Des recherches approfondies sur la manière dont les modèles de ML formés sur les modèles CVE, les validations de code et les renseignements sur les menaces prédisent les vulnérabilités du jour zéro avant leur divulgation : mesures de précision, architecture et adoption dans le monde réel par Microsoft, Google, etc.
Pendant des décennies, le secteur de la cybersécurité a fonctionné selon un modèle fondamentalement réactif : découvrir une vulnérabilité, écrire un correctif, le déployer, en espérant que les attaquants ne l'ont pas déjà exploité. Le délai moyen entre l’exploitation du Zero Day dans la nature et la disponibilité des correctifs oscille toujours. 28 jours en 2026, selon le dernier rapport sur les menaces de Mandiant. Pendant cette période, les organisations sont effectivement sans défense contre le vecteur d’attaque spécifique.
Mais un changement de paradigme est en cours. Les modèles d'apprentissage automatique formés sur les données historiques de vulnérabilité, les référentiels de code source et les flux de renseignements sur les menaces en temps réel démontrent désormais leur capacité à prédire où les jours zéro sont susceptibles d'émerger - parfois des semaines ou des mois avant qu'un chercheur humain ou un fuzzer automatisé ne découvre le véritable bug. Ce n'est pas de la science-fiction. Il s’agit d’une technologie de niveau production utilisée aujourd’hui dans certaines des plus grandes opérations de sécurité au monde.
Cet article de recherche examine l'état actuel des modèles de prédiction Zero Day en 2026 : les architectures qui les alimentent, qui les déploie, leur précision réelle et ce que cela signifie pour les défenseurs comme pour les attaquants.
Les modèles de prédiction Zero Day reposent sur trois sources de données principales, chacune apportant une couche de signal différente :
Le domaine a convergé vers plusieurs approches architecturales, souvent utilisées dans des configurations d'ensemble :
Analyse de code basée sur un transformateur (variantes CodeBERT/VulBERTa) : Des modèles de langage étendus affinés qui traitent le code source et valident les différences pour identifier les modèles induisant des vulnérabilités. Ces modèles apprennent que certaines modifications de code, en particulier celles impliquant la gestion des tampons, la logique d'authentification ou la sérialisation, sont en corrélation avec les futurs dépôts CVE. La génération 2026 opère sur Fenêtres contextuelles de jeton 32 000, permettant l'analyse d'ensembles de modifications complets au niveau du fichier.
Réseaux de neurones graphiques (GNN) sur les graphiques de propriétés de code : Ces modèles représentent le code sous forme de graphiques combinant des arbres de syntaxe abstraite (AST), des graphiques de flux de contrôle (CFG) et des graphiques de dépendance de données (DDG). En apprenant la structure du graphique, les GNN peuvent identifier des modèles de vulnérabilité qui couvrent plusieurs fonctions ou modules – le genre de bogues complexes et transfrontaliers que les analyseurs statiques manquent généralement.
Modèles de séquence temporelle (hybrides LSTM/Transformer) : Ceux-ci traitent les données chronologiques des divulgations de vulnérabilités, des cycles de correctifs et des versions d’exploits pour des composants logiciels spécifiques. Ils modélisent le « rythme de vulnérabilité » d’une base de code – en prédisant quand la prochaine vulnérabilité significative est statistiquement susceptible de faire surface, sur la base de modèles historiques.
Modèles de risque de réseau bayésien : Modèles probabilistes qui combinent l'analyse de la composition logicielle (SCA), la profondeur de l'arbre de dépendance, les signaux d'activité du responsable et la densité de vulnérabilité historique pour produire des scores de risque au niveau des composants. Ceux-ci sont particulièrement efficaces pour identifier les risques dans les chaînes d’approvisionnement open source.
Un système de prévision du jour zéro en production suit généralement ce pipeline :
| Scène | Saisir | Processus | Sortir |
|---|---|---|---|
| 1. Ingestion de données | Validations Git, flux NVD, informations sur les menaces | Pipeline ETL avec déduplication | Magasin de fonctionnalités normalisé |
| 2. Extraction de fonctionnalités | Code brut, enregistrements CVE | Intégrations de code, métriques de complexité, clustering CWE | Vecteurs de caractéristiques par composant |
| 3. Notation des risques | Vecteurs de caractéristiques | Inférence de modèle d'ensemble (GNN + Transformateur + Bayésien) | Scores de probabilité de vulnérabilité |
| 4. Priorisation | Scores de risque + contexte des actifs | Prédiction CVSS, estimation de l'exploitabilité | File d'attente d'alertes classées |
| 5. Validation | Prédictions les mieux classées | Fuzzing automatisé, exécution symbolique | Résultats confirmés avant le jour zéro |
L’innovation cruciale dans les pipelines de 2026 est Étape 5 — la boucle de validation automatisée. Plutôt que de présenter des prédictions brutes aux analystes, les systèmes modernes acheminent des prédictions de haute confiance vers des campagnes de fuzzing ciblées. Si le fuzzer confirme un crash ou un comportement inattendu dans le composant prédit, le résultat est complété à la fois par la justification de la prédiction ML et par des preuves concrètes de validation de principe.
