Le rapport Threat Hunting 2026 de CrowdStrike mesure la fenêtre d'exploitation en heures — et affirme que l'IA de pointe ne l'a pas réduite en premier

CrowdStrike a publié son rapport Threat Hunting 2026 le 3 août 2026, et le chiffre qui a circulé était de 88 % : de janvier à juin 2026, l’entreprise affirme que 88 % des exploitations qu’elle a observées sur des vulnérabilités disposant d’une preuve de concept publique ont commencé dans les 48 heures suivant la publication de cette preuve de concept. Le rapport est attribué à CrowdStrike Intelligence et CrowdStrike OverWatch, couvre les douze mois de juillet 2025 à juin 2026 et suit ce que l’entreprise décrit comme plus de 290 adversaires nommés. Deux constats présentent un angle IA — une campagne LLMJacking qui a généré près de 200 000 requêtes API en deux minutes, et des pistes de détection générées par des agents IA, qui arrivent à un rythme 2,5 fois supérieur à celui des pistes générées par des humains. Aucune victime nommée, aucun chiffre de perte ni aucune accusation ne sont associés à l’entrée de l’archive ; elle est classée comme un rapport, avec une sévérité « info » et une implication de l’IA confirmée. La note de gravité, le niveau de confiance et la liste des sources de la fiche se trouvent dans l’archive des incidents d’IA, aux côtés des entrées enregistrées autour d’elle.

Le chrono démarre à la preuve de concept, pas au correctif.

La phrase du billet de blog de CrowdStrike est prudente, et il vaut mieux la citer que la paraphraser : de janvier à juin 2026, « 88 % de l’exploitation de vulnérabilités dotées d’un PoC public que CrowdStrike a observée a été menée dans les 48 heures suivant la publication du PoC ». L’intervalle va du moment où le code d’exploitation fonctionnel devient public au moment où quelqu’un l’utilise, et non du moment où un correctif est publié. Duncan Riley, de SiliconANGLE, dans un article publié le jour même, l’a formulé ainsi : « Entre janvier et juin, cet écart a été inférieur à 48 heures dans 88 % des cas. » Chi-gyu Hwang, de DigitalToday, a décrit la même méthode : CrowdStrike « a mesuré en heures l’intervalle entre la publication d’un exploit de preuve de concept et son utilisation dans des attaques réelles. »

Deux réserves sont intégrées à cette phrase et tendent à disparaître lorsqu’on en tire un titre. La première est le dénominateur : les 88 % ne décrivent que les vulnérabilités qui disposaient déjà d’une preuve de concept publique ; ce chiffre ne dit donc rien de l’ensemble bien plus vaste des failles qui n’en obtiennent jamais. La seconde est le chronomètre lui-même. Le résumé en une ligne de l’archive condense la conclusion en « dans les 48 heures suivant la divulgation », et la publication d’une PoC et la divulgation d’un correctif sont des événements différents, à des dates différentes. Lorsqu’ils divergent, le rapport mesure le plus favorable des deux : une faille peut être divulguée et corrigée des mois avant que quiconque publie du code d’exploitation, et les 48 heures de CrowdStrike commencent au second événement.

L’exemple concret le plus clair du rapport est un groupe lié à la Biélorussie que CrowdStrike appelle UMBRAL BISON, et qui, selon la société, a exploité CVE-2026-31431, une faille Linux d’élévation locale de privilèges, en avril 2026. Selon le rapport, la vulnérabilité a été divulguée publiquement le 29 avril 2026 ; le lendemain, OverWatch a détecté un déploiement étendu de l’exploit ; et environ 94 % des événements sur ces premières 24 heures relevaient d’un comportement de test fondé sur le code PoC public plutôt que d’un développement sur mesure. CrowdStrike affirme avoir découvert l’activité de l’acteur « en un peu plus de 20 heures après la divulgation publique ». Il s’agit d’un cas unique, issu de la télémétrie propre à un fournisseur, et c’est le type de précision que le pourcentage agrégé ne peut pas fournir.

