Budgets 2027 : il faut défragiliser le SI

Le 24 mars 1998, la commission bancaire de la Chambre des représentants américaine consacre une audition au passage à l'an 2000. Dans sa déclaration d'ouverture, le représentant John LaFalce cite Bank of America, alors installée à San Francisco : 1 000 personnes y relisent à temps plein 200 millions de lignes de code, pour 250 millions de dollars¹. Six mois plus tard, la banque fusionne avec NationsBank, et l'ensemble prend son nom².

Le 14 octobre 2026, Brian Moynihan, qui dirige Bank of America, explique sur CNBC que la banque a fait entrer 1 000 prestataires au deuxième trimestre pour corriger les failles mises au jour par des modèles d'IA, dans son code et dans celui de ses fournisseurs, comme Claude Mythos. Ils sont toujours en poste, en renfort des 3 000 personnes que la banque compte déjà dans ce domaine. « That risk is real risk », résume-t-il³ (voir le détail de l'annonce et de ses coûts).

Les DSI et les RSSI bouclent leurs budgets en ce moment. 2027 a de bonnes chances d'être l'année de la défragilisation du SI, et Bank of America vient de leur fournir l'ordre de grandeur qui manquait.

Un bug de l'an 2000 sans date de fin

La comparaison tient sur un mécanisme : la dette dormait dans le code depuis des années, et les modèles l'ont rendue visible d'un coup. En ouvrant Claude Mythos Preview à un cercle restreint de partenaires le 7 avril 2026, dans le cadre de Project Glasswing, Anthropic annonçait avoir trouvé une faille vieille de 27 ans dans OpenBSD et une autre de 16 ans dans FFmpeg⁴. Ces failles existaient avant le modèle. Il a fini par les lire.

En 1998 aussi, la facture se comptait en heures de travail. Dans la même déclaration, LaFalce citait une estimation du Software Productivity Research Group, plus de 700 000 années-personnes pour trouver, corriger et tester tout le logiciel touché, et relevait que les cabinets de conseil et d'audit avaient recruté 200 000 personnes en deux ans¹. Vingt-huit ans plus tard, l'ordre des opérations reste le même (trouver, corriger, tester), et Bank of America paie encore des consultants pour l'exécuter.

La comparaison s'arrête au calendrier. Le bug de l'an 2000 avait une cause unique, les années codées sur deux chiffres, et une échéance, le 1er janvier 2000 : le chantier se terminait. Les failles que trouvent les modèles n'ont ni cause unique ni échéance, et chaque génération de modèles relit le même code avec de meilleurs yeux. Un modèle plus récent trouve ce que le précédent avait manqué. Le chantier devient permanent.

Le lac de failles est à l'intérieur

Une partie de la dette vient des composants tiers, que leurs éditeurs et la communauté corrigent à leur rythme. Le reste dort dans le code que personne d'autre ne relit : applications maison, legacy, code écrit en vase clos par des prestataires ou en offshore, jamais passé au crible de ces modèles. L'open source a ses chercheurs et ses chasseurs de primes. Votre back-office n'a que vous.

Veracode, éditeur de solutions de sécurité, donne un ordre de grandeur. Sur 1,6 million d'applications analysées avec le Cyentia Institute, 82 % des organisations portent une dette de sécurité, c'est-à-dire des failles ouvertes depuis plus d'un an (74 % un an plus tôt), et 60 % une dette critique. Il leur faut 243 jours pour corriger la moitié des failles trouvées, et l'organisation médiane ferme environ 10 % de son arriéré par mois⁵. Ces chiffres viennent d'un éditeur qui vend les outils pour réduire cette dette ; l'ordre de grandeur suffit au raisonnement.

Quand un modèle fait grossir du jour au lendemain le stock connu, une organisation qui ne change rien d'autre allonge ses délais de correction ou ajoute de la capacité. Bank of America a ajouté de la capacité.

Le flux grossit

Les découvertes s'accélèrent. Anthropic déclare que les partenaires de Glasswing ont trouvé au moins 129 000 vulnérabilités vérifiées entre avril et juillet 2026 ; avec les 5 500 que ses propres analyses ont relevées dans l'open source, plus de 33 000 sont classées critiques ou hautes, un décompte qu'Anthropic juge elle-même « likely an undercount »⁶. Dans les registres publics, la base NVD a publié 92 319 CVE de janvier à octobre 2026, 2,24 fois plus que sur la même période de 2025, selon un décompte de RuntimeWire⁷. Un volume de CVE mesure d'abord l'activité de ceux qui cherchent : beaucoup plus de monde, humains et agents, lit désormais le code.

