Plus de 80 % des vulnérabilités dont l’exploitation est confirmée pour le millésime 2026 en cours ont été attaquées le jour de la divulgation ou avant — en moyenne, il reste une dizaine d’heures entre la divulgation et l’attaque. Réagir uniquement aux avis CVE et aux cycles de correctifs revient à défendre une fenêtre qui n’existe plus. VamiSec opère la surveillance zero-day en service géré — pilotée par IA, en continu et avec les méthodes qu’emploient aujourd’hui les attaquants.
De l'extérieur avec VamiRedteam · au plus près du code avec VamiAppSec · pris en charge 24/7 par VamiSec
Part des vulnérabilités dont l'exploitation est confirmée et qui ont été attaquées le jour de la divulgation ou avant, de 2018 à 2026. Représentation propre, données de l'initiative sectorielle zerodayclock.com ↗
La Zero Day Clock — une initiative sectorielle soutenue par plus de 120 professionnels de la recherche en sécurité et de l’industrie — mesure l’écart entre la publication d’une vulnérabilité et sa première exploitation confirmée. Sur neuf millésimes, le résultat est sans ambiguïté : les années sont devenues des mois, les mois des jours — et pour le millésime 2026 en cours, ce sont des heures.
Moyenne tronquée à 10 % de l’écart entre la publication de la CVE et la première exploitation confirmée, par millésime de CVE, échelle logarithmique. Le millésime 2026 en cours se situe à environ 10 heures — en pratique, il reste moins d’une journée de travail pour réagir.
Sources : Zero Day Clock (CVE dont l'exploitation est confirmée, issues de CISA KEV, VulnCheck KEV et VulnCheck XDB, dates de divulgation du NVD ; consulté le 29 juillet 2026) et rapport du BSI sur l'état de la sécurité informatique en Allemagne 2025. Le millésime 2026 est une année en cours comptant 97 cas confirmés et est donc signalé séparément.
Ce qui exigeait encore récemment des mois de travail de spécialistes, les systèmes d'IA l'accomplissent aujourd'hui en quelques heures — de façon vérifiable, publiquement documentée et des deux côtés du front. Ce n'est pas une prévision, mais une pratique établie.
Anthropic a trouvé, avec une cinquantaine de partenaires, plus de dix mille vulnérabilités de gravité élevée ou critique dans des logiciels largement répandus. Lors de la vérification de 1 752 découvertes par des sociétés de sécurité indépendantes, 90,6 % se sont révélées être de véritables résultats — le chiffre de qualité public le plus solide pour la recherche de vulnérabilités assistée par IA.
Anthropic, Project Glasswing (2026)Un cyber-assessment du même programme documente comment un modèle d'IA a trouvé et exploité seul une exécution de code à distance vieille de 17 ans dans FreeBSD, a développé 181 exploits fonctionnels contre Firefox et a mis au jour une erreur vieille de 27 ans dans OpenBSD — pour un coût de l'ordre de quatre à cinq chiffres.
Anthropic, cyber-assessment Mythos Preview (avril 2026)En 2024, l'agent « Big Sleep » de Google a été le premier système d'IA à trouver une vulnérabilité réelle, jusqu'alors inconnue, en conditions réelles (SQLite). En 2025 ont suivi 20 autres découvertes dans des logiciels open source répandus — et, avec CVE-2025-6965, un cas où une exploitation imminente a été coupée en amont de façon démontrable.
Google Project Zero / DeepMindEn juin 2025, l'agent de pentest autonome XBOW a été le premier participant non humain à atteindre la première place du classement américain de HackerOne — après environ 90 jours et plus de mille signalements soumis.
Classement américain de HackerOne, juin 2025Lors de la finale de la DARPA AI Cyber Challenge, sept systèmes d'IA ont trouvé 54 des 70 vulnérabilités intégrées et les ont corrigées en moyenne en 45 minutes pour 152 dollars américains par cas — ils ont en outre découvert 18 vulnérabilités réelles jusqu'alors inconnues.
DARPA AIxCC, DEF CON 33 (août 2025)Les modèles ouverts dont les poids sont publiés ne peuvent pas être rappelés. Les autorités britannique et américaine de sécurité de l'IA ont constaté, sur un modèle de pointe publié ouvertement en juillet 2026, que ses mécanismes de protection n'empêchaient ni les tentatives de développement d'exploits ni les opérations offensives.
UK AISI & US CAISI, juillet 2026Anthropic s'attend à ce que, dans un délai de six à douze mois, d'autres fournisseurs disposent de modèles de cette classe de performance — et les publient éventuellement sans mécanismes de protection. Les défenseurs doivent s'adapter pour suivre le rythme.