À côté de cela, le rapport indique que l’exploitation de vulnérabilités zero-day a augmenté de 42 % d’une année sur l’autre, un chiffre que SiliconANGLE reprend du même document. Les deux nombres décrivent des populations différentes — des failles exploitées sans PoC public, et des failles exploitées après qu’un PoC l’a été — et le rapport ne les additionne pas.

React2Shell : 800 pistes, 80 victimes, quatre jours

L'étude de cas la plus concrète du rapport est React2Shell, suivie sous CVE-2025-55182 — une faille d'exécution de code à distance non authentifiée dans React Server Components et Next.js. SiliconANGLE rapporte que la divulgation et les correctifs sont intervenus le 3 décembre 2025 et que du code d'exploitation fonctionnel est apparu le lendemain. CrowdStrike affirme que les groupes liés à la Chine qu'elle appelle VAULT PANDA et GENESIS PANDA ont lancé des attaques délibérées dans les 24 heures suivant la divulgation publique de la faille, et qu'OverWatch a répondu à plus de 800 pistes de recherche dans plus de 80 organisations victimes au cours des quatre premiers jours. DigitalToday rapporte les deux mêmes groupes et le même chiffre de 24 heures, mesuré, selon son compte rendu, à partir de l'apparition du code d'exploitation.

Lire ce cas à côté des 88 % demande de la prudence, car les deux se situent dans des portions différentes de la période couverte par le rapport. React2Shell a été révélé le 3 décembre 2025, dans la première moitié de la fenêtre du rapport allant de juillet 2025 à juin 2026 ; l’agrégat de 88 % ne couvre que janvier à juin 2026. Ce sont deux observations issues d’un même document, et non deux mesures d’une même tendance ; un lecteur qui les empile pour en faire une seule courbe en accélération lit quelque chose que le rapport ne dit pas.

Ce que le cas React2Shell établit, c’est la forme du problème auquel le défenseur est confronté. L’écart entre le code d’exploitation public et les attaques s’est mesuré en heures, et la conséquence n’a pas été un nombre d’hôtes compromis, mais un nombre de pistes de chasse — 800, réparties sur 80 et quelques organisations, en quatre jours. C’est un chiffre de charge de travail, et c’est bien la charge de travail qu’un fournisseur de chasse aux menaces peut réellement compter.

Les constats de l’IA, ainsi que ceux auxquels aucun numéro n’est associé.

La campagne LLMJacking est le détail lié à l’IA le plus marquant du rapport, et SiliconANGLE en rapporte davantage que l’article de blog. Dans une campagne de mai contre le service de modèle de fondation d’un fournisseur cloud, un acteur a fait passer une identité compromise au niveau des privilèges d’administrateur, a soumis le formulaire de cas d’usage requis pour débloquer l’accès au modèle, puis a envoyé près de 200 000 requêtes API « lors d’un premier déferlement de deux minutes avant l’activation de la limitation de débit ». Le résumé de CrowdStrike lui-même indique que la campagne a généré près de 200 000 requêtes API en deux minutes, « entraînant un impact financier et opérationnel à grande échelle ».

C’est là que le registre s’arrête. Le rapport ne fournit aucun montant en dollars pour l’impact, aucun nom pour le fournisseur cloud et aucun nom pour l’acteur. L’expression « impact financier et opérationnel à grande échelle » est la caractérisation du fournisseur, et non une perte mesurée, et rien dans les trois articles indépendants examinés pour ce texte n’y ajoute un chiffre. L’archive ne consigne donc aucun préjudice réel pour cette entrée — non parce que rien ne s’est produit, mais parce que le reportage quantifie le mécanisme et laisse le coût à l’état de prose.