Les mainteneurs ne suivent pas le rythme. Au 2 octobre 2026, sur 6 157 failles signalées par Anthropic aux mainteneurs de 591 projets open source, 516 étaient corrigées en amont à sa connaissance, et Anthropic note que des mois séparent souvent la découverte du correctif⁸. Mandiant estime de son côté que l'exploitation précède désormais la sortie du correctif, de sept jours en moyenne en 2025⁹ (voir pourquoi le délai de correction fixe votre risque).

Le code neuf remplit le lac de son côté. Le 22 avril 2026, Sundar Pichai indiquait que 75 % du nouveau code de Google était généré par IA puis approuvé par des ingénieurs, contre 50 % à l'automne précédent¹⁰. Dans l'édition d'octobre 2026 de son rapport, Veracode trouve encore une faille dans 38 % des tâches de génération qu'il soumet aux modèles (44 % en juillet), et les deux meilleurs modèles échouent sur 27 % d'entre elles¹¹.

Vous devez donc vider le lac, et devenir capable de traiter le flux.

Ce que Bank of America a acheté

Bank of America a le mérite d'afficher le prix : 1 000 personnes pour encaisser le choc, recrutées comme consultants. Sur l'earnings call du même jour, Moynihan annonce « we expect that the Mythos remediation costs run down », en rappelant que ces renforts restent hors effectifs. Il précise que plus de 200 millions de dollars de charges du troisième trimestre couvrent deux remédiations qu'il ne ventile pas : celle des failles liées à Mythos et celle du dispositif anti-blanchiment¹².

Dans Antifragile (2012), Nassim Nicholas Taleb distingue ce qui casse sous le stress, ce qui l'encaisse sans changer, et ce qui s'améliore à son contact¹³. Avec ses prestataires, Bank of America a acheté de quoi encaisser. Le choix est rationnel à court terme, et il corrige la vague actuelle. Le coût de la suivante reste entier : à la prochaine génération de modèles, la banque devra de nouveau recruter, à moins d'avoir changé entre-temps sa façon de produire et de corriger le code.

Défragiliser, c'est faire en sorte que chaque nouvelle vague de découvertes coûte moins cher que la précédente. Le cœur du travail porte un nom, la défragilisation du code que l'on possède : réduire son stock de failles exploitables avant qu'un attaquant ne les trouve, prouver chaque faille par un test, livrer le correctif, relancer l'analyse à chaque nouveau modèle.

Ce qui fait baisser la facture suivante

Retirer avant d'ajouter

Chaque ligne de code supprimée est une ligne qu'aucun modèle ne relira, ni pour vous ni pour un attaquant. Taleb appelle via negativa le fait de progresser en retirant¹³. Dans un SI, cela veut dire décommissionner les applications qui ne servent plus, supprimer le code mort, sortir les dépendances inutiles et retirer les privilèges en trop. Selon Veracode, les deux tiers de la dette critique viennent de code tiers, et la moitié des failles tierces attend 358 jours son correctif⁵ : une dépendance retirée n'en réclamera jamais. Quand un sous-système accumule trop de failles prouvées, sa réécriture rejoint la modernisation du legacy.

Sécuriser le code neuf au moment où il s'écrit

Une grande partie du code neuf sort d'un modèle, et le contrôle doit tourner au même rythme : règles de sécurité données à l'agent au moment de la génération, revue outillée avant fusion, tests de sécurité dans la CI. Dans le rapport d'octobre de Veracode, les modèles les moins sûrs plafonnent entre 44 et 50 % de réussite, contre 73 % pour les meilleurs¹¹ : le choix du modèle devient une décision de sécurité. Cette dépense se loge dans le budget de développement et ralentit l'arrivée de nouvelles failles dans le lac (voir la semaine où le SDLC a changé de goulot).

Industrialiser la correction plutôt qu'empiler les scanners

Un scanner de plus produit des tickets sans en fermer aucun. Pour défragiliser, financez la correction. Des agents proposent désormais un correctif prouvé par un test et relu par un humain, comme CodeMender chez Google ou Codex Security chez OpenAI¹⁴. Prioriser par l'exploitabilité évite de tout traiter au même rythme : sur 300 failles attribuées à Anthropic ou à Glasswing et étudiées par VulnCheck, deux avaient été exploitées, selon une analyse publiée début octobre¹⁵. Restent une chaîne de livraison capable de déployer un correctif en quelques heures, et des clauses qui fixent à chaque fournisseur un délai de correction et vous ouvrent un droit d'audit sur son code. Avec ces dépenses, chaque correction coûte moins cher, et ce coût unitaire décide de la facture de la vague suivante.

