Mandiant dévoile son pipeline IA pour traquer les failles zero-day

Tech

Mandiant ouvre l’architecture d’AVDH, son pipeline multi-agents de chasse aux vulnérabilités. L’objectif, battre les attaquants sur les zero-day.

En bref

• Mandiant publie l’architecture interne d’AVDH
• 100 failles critiques vérifiées en 48 heures
• La validation humaine reste indispensable

Plus de 100 vulnérabilités critiques confirmées en 48 heures sur des dépôts d’entreprise volés. Vu du terrain, ce chiffre dit presque tout. Dans une crise de fuite de code, les attaquants lancent déjà leurs outils, donc la défense n’a plus le luxe du tempo humain. C’est précisément là que Mandiant sort du bois avec AVDH, pour automatiser l’analyse du code à vitesse machine et publier, fait notable, le schéma de cette architecture interne.

Quand la vitesse change le rapport de force

Depuis dix mois, Mandiant utilise ce pipeline multi-agents dans des revues proactives, des missions de red team, des pentests et des réponses à incident. Le bilan est lourd. Sur des dizaines de millions de lignes de code, le framework a exécuté des milliers de pipelines et produit des dizaines de milliers de résultats.

Au passage, il a permis d’identifier des failles dans des extensions web et des dépendances open source largement utilisées. On parle de 12 CVE déjà attribuées, dont CVE-2026-13242 et CVE-2026-55803, plus une douzaine encore en cours de divulgation, sans compter des centaines d’autres vulnérabilités critiques corrigées en privé. Et lors d’un test sur le code source d’une application web cliente, AVDH a aussi remonté rapidement une faille de RCE ouvrant l’accès initial.

Une chaîne d’agents, pas un simple scanner LLM

Le point intéressant, c’est que Mandiant ne vend pas ici un LLM qui surligne du code suspect. AVDH orchestre des agents de façon déterministe avec le Google Agent Development Kit, en cohérence avec les capacités d’orchestration de Google Antigravity. Le but, clairement, est de sortir du bruit classique des moteurs à motifs.

Le pipeline s’appuie aussi sur le contexte réel, inventaires d’actifs, SBOM, documentation d’architecture, renseignement de menace. Sans ça, on scanne, mais on comprend mal. Avec ça, les agents choisissent les bonnes règles de langage, de framework et de vulnérabilité.

Du modèle de menace à la validation des hypothèses

Tout commence par un agent Explorer, puis des sous-agents spécialisés qui regardent l’authentification, l’autorisation, le routage et d’autres zones métier. Leur travail alimente un agent de synthèse qui construit un modèle de menace, présenté ensuite au consultant sous forme textuelle et visuelle avant de continuer.

Ensuite, des agents en parallèle repèrent les points d’entrée, routes HTTP, écouteurs IPC et autres vecteurs. Un agent d’enrichissement va chercher le contexte utile autour de chaque point d’entrée, puis oriente l’analyse vers le contrôle d’accès, le flux de données, ou les deux. C’est là qu’émergent les hypothèses sur les escalades de privilèges, la CSRF, l’injection SQL, le XSS, l’injection de commande ou la traversée de chemin.

Bon, ces hypothèses ne partent pas en production telles quelles. Plusieurs agents de validation, configurés pour explorer largement les possibilités, rendent leur verdict, puis un agent de synthèse tranche entre faille confirmée, hypothèse infirmée ou cas rejeté car hors modèle de menace.

L’humain reste dans la boucle, et le benchmark aussi

Résultat, pas de pilotage automatique. Mandiant refait les chaînes d’exploitation, exécute des POC et jette tout ce qui ne tient pas en test dynamique. C’est une bonne nouvelle pour l’écosystème, parce que la promesse n’est pas de remplacer l’expert, mais de concentrer son temps là où il compte.

Et pour éviter l’auto-intoxication, l’entreprise a bâti ses propres benchmarks synthétiques, vérifiés manuellement, avec un agent de notation, un triage des faux positifs et une gestion des doublons. Bref, publier cette architecture revient à envoyer un message assez net aux équipes sécurité et aux mainteneurs open source, la défense de la supply chain logicielle peut, elle aussi, passer à l’échelle de l’IA.

Christophe Romei

Spécialiste Tech

Expert sur l'industrie du mobile depuis 2005

Une erreur dans cet article ?

Nous apportons le plus grand soin à chaque article et nous appuyons sur des sources fiables. Personne n'est à l'abri d'une erreur : si vous en repérez une, signalez-la, nous la corrigerons au plus vite.

Sujets

Lisez Servicesmobiles.fr en priorité sur Google

Ajoutez-nous à vos sources préférées : nos articles remonteront plus haut dans votre actualité.

Ajouter à mes sources

Le Garage des Telcos

Chaque semaine, entrez dans l’atelier des télécoms : un lieu d’analyse, de décodage et d’inspiration. Le Garage des Telcos vous emmène sous le capot de l’industrie mondiale des télécommunications pour décrypter les innovations, les stratégies.

Je m'abonne gratuitement