Fin des failles d’ici deux ans ? Ce que disent les compteurs du NIST

Le fait

La phrase d’ouverture résume la thèse : « I’m worried that AI is going to make software much too secure ». L’auteur s’inquiète que l’intelligence artificielle rende les logiciels beaucoup trop sûrs. Sa prédiction est datée : « Over the next two years, major pieces of software are likely to run out of remotely-exploitable bugs », soit l’épuisement des bugs exploitables à distance dans les principaux logiciels d’ici août 2028.

Le mécanisme décrit tient aux modèles spécialisés dans la recherche de vulnérabilités. Le billet cite Mythos, annoncé par Anthropic en avril, la réponse d’OpenAI, puis des modèles chinois de Z.ai et Moonshot. La conséquence qu’en tire Green : les agences qui ouvraient les téléphones en les piratant vont perdre cette capacité, et leur besoin d’un accès prévu par la loi deviendra beaucoup plus aigu.

Le billet rappelle la fin du bras de fer de 2016. Le FBI détenait l’iPhone verrouillé d’un tueur, Apple a refusé de l’ouvrir, et une société extérieure a annoncé qu’elle savait pirater l’appareil. Le droit n’a pas tranché. Le piratage a tranché. Sur la suite, l’auteur ne propose rien : « I honestly have no idea ».

Notre regard

Le débat européen sur le chiffrement s’est joué pendant dix ans sur une seule question : faut-il obliger les fournisseurs à ménager une porte d’accès ? C’est l’objet du dossier Chat Control. L’argument de Green revient à dire que la technique a déjà vidé cette question de son enjeu.

Nous avons donc vérifié si sa prédiction s’appuie sur une tendance déjà mesurable. Le compteur public du NIST recense chaque vulnérabilité référencée. Nous avons croisé les compteurs annuels de la base NVD du NIST depuis le lancement du programme « going dark » par le FBI en 2014 : 317 635 vulnérabilités y ont été publiées jusqu’au 14 août 2026, dont 52 082 depuis le 1er janvier 2026, soit déjà plus que sur l’ensemble de l’année 2025 (49 972). Au rythme des sept mois et demi écoulés, 2026 se terminerait autour de 84 000 publications, contre 8 008 en 2014.

La courbe ne dit pas qui a raison. Elle dit qu’au moment où la prédiction est formulée, aucun infléchissement n’est visible.

Les mêmes chiffres, année par année, dans le tableau ci-dessous.

Quatre calendriers se superposent sur ce dossier. Le FBI ouvre le débat en 2014 sans fixer d’horizon. Un rapport de Harvard le referme en février 2016 en jugeant la métaphore fausse. Un texte de la Brookings Institution propose la même année le piratage encadré comme voie moyenne, sans date non plus. Le billet du 14 août 2026 est le premier de la série à poser une échéance : deux ans.

La nuance

Green est partie prenante et l’écrit noir sur blanc : « While I think this is great, for law enforcement and offensive intelligence agencies, it’s going to be a nightmare ». Ce qu’il annonce comme un cauchemar pour les agences, il le tient pour une bonne nouvelle. Son texte est un billet argumenté, pas une étude relue par des pairs.

Notre comptage ne le contredit pas pour autant. Une flambée de publications est exactement ce que son modèle prévoit en première phase : on trouve tout, puis il ne reste rien à trouver. Et une vulnérabilité référencée n’est pas une faille exploitable à distance : la NVD enregistre des défauts de toute nature, sur des logiciels de toute taille.

Reste le sort des prédictions du même ordre. En février 2016, douze chercheurs et anciens responsables américains signaient Don’t Panic pour le Berkman Center de Harvard : « Going dark is the wrong metaphor », écrivaient-ils, en prévoyant que les objets connectés et les métadonnées combleraient largement les angles morts. En octobre 2016, la juriste Susan Hennessey défendait dans une note de la Brookings Institution le piratage légal comme voie moyenne, en prévenant que « hacking tools are necessarily perishable ». La mise en garde a dix ans. L’épuisement qu’elle annonçait n’a été mesuré nulle part.

C’est de ce côté que vient le meilleur argument des enquêteurs. La même note défend le piratage ciblé comme préférable à une obligation législative, parce qu’il laisse les entreprises concevoir des systèmes sûrs. Si cette voie se ferme, la demande d’accès ne disparaît pas : elle se reporte sur la loi.

À surveiller

La suite se joue à Bruxelles, et le calendrier européen est déjà écrit. Le 26 mars 2026, le Parlement européen a rejeté la prolongation de la dérogation qui autorisait les fournisseurs à détecter des contenus pédocriminels dans les communications privées, par 228 voix pour, 311 contre et 92 abstentions. Le régime temporaire a expiré après le 3 avril 2026. Les discussions sur le cadre permanent se poursuivent depuis la position du Conseil de novembre 2025.

Ce qui est déjà en place compte autant que la menace annoncée. Le débat dispose d’un corpus public de dix ans, les éditeurs ferment les vulnérabilités dès qu’ils les apprennent, de l’aveu même du billet, et les tribunaux bornent déjà certaines techniques d’enquête, comme sur les mandats de géolocalisation. Aucune de ces trois pièces n’a bougé la semaine dernière.

Pour un utilisateur de Signal ou de WhatsApp en France, rien ne change au 15 août 2026. Le seul geste utile reste de garder ses applications à jour, puisque la défense décrite par Green est précisément celle qui ferme les failles.

Le rendez-vous est daté : si la prédiction se vérifie, le compteur du NIST doit cesser de monter avant août 2028. Il est public et se revérifie en une requête.