Le pari de Moynihan, traduit en budget

Moynihan parie que ses coûts de correction vont baisser. C'est possible, à condition de ne pas générer de nouvelles vulnérabilités plus vite qu'on les corrige.

Pour un comité budgétaire, le cas Bank of America sépare la ligne qui paie le choc de celle qui paie la sortie du choc. La première finance la relecture du stock avec les modèles disponibles et la correction de ce qu'ils trouvent, avec des renforts temporaires comme les consultants de Moynihan. Elle se dimensionne avant de signer : faites passer une application représentative au crible, comptez les failles prouvées, mesurez le temps de correction de chacune, puis extrapolez au parc. La seconde finance le retrait de code et de dépendances, les contrôles sur le code généré, l'outillage de correction et les clauses fournisseurs. Elle fixera le nombre de « prestataires Mythos » nécessaires en 2028.

Un indicateur dit si cet argent défragilise : le coût d'une faille corrigée, suivi d'une génération de modèles à l'autre. S'il baisse, le SI se défragilise. S'il stagne, vous avez acheté de quoi encaisser, et vous le rachèterez à la prochaine sortie de modèle. Cette seconde ligne prolonge l'arbitrage AI4IT des budgets 2027 : les agents qui accélèrent la production du SI peuvent aussi en résorber la dette, si le budget le prévoit.

Ce que la BCE demande déjà

Début juillet 2026, Claudia Buch, présidente du conseil de surveillance prudentielle de la BCE, a écrit aux dirigeants des grandes banques de la zone euro pour leur demander un plan face aux risques cyber de l'IA de frontière, attendu pour fin octobre, selon Politico repris le 7 juillet par The Next Web¹⁶. Ces plans doivent couvrir des correctifs plus rapides, des défenses outillées par l'IA, une surveillance plus serrée des fournisseurs, la mise à niveau des systèmes vieillissants et la réponse aux crises. L'échéance est passée : aux DSI et aux RSSI de financer ces plans dans les budgets 2027.

Pour une entité financière européenne, le règlement européen DORA (Digital Operational Resilience Act, UE 2022/2554), applicable depuis le 17 janvier 2025, fournit déjà les leviers. Son article 25 range les évaluations et analyses de la vulnérabilité et les « examens du code source lorsque cela est possible » parmi les tests attendus. Son article 30 impose, pour les fonctions critiques ou importantes, des droits illimités d'accès, d'inspection et d'audit chez le prestataire TIC¹⁷. Le texte donne de quoi exiger d'un fournisseur des mesures correctives et l'accès à son code : encore faut-il avoir signé les clauses.

Hors finance, le Cyber Resilience Act oblige depuis le 11 septembre 2026 les fabricants de produits comportant des éléments numériques à signaler les vulnérabilités activement exploitées : vos éditeurs y sont soumis, votre code maison ne l'est pas.

Reste la question à poser avant de signer le budget : combien de « prestataires Mythos » faudra-t-il l'an prochain, et quelle part du budget 2027 ira à ce qui fera baisser la facture suivante ?

Questions fréquentes

Pourquoi comparer les failles trouvées par l'IA au bug de l'an 2000 ?

Dans les deux cas, une dette ancienne devient visible d'un coup et sa correction se paie en heures humaines : trouver, corriger, tester. Bank of America a mobilisé 1 000 personnes en 1998 comme en 2026. Le calendrier diffère : l'an 2000 avait une échéance, et chaque nouvelle génération de modèles relit aujourd'hui le même code pour y trouver d'autres failles.

Qu'est-ce que la dette de sécurité ?

Veracode appelle dette de sécurité les failles connues restées ouvertes plus d'un an. Dans son rapport State of Software Security 2026, 82 % des organisations en portent, et 60 % portent une dette critique.

Faut-il une ligne budgétaire à part pour défragiliser le SI ?

Séparer deux lignes aide à piloter : la remédiation du stock, temporaire, et ce qui fait baisser la facture suivante (retrait de code et de dépendances, contrôles sur le code généré, outillage de correction, clauses fournisseurs). Le coût d'une faille corrigée, suivi d'une génération de modèles à l'autre, montre si la seconde ligne produit son effet.

