AWS intègre ses outils de sécurité dans les logiciels de codage d'OpenAI et Anthropic
La division cloud d'Amazon souhaite être le garde de sécurité à la porte de chaque développeur, quel que soit le modèle d'IA qu'il utilise pour écrire du code.
Points clés
- AWS a annoncé à Black Hat USA 2026 que sa plateforme de sécurité Continuum s'intégrera à OpenAI Codex, Anthropic Claude Code et son propre IDE Kiro.
- Claude Mythos Preview d'Anthropic, lancé en avril 2026, a découvert des milliers de vulnérabilités zero-day inconnues (des failles de sécurité que personne n'a encore corrigées) dans les principaux systèmes d'exploitation et navigateurs, plus de 99 % restant non corrigées.
- Le délai médian entre la découverte d'une vulnérabilité et son utilisation par un criminel s'est réduit de 771 jours en 2018 à moins de quatre heures d'ici 2024, et AWS prévoit moins d'une heure d'ici fin 2026.
- AWS a étendu sa place de marché Security Hub Extended à 23 outils partenaires sélectionnés, en ajoutant la sécurité de la chaîne d'approvisionnement comme dixième catégorie, avec les partenaires Chainguard et Socket.
- Les clients paient un prix AWS unique pour Continuum ; AWS absorbe elle-même les coûts des modèles d'IA sous-jacents.
Qu'a réellement annoncé AWS ?
AWS a créé un outil de sécurité appelé Continuum qui détecte les failles dangereuses tandis que les développeurs écrivent du code, et il fonctionnera désormais dans les assistants de codage de deux entreprises concurrentes : OpenAI Codex et Anthropic Claude Code, qui sont des outils d'IA aidant les programmeurs à écrire des logiciels plus rapidement.
L'annonce a eu lieu à Black Hat USA 2026, l'une des plus grandes conférences de cybersécurité de l'année. Pour les gens ordinaires, le point pratique est le suivant : les outils d'IA aidant les développeurs à créer les applications et sites web que vous utilisez chaque jour auront désormais les vérifications de sécurité d'AWS s'exécutant discrètement en arrière-plan.
Pourquoi est-ce soudainement urgent ?
Un nouveau modèle d'IA a aggravé un problème déjà grave, très rapidement.
Anthropic a lancé Claude Mythos Preview en avril 2026. Lors des tests, il a découvert des milliers de vulnérabilités dites zero-day, c'est-à-dire des failles de sécurité que personne ne connaissait et que personne n'avait donc corrigées. Plus de 99 % de ces failles restent ouvertes. En même temps, la fenêtre entre le moment où une faille est détectée et celui où les criminels l'utilisent comme arme s'est réduite de 771 jours en 2018 à moins de quatre heures d'ici 2024.
Chet Kapoor, vice-président d'AWS pour la recherche, la sécurité et l'observabilité, a dit clairement à VentureBeat : « Les RSSI avaient des vulnérabilités de code depuis un moment, puis Mythos est arrivé, et cela a juste aggravé les choses. Ils avaient déjà un arriéré. Maintenant, l'arriéré est 5 fois plus important. »
C'est cet arriéré que Continuum est conçu pour traiter.
Comment Continuum fonctionne-t-il réellement ?
Il fonctionne en quatre étapes.
D'abord, il analyse tout le code d'une entreprise et importe la liste existante des problèmes connus. Deuxièmement, il classe ces problèmes en fonction de leur dangerosité pour cette entreprise spécifique, pas seulement en général. Troisièmement, il crée un test contrôlé, une sorte de pièce verrouillée où il essaie de voir si une faille peut réellement être exploitée et quel serait l'ampleur des dégâts. Quatrièmement, il suggère une correction, qu'il s'agisse d'une modification du code, d'un ajustement des paramètres ou d'un ajustement du réseau, déjà testé dans cette même pièce verrouillée.
Un humain approuve chaque étape. Le système ne agit pas sans permission.
| Phase | Ce qu'elle fait |
|---|---|
| Découverte | Analyse le code et importe la liste des vulnérabilités connues |
| Priorisation | Classe les risques selon l'impact commercial réel |
| Validation | Teste si chaque faille peut réellement être exploitée |
| Remédiation | Propose et pré-teste une correction |
La tarification est volontairement simple. Les clients paient AWS un prix unique. AWS sélectionne ensuite le modèle d'IA qui remplit le mieux chaque phase et en assume les coûts.
Devrait-ce inquiéter ou rassurer les gens ordinaires ?
Un peu des deux, honnêtement. La partie rassurante : les personnes construisant les logiciels sur lesquels vous comptez disposeront de meilleurs outils automatisés pour détecter les erreurs dangereuses avant qu'elles ne vous atteignent.
La partie prudente : Continuum est nouveau, et l'arriéré de vulnérabilités qu'il tente de traiter est énorme. Les histoires de réussite à cette échelle sont rares. La plupart des outils de sécurité prétendent résoudre le problème ; peu le font complètement.
La vision de Kapoor est de faire passer la sécurité des humains regardant des tableaux de bord aux agents d'IA, des logiciels capable d'effectuer des tâches multi-étapes de manière autonome, en agissant à la vitesse de la machine. Ce changement est réel et en cours. Reste à voir si AWS devient la couche dominante dans toute l'industrie.
Le seul constat honnête : si vous utilisez un produit logiciel au travail ou à la maison, demandez à votre équipe informatique ou à votre fournisseur si leur pipeline de développement inclut désormais une analyse de sécurité automatisée. C'est une question raisonnable, et la réponse vous en dit long sur la façon dont ils prennent au sérieux l'environnement des menaces actuel.