Processus des systèmes de production entre 50 000 et 200 000 commits par jour dans les référentiels surveillés. La latence d'inférence pour le modèle d'ensemble est généralement inférieure à 200 ms par évaluation de composant. Le pipeline de bout en bout, depuis l'engagement jusqu'au score de risque, fonctionne sur un Cycle de rafraîchissement de 15 minutes pour les logiciels surveillés critiques, avec traitement par lots pour l’écosystème plus large.
Microsoft a été le plus virulent quant à son investissement dans la prédiction des vulnérabilités. Leur système interne, issu de l'initiative précédente « Project Bonsai », traite désormais chaque validation dans les bases de code Windows, Office et Azure via un pipeline de prédiction. Dans son rapport annuel sur la sécurité 2025, MSRC a révélé que 17 % des vulnérabilités critiques corrigées dans les versions du Patch Tuesday ont été identifiées pour la première fois par leur système de prédiction ML avant tout rapport externe – une augmentation par rapport à 9 % en 2024.
L'approche de Microsoft se distingue par l'intégration de télémétrie du développeur: le modèle prend en compte les signaux de fatigue des développeurs (fréquence des validations, modèles d'heure de la journée, mesures de minutie de la révision du code) en tant que fonctionnalités prédictives, sur la base de recherches montrant que les vulnérabilités se regroupent autour de périodes d'épuisement professionnel des développeurs.
L'équipe Project Zero de Google s'est associée à DeepMind pour créer VulnPredict, un système qui combine l'analyse de code avec un nouveau composant de « simulation d'attaquant ». Plutôt que de simplement identifier le code probablement vulnérable, VulnPredict modélise ce qu'un attaquant ciblerait compte tenu de l'économie actuelle du marché des exploits. Cette modélisation du point de vue de l'attaquant s'est avérée particulièrement efficace pour prédire quelles vulnérabilités seront activement exploité versus simplement divulgué – une distinction essentielle pour la priorisation défensive.
Dans les benchmarks internes partagés lors de Black Hat 2025, VulnPredict a identifié 34 des 47 jours zéro exploitées dans la nature en 2025 en tant que composants à haut risque avant exploitation, bien que la fenêtre de prévision variait de 2 semaines à 6 mois.
La Fondation Linux Prédiction OSS Cette initiative, lancée fin 2025, applique des modèles de prédiction aux 10 000 packages open source les plus dépendants. Le système génère des rapports de risque hebdomadaires que les responsables et les consommateurs en aval peuvent utiliser pour allouer de manière préventive les ressources d'audit de sécurité. Les premiers résultats montrent un Amélioration de 23 % de la vitesse de découverte des vulnérabilités pour les forfaits inscrits au programme.
Des sources de la communauté du renseignement suggèrent que plusieurs acteurs étatiques – y compris des programmes attribués au MSS chinois, au SVR russe et au TAO de la NSA – exploitent des systèmes de prévision des vulnérabilités depuis au moins 2024. Les implications stratégiques sont importantes : un acteur étatique doté d'un modèle de prédiction efficace pourrait identifier les probables zéro-day dans les logiciels adverses plus rapidement que la propre équipe de sécurité du fournisseur, créant ainsi un avantage offensif systématique.
Les affirmations sur l’exactitude des prédictions nécessitent un examen attentif. Le champ utilise plusieurs métriques, chacune avec des limites :
| Métrique | Meilleur résultat publié (2026) | Importance pratique |
|---|---|---|
| Précision au niveau des composants | 62 à 71 % | Parmi les composants signalés comme à haut risque, ce pourcentage a fait l'objet d'une CVE déposée dans les 12 mois. |
| Rappel au niveau des composants | 44 à 58 % | Sur les zéros jours réels, ce pourcentage concernait des composants précédemment signalés |
| Prédiction d’exploitation AUC | 0,82-0,89 | Capacité à faire la distinction entre les CVE « seront exploités » et « ne seront pas exploités » |
| Accélération du délai de découverte | 2,3 à 4,7 fois plus rapide | Les composants prédits subissent un fuzzing ciblé, trouvant les bogues plus rapidement qu'une couverture aléatoire |
L'éléphant dans la pièce est faux positifs. Avec une précision de 62 à 71 %, environ 30 à 38 % des signaux à haut risque sont du bruit. Pour une équipe de sécurité surveillant des milliers de composants, cela se traduit par des centaines d’enquêtes inutiles par cycle. Le coût opérationnel n’est pas négligeable.