Le deuxième chiffre lié à l’IA est un ratio plutôt qu’un incident. CrowdStrike affirme que les pistes de détection déclenchées par des agents IA « font désormais apparaître 2,5 fois plus de pistes de menace que l’activité menée manuellement », un constat qu’il attribue à OverWatch ; eSecurity Planet le présente comme des pistes de détection générées par l’IA apparaissant « 2,5 fois plus fréquemment que les pistes générées par des humains ». Lu simplement, il s’agit d’une affirmation sur le volume de travail arrivant dans un centre des opérations de sécurité, et non sur la compétence des agents qui le produisent, et le rapport n’offre ni taux de précision ni taux de faux positifs pour l’accompagner.

Le troisième point est une proportion d’une taxonomie : CrowdStrike indique que les techniques d’accès aux modèles d’IA représentaient 16 % des techniques MITRE ATLAS qu’elle a observées au cours de l’année, avec un groupe lié à la RPDC, qu’elle appelle FAMOUS CHOLLIMA, qui utilise des environnements centrés sur l’IA comme arme contre des entreprises de cryptomonnaie et de blockchain — un exemple de la technique ATLAS pour la compromission de la chaîne d’approvisionnement liée à l’IA, AML.T0010. C’est dans les conclusions sur la chaîne d’approvisionnement que le rapport est le plus concret : le groupe qu’elle appelle STARDUST CHOLLIMA a utilisé des identifiants de mainteneur volés en mars 2026 pour compromettre le paquet npm Axios, et en juin 2026 a injecté un paquet malveillant dans au moins 131 paquets du framework Mastra AI ; le groupe qu’elle appelle ALTERED SPIDER a compromis plus de 300 dépendances logicielles en une seule journée ; et 87 % des menaces liées aux registres de logiciels que CrowdStrike a identifiées au premier semestre 2026 concernaient des paquets npm.

Ce que le rapport dit à l’encontre de son propre titre

Le titre du rapport est « La fenêtre d'exploitation se referme à mesure que l'usage de l'IA s'accélère », ce qui se lit comme une affirmation de causalité. Le corps du texte n'en formule pas. Dans l'article de blog, CrowdStrike écrit que « ce schéma précède l'émergence des modèles d'IA de pointe » et que le déploiement de tels systèmes « devrait probablement » comprimer encore les délais d'exploitation en accélérant la découverte de vulnérabilités et le développement d'exploits. Dans la présentation du rapport lui-même, l'IA est un accélérateur qui survient par-dessus une tendance déjà mesurée en heures — et une nouvelle cible, car les systèmes d'IA recèlent des secrets, des accès aux modèles et de la puissance de calcul que les adversaires convoitent.

Adam Meyers, directeur des opérations contre les adversaires chez CrowdStrike, est cité par SiliconANGLE, qui écrit que « l’IA est désormais intégrée aux opérations modernes des adversaires » et que les organisations doivent « sécuriser l’IA avec autant d’agressivité qu’elles l’adoptent ». Ni cette citation ni le corps du rapport n’affirment que l’IA est à l’origine de la fenêtre de 48 heures ; le rapport situe explicitement ce schéma avant les modèles de frontière.

Le mot « likely » joue un rôle bien réel dans cette phrase, et il marque la limite honnête du document. Tout ce que le rapport affirme sur l'IA qui réduit encore cette fenêtre relève d'une prévision, et d'une prévision de fournisseur de surcroît. Ce que le rapport peut étayer par des données est plus étroit et, à certains égards, plus utile : les acteurs sont rapides face aux failles qui disposent d'un code d'exploitation public, l'infrastructure d'IA constitue désormais à la fois une surface d'attaque et une ressource à dérober, et la charge de détection augmente plus vite que la capacité humaine à l'absorber.

Ce que la couverture indépendante a relayé, et ce qu’aucune de ces couvertures n’a mesuré

Trois médias extérieurs à CrowdStrike ont rédigé des articles sur le rapport le jour de sa publication ou peu après, et les différences entre ces articles sont instructives quant aux conclusions qui ont résisté au contact d’une deuxième salle de rédaction.

