Comparatif d'agents de sécurité IA : Claude, Codex, Mantis et Cloudflare
Anthropic, OpenAI, Cloudflare et Google proposent désormais chacun un agent d'IA chargé de traquer les failles de sécurité dans le code source, et une comparaison de leurs dépôts, de leur documentation et de leurs détails techniques montre qu'ils convergent vers la même architecture. Un premier agent repère un bogue, un second tente indépendamment de l'invalider, et seules les failles qui résistent donnent lieu à un correctif. Les différences portent sur l'environnement d'exécution, le public visé et le niveau de preuve exigé. Claude Security d'Anthropic fonctionne dans une session Claude Code, sans clé d'API supplémentaire, car le plugin n'appelle aucun modèle de lui-même et la consommation s'impute sur les limites du forfait Claude. Il cartographie l'architecture, construit un modèle de menaces, inspecte chaque composant et fait vérifier chaque résultat séparément. Il produit un rapport Markdown et un fichier SARIF 2.1.0 pour le code scanning de GitHub, avec sévérité, catégorie CWE, impact et étapes de reproduction. Les correctifs sont rédigés dans une copie de travail sous forme de fichiers F<n>.patch, sans jamais de commit, de push ni de pull request automatiques. Codex Security d'OpenAI, publié sous le nom @openai/codex-security, est une interface en ligne de commande et un SDK TypeScript. Il analyse un dépôt entier, des chemins choisis ou un diff Git, propose un mode « deep » avec des travailleurs de découverte en parallèle, valide les candidats, génère des correctifs et vérifie les corrections existantes. Il exporte en SARIF, JSON ou CSV, publie vers Linear et fournit une GitHub Action en mode rapport seul par défaut. Son code est sous licence Apache-2.0, mais l'analyse exige tout de même un accès à OpenAI. La compétence de Cloudflare est sous licence MIT, indépendante du modèle et la plus populaire, avec 47 500 étoiles, tandis que Mantis de Google reproduit les bogues dans un bac à sable, et Google recommande d'isoler l'outil lui-même.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de MarkTechPost. Lire l'article original →
Cette convergence répond à un problème commun : le bruit. L'équipe de sécurité de Google indique qu'une analyse de code par IA bâclée produit des bogues hallucinés et des taux de vrais positifs inférieurs à 7 %. Un scanner qui se trompe dans 93 % des cas coûte plus de temps aux relecteurs qu'il n'en fait gagner. La parade partagée est la séparation des tâches : l'agent qui signale une faille ne la confirme jamais. Cloudflare l'énonce dans son README, où le vérificateur n'est jamais l'agent qui a trouvé le bogue, et Anthropic, OpenAI et Google décrivent une étape de validation comparable avant tout rapport. Pour les équipes de développement, cela promet moins de fausses alertes et des résultats exploitables, avec des différences concrètes de coût, de licence et de gouvernance selon l'outil choisi. Le fait que le plugin d'Anthropic ne pousse rien de lui-même, ou que le mode rapport seul soit la valeur par défaut chez OpenAI, rassure aussi sur le contrôle humain.
Le second moteur est offensif. Anthropic a expliqué avoir conçu son scanner en partie parce que des attaquants utilisaient déjà des modèles pour trouver des failles exploitables, selon The Hacker News, et Google ouvre son article sur Mantis en notant que les modèles peuvent désormais découvrir et exploiter des bogues avec peu d'aide humaine. Côté Anthropic, la trajectoire est rapide : un aperçu limité nommé Claude Code Security en février 2026, puis une bêta publique du produit hébergé pour les clients Enterprise sur Claude Opus 4.7, puis la bêta du plugin Claude Code le 22 juillet 2026, et en août le passage du scanner hébergé à Claude Mythos 5. L'entreprise le présente comme une couche parmi d'autres, aux côtés du plugin security-guidance, qui contrôle le code pendant son écriture, et de /security-review, qui effectue une passe unique sur une branche, le scan approfondi étant lancé à la demande.
Pas d'impact direct sur la France/UE