Anthropic, « Expanding Project Glasswing » (juin 2026)
La gestion classique des vulnérabilités reste indispensable — mais elle est réactive par construction : elle ne peut agir qu'une fois la vulnérabilité publiée, évaluée et un patch disponible. C'est précisément dans cette chaîne que se situe aujourd'hui le risque.
Le Zero-Day-Monitoring ne remplace pas votre gestion des vulnérabilités. Il comble l'écart entre « pas encore publiée » et « déjà exploitée » — et fournit les preuves qui vous permettent de prioriser.
VamiSec exploite le Zero-Day-Monitoring avec deux plates-formes propres, assistées par IA — l'une examine de l'extérieur, dans la perspective de l'attaquant, l'autre avec un accès complet au code et à la chaîne de build. Ensemble, elles couvrent ce qu'un attaquant voit et ce qu'il ne voit pas encore.
Plate-forme de pentest agentique, native IA. Six agents spécialisés cartographient, modélisent et exploitent de façon autonome — au sein d'un Authorization Cage signé.
Plate-forme d'application security assistée par LLM. Six scanners dans un même pipeline, chaque finding enrichi, dédupliqué et accompagné d'un correctif applicable — là où naissent les vulnérabilités.
Un outil seul ne rend personne plus sûr. En tant que MSSP, nous prenons en charge l'exploitation, l'évaluation et la traduction en mesures — intégrées à vos processus et à vos obligations de preuve.
Nous exploitons les deux plates-formes pour vous : définition du scope, autorisation, tuning et fonctionnement continu — sans que vous ayez à constituer votre propre équipe offensive.
Chaque découverte pertinente est vérifiée par nos analystes et étayée par une preuve reproductible. Vous recevez des chemins d'attaque confirmés accompagnés d'une recommandation d'action, pas des listes de résultats.
En complément des plates-formes, nous apportons des méthodes d'analyse classiques — analyse dynamique, fuzzing, threat modeling et pentests manuels réalisés par des testeurs certifiés.
Raccordement à votre SIEM/SOAR, à votre ticketing et à vos pipelines CI/CD. Les findings arrivent là où votre équipe travaille déjà — y compris le raccordement à VamiGRC pour des preuves auditables.
Dès qu'une vulnérabilité est activement exploitée, le compte à rebours démarre. Nous fournissons la base technique de vos notifications au titre du CRA, de NIS2/BSIG et du RGPD — avec horodatages et documentation solide.
Rapport technique avec étapes de reproduction pour votre équipe, management summary condensé présentant l'évolution du risque et des tendances pour la direction.
Aucune loi ne prescrit littéralement le « Zero-Day-Monitoring ». Mais plusieurs corpus réglementaires exigent des tests de sécurité efficaces, une détection opérationnelle et la notification des vulnérabilités activement exploitées dans des délais serrés. C'est précisément à cela que contribue ce service.
Le Cyber Resilience Act oblige les fabricants à signaler les vulnérabilités activement exploitées de leurs produits : alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final au plus tard 14 jours après la mise à disposition d'une mesure corrective. Cela suppose que l'exploitation soit remarquée. L'annexe I partie II exige en outre des tests de sécurité efficaces et réguliers.
Le § 30 Abs. 2 BSIG exige entre autres une analyse de risque, la gestion des incidents de sécurité et l'évaluation de l'efficacité des mesures ; pour les installations critiques, le § 31 Abs. 2 requiert en plus des systèmes de détection d'attaques. Délais de notification selon le § 32 : 24 heures, 72 heures, rapport final un mois après la notification des 72 heures.
Pour les entités financières, l'Art. 10 exige des mécanismes permettant de détecter sans délai les activités anormales. L'Art. 25 mentionne expressément, dans le programme de tests, les évaluations et scans de vulnérabilités, les revues de code source et les tests de pénétration ; pour les entités identifiées s'y ajoutent les tests fondés sur la menace au titre de l'Art. 26.
Un Zero-Day-Monitoring continu se rattache directement à A.5.7 (Threat Intelligence), A.8.8 (gestion des vulnérabilités techniques) et A.8.16 (activités de surveillance) — avec des rapports qui font office de preuve lors de l'audit.
Remarque : le Zero-Day-Monitoring est une mesure de soutien. Les mesures appropriées et proportionnées dans votre cas découlent de votre analyse de risque — c'est précisément là que nous vous accompagnons. Cette page ne constitue pas un conseil juridique.
Lors d'un premier entretien sans engagement, nous définissons le scope, clarifions l'autorisation et montrons à quoi ressemble concrètement un Zero-Day-Monitoring continu chez vous.