SiliconANGLE a repris le chiffre de 88 % avec sa méthode, la chronologie React2Shell incluant les décomptes de 800 pistes et 80 victimes, la hausse de 42 % des zero-day, la part de 16 % d’ATLAS, la campagne LLMJacking dans sa forme la plus complète, le ratio de 2,5x d’avance de détection, ainsi que la citation de Meyers. Il n’a pas repris le cas UMBRAL BISON.

eSecurity Planet, dans l'article de Ken Underhill du 4 août 2026, rapportait le chiffre de 88 %, le ratio de 2,5x, l'affirmation selon laquelle les cybermenaces dopées à l'IA ont bondi de 89 % en 2025, la part de npm à 87 %, les plus de 300 dépendances d'ALTERED SPIDER, une hausse de 171 % des attaques cloud à motivation financière, le doublement du vishing et une multiplication par 15 du phishing par code d'appareil, ainsi qu'une progression globale de 4 % d'une année sur l'autre des intrusions, contre 27 % l'année précédente. Il ne mentionnait pas VAULT PANDA, GENESIS PANDA, React2Shell, OverWatch ni LLMJacking.

DigitalToday a repris le chiffre de 88 %, avec le calendrier fondé sur la PoC, la période de référence de juillet 2025 à juin 2026, le décompte de plus de 290 adversaires et le calendrier de React2Shell avec les deux groupes liés à la Chine.

Le point qui compte le plus est ce que les trois ont en commun : chaque chiffre ci-dessus provient de la télémétrie de CrowdStrike. Aucun des trois médias n’a mesuré la fenêtre de 48 heures, compté les pistes de chasse ni audité le ratio de délai de détection de manière indépendante ; ils ont rapporté ce que le fournisseur avait dit, avec exactitude, et l’ont attribué. La corroboration indépendante de ce dossier existe donc au niveau de la couverture médiatique — trois rédactions s’accordant sur ce que dit le document — et non au niveau de la mesure, ce qui est précisément ce que décrit le grade de confiance A de l’archive, et ce qu’il ne décrit pas.

Ce que le dossier ne contient pas

Les lacunes sont précises. Aucune organisation victime n’est nommée nulle part dans les conclusions du rapport telles que résumées par CrowdStrike ou par les trois médias : les plus de 80 organisations à l’origine des pistes React2Shell sont un décompte, pas une liste. La campagne LLMJacking a un mécanisme et un volume de requêtes, mais aucun chiffre de perte. Les 88 % n’ont aucun dénominateur publié — combien de vulnérabilités, combien d’événements d’exploitation — dans l’article de blog ni dans aucun des articles secondaires examinés pour cet article. Et il n’existe nulle part dans le document de part de l’accélération attribuable à l’IA, car la position de CrowdStrike est que cette accélération précède l’IA de pointe.

Rien de tout cela ne rend le dossier erroné. Cela en fait un rapport de renseignement sur les menaces d’un fournisseur, avec une méthodologie nommée et aucun sujet nommé, ce à quoi ressemble le genre. La raison de le lire attentivement plutôt que de survoler les 88 % est que le rapport est plus prudent que son propre titre : il distingue une mesure d’une prévision, situe la tendance à l’accélération plus tôt que la technologie que tout le monde veut incriminer, et laisse le coût des campagnes spécifiques à l’IA sous forme de formule plutôt que de chiffre.

Ce qui changerait la donne, ce serait une mesure externe du même intervalle — un CERT national publiant sa propre répartition des délais entre PoC et exploitation, ou un régulateur exigeant des données de chronologie des incidents. Rien de tel n’apparaît dans les sources examinées ici. Tant que ce ne sera pas le cas, la fenêtre de 48 heures est la vision d’une seule entreprise de sa propre télémétrie, publiée le 3 août 2026 et corroborée par trois rédactions qui l’ont interprétée de la même manière.