Une banque européenne est-elle concernée ?

Oui. La BCE attendait pour fin octobre 2026 les plans des grandes banques qu'elle supervise face aux risques cyber de l'IA de frontière. Le règlement DORA range déjà les revues de code source parmi les tests et impose des droits d'audit chez les prestataires TIC pour les fonctions critiques ou importantes.

Les chiffres cités sont-ils fiables ?

Anthropic et Google déclarent leurs propres chiffres, invérifiables de l'extérieur. Veracode vend des outils liés à ce qu'il mesure. Le décompte NVD de RuntimeWire, tiré de l'API publique du NIST, se refait par n'importe qui, mais un volume de CVE mesure l'activité de signalement autant que l'insécurité du logiciel.

SFEIR est partenaire d'Anthropic et de Google : lisez cet article avec ce filtre.

Sources

1. Chambre des représentants des États-Unis, Committee on Banking and Financial Services, « Year 2000 Readiness of HUD, Treasury, and Federal Financial Regulatory Agencies », audition du 24 mars 1998, déclaration d'ouverture de John LaFalce (Bank of America : 1 000 personnes, 200 millions de lignes, 250 millions de dollars ; estimation SPR de 700 000 années-personnes ; 200 000 recrutements dans le conseil et l'audit), commdocs.house.gov : commdocs.house.gov
2. BankAmerica Corporation, rapport annuel 10-K de l'exercice 1998 (fusion du 30 septembre 1998 avec NationsBank, activité sous le nom Bank of America), investor.bankofamerica.com : investor.bankofamerica.com
3. Hugh Son, « Bank of America hired 1,000 contractors to patch software flaws exposed by Anthropic's Mythos » (entretien de Brian Moynihan avec Leslie Picker), CNBC, 14 octobre 2026 : cnbc.com
4. Anthropic, « Project Glasswing: Securing critical software for the AI era » (failles de 27 ans dans OpenBSD et de 16 ans dans FFmpeg, chiffres déclarés par l'éditeur), 7 avril 2026 : anthropic.com
5. Cyentia Institute et Veracode, « 2026 State of Software Security » (1,6 million d'applications ; étude d'éditeur), 25 février 2026 : cyentia.com
6. Anthropic, « Expanding the Cyber Verification Program » (129 000 vulnérabilités vérifiées d'avril à juillet 2026, plus de 33 000 critiques ou hautes ; chiffres déclarés par l'éditeur), 6 octobre 2026 : anthropic.com
7. RuntimeWire, « NVD recorded 2.24 times as many CVEs from January through October as in the same months of 2025 » (décompte via l'API NVD), novembre 2026 : runtimewire.com
8. VentureBeat, « Anthropic's Cyber Mission starts with 6,157 findings reported to maintainers and 516 patched », octobre 2026 : venturebeat.com
9. Mandiant (Google), M-Trends 2026, présenté par Help Net Security le 24 mars 2026 : helpnetsecurity.com
10. Sundar Pichai, « Cloud Next 2026 » (75 % du nouveau code de Google généré par IA et approuvé par des ingénieurs), blog Google, 22 avril 2026 : blog.google
11. Veracode, « Veracode Finds First Meaningful Gain in AI Code Security Since 2025 as Average Pass Rate Hits 62% » (édition d'octobre 2026 ; étude d'éditeur), communiqué du 29 octobre 2026 : veracode.com ; édition de juillet 2026 : veracode.com
12. Bank of America, transcript de l'earnings call du troisième trimestre 2026, 14 octobre 2026 : d1io3yog0oux5.cloudfront.net
13. Nassim Nicholas Taleb, Antifragile: Things That Gain from Disorder, Random House, 2012.
14. Google Cloud, « Now in preview: Find and fix software vulnerabilities with CodeMender », 21 juillet 2026 : cloud.google.com ; OpenAI, « Introducing Aardvark » (note du 6 mars 2026 : Aardvark devient Codex Security) : openai.com
15. The Hacker News, « Anthropic Expands Claude Access for Vetted Cyber Teams as Glasswing Finds 129,000 Flaws » (analyse VulnCheck de Patrick Garrity : 2 failles exploitées sur 300), 7 octobre 2026 : thehackernews.com
16. The Next Web, « ECB tells Europe's big banks to plan for AI cyber threats » (d'après Politico), 7 juillet 2026 : thenextweb.com
17. Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), articles 25 et 30, EUR-Lex.