Google a dévoilé aujourd’hui Gemini 3.5 Flash Cyber et CodeMender, deux outils pensés pour l’analyse de sécurité du code. Le premier est un modèle spécialisé. Le second, un agent qui cherche des vulnérabilités, vérifie qu’elles peuvent vraiment être exploitées, puis aide à les corriger.
Google veut faire plus que remonter des anomalies dans une liste. L’idée est d’apporter quelque chose d’utile aux équipes de développement comme aux équipes sécurité. Pour le moment, l’accès reste très fermé : le lancement est réservé à des gouvernements et à quelques partenaires jugés fiables dans le cadre d’un pilote. Une ouverture plus large viendra plus tard, histoire de limiter les risques d’usage détourné.
Avec Gemini 3.5 Flash Cyber, Google pousse une approche moins lourde que celle de ses gros modèles généralistes. L’entreprise le présente comme une option plus rapide et moins coûteuse pour passer au crible d’énormes bases de code. Pour les sociétés qui jonglent avec des millions de lignes réparties entre plusieurs produits et plusieurs équipes, ce détail n’en est pas un.
Dans CodeMender, le système examine un grand nombre de chemins d’exécution pour faire remonter les défauts possibles. Là où les outils classiques s’arrêtent souvent à une alerte, Google veut couvrir toute la suite : détection, validation, puis remédiation. Le but est clair, réduire les faux positifs et aider les équipes à savoir ce qui doit passer en priorité.
Google met aussi en avant ses premiers essais en interne. D’après l’équipe Cloud Vulnerability Research, le modèle a permis de trouver des failles d’exécution de code à distance, ainsi qu’un problème de corruption mémoire dans un service de production, en environ deux heures.
Sur le papier, c’est une très bonne nouvelle.
Mieux vaut quand même garder un peu de recul : ces chiffres viennent de tests menés par Google, dans un cadre contrôlé. La vraie mesure arrivera quand ces outils seront déployés plus largement, sur des environnements hétérogènes, avec tout ce que cela implique, du vieux code qui traîne depuis des années jusqu’aux architectures microservices les plus récentes.
Ce lancement n’arrive pas seul. Il suit un mouvement déjà visible chez Anthropic et OpenAI, avec des initiatives du même genre. L’enjeu n’est plus seulement d’automatiser quelques tâches simples, mais de confier à des modèles spécialisés une part de l’analyse défensive à grande échelle, au moment même où les attaquants s’équipent eux aussi de ces technologies.
Le marché avance dans le même sens : les dépenses liées à cette cybersécurité dopée par ces outils devraient dépasser 44 milliards en 2026. Mais l’adoption reste très inégale. 78 % des organisations disent déjà utiliser ce type de solutions, alors que seules 27 % estiment avoir atteint un niveau de maturité suffisant pour un vrai passage en production.
Au fond, le vrai test, c’est la confiance. Les experts du secteur reviennent toujours sur les mêmes points : faux positifs, manque de visibilité sur la manière dont les décisions sont prises, et risque de trop s’en remettre à l’automatisation.
Dans une enquête récente, 78 % des professionnels ont indiqué que des outils de test automatisés n’avaient pas repéré des vulnérabilités critiques. Gemini 3.5 Flash Cyber et CodeMender promettent peut-être un vrai coup d’accélérateur. La relecture humaine, elle, reste indispensable. Pour Google, le défi ne consistera pas seulement à trouver des failles plus vite, mais à convaincre qu’on peut réellement faire confiance aux résultats.
