venir du niveau 1 ; les findings IA exigent une piste d'audit et des contrôles humains, pas une automatisation aveugle. GitHub et GitLab l'inscrivent dans leur documentation.

Un modèle qui lit le contenu d'un dépôt traite comme entrée les instructions des commentaires, README et issues. C'est exploitable : des commentaires adverses trompent les détecteurs LLM dans plus de 90 % des cas (framework ALIBI), et le seul framing supprime jusqu'à 97 % des vulnérabilités détectées. Les incidents réels vont de CVE-2025-53773 (RCE Copilot par prompt injection) à une RCE sur les serveurs de CodeRabbit avec accès en écriture à un million de dépôts. Le NIST classe l'injection indirecte comme une classe d'attaque à part entière.

Toutes les annonces de succès ne résistent pas à l'examen. Sur des zero-days vraiment inédits (ZeroDayBench, CVE portés dans des dépôts étrangers), même les modèles frontière échouent encore à trouver et corriger de façon autonome. La classification LLM naïve sans contexte plafonne à une balanced accuracy de 0,50 à 0,55 — à peine mieux qu'un pile ou face. Et la contamination des benchmarks reste une réserve, même si elle n'est pas le moteur principal sur les benchmarks de vulnérabilités réelles. D'où : l'IA complète les couches, elle ne les remplace pas.