Les stratégies d'atténuation actuelles comprennent :
L’essor des modèles de prédiction remodèle le paysage des bug bounty de plusieurs manières :
Les chasseurs de bug bounty avant-gardistes utilisent déjà des outils de prédiction open source (comme VulnHuntr, DeepVuln, et celui de Carnegie Mellon vudenc) pour guider leurs recherches. Au lieu de sélectionner des cibles au hasard ou de suivre le mouvement des « derniers CVE », ils utilisent les scores de prédiction pour identifier surfaces d'attaque sous-explorées et à forte probabilité. Plusieurs chercheurs de premier plan de HackerOne et Bugcrowd ont publiquement crédité la sélection de cibles guidée par le ML pour leurs taux de découverte 2025-2026.
À mesure que les fournisseurs adoptent des modèles de prédiction en interne, les vulnérabilités « faciles » – celles prévisibles à partir des seuls modèles de code – sont de plus en plus détectées avant que les chercheurs externes ne les découvrent. Cela pousse l’écosystème du bug bounty vers vulnérabilités plus complexes au niveau logique que les modèles de ML actuels ont du mal à prédire : conditions de concurrence dans les systèmes distribués, chaînes de contournement d'authentification subtiles et failles de logique métier qui nécessitent une compréhension approfondie du domaine.
Les courtiers en exploits ajusteraient leurs modèles de tarification en fonction de la difficulté de prévision. Les vulnérabilités des composants logiciels que les modèles ML signalent systématiquement comme à haut risque sont moins valorisées, l'hypothèse étant que le fournisseur les corrigera bientôt de toute façon. À l’inverse, le zéro jour dans composants « résistants aux prédictions » – ceux dont les scores de risque de blanchiment d’argent sont propres – imposent des prix plus élevés, parfois 2 à 3 fois le taux de base.
L’impact le plus immédiat concerne la gestion des correctifs. Plutôt que d'attendre le Patch Tuesday et de trier uniquement sur la base des scores CVSS, les équipes de sécurité utilisant des flux de prédiction peuvent commencer. atténuations de pré-positionnement: resserrement des règles WAF autour des points de terminaison vulnérables prévus, augmentation de la surveillance des modèles d'attaque prévus et capacités de restauration préalable pour les composants avec des scores de prédiction élevés.
Les modèles de prédiction influencent les choix architecturaux. Les équipes utilisent des prévisions de risques au niveau des composants pour éclairer les décisions concernant sélection des dépendances, limites d'isolement et superposition de défense en profondeur. Une bibliothèque avec un score de prédiction constamment élevé peut être remplacée, mise en bac à sable ou enveloppée de couches de validation supplémentaires avant même qu'une vulnérabilité ne soit confirmée.
Les équipes rouges internes utilisent les résultats des prédictions pour concentrer leurs campagnes sur les futurs vecteurs d'attaque les plus probables, fournissant ainsi simulation d'adversaire proactive plutôt que de tester les vulnérabilités connues d'hier. Cela fait passer l’équipe rouge d’un exercice de conformité à une fonction de sécurité véritablement prédictive.
Chez KENSAI, nous avons intégré la prédiction des vulnérabilités dans le pipeline de renseignement principal de notre plateforme. Notre approche se concentre sur trois capacités :
Il est important de reconnaître quels modèles de prédiction ne peut pas faire:
Plusieurs évolutions se profilent à l’horizon :
L’espace de prédiction du jour zéro évolue d’expérimental à essentiel. Même si les modèles actuels sont loin d’être parfaits, ils représentent un changement fondamental dans la manière dont le secteur de la sécurité aborde la gestion des vulnérabilités : l’attente de l’exploit est désormais remplacée par son anticipation. Les organisations qui investissent aujourd’hui dans l’intégration de capacités de prédiction seront nettement mieux positionnées face au paysage des menaces de 2027 et au-delà.
KENSAI intègre des modèles de prédiction de vulnérabilité dans votre flux de travail de sécurité. Consultez vos scores de risque avant la publication des CVE.
Explorez la plateforme KENSAI