- Étude d’octobre 2026 : Claude Opus 5.5 d’Anthropic et GPT-6-Sol d’OpenAI se partagent la première place avec un taux de réussite record de 73 %, dépassant le précédent record de 68 %
Veracode , leader mondial de la gestion des risques liés aux applications, a annoncé aujourd’hui une progression de 56 % à 62 % du taux global de réussite aux tests de sécurité du code généré par l’IA, accompagnée d’une baisse de la proportion de code présentant des vulnérabilités, passée de 44 % à 38 %. Il s’agit de l’amélioration la plus significative enregistrée depuis le lancement, en juillet 2025, de la série de rapports sur la sécurité du code généré par l’IA . Claude Opus 5.5 d’Anthropic et GPT-6-Sol d’OpenAI se partagent la tête du classement avec un taux de réussite de 73 %, dépassant le précédent record de 68 % établi par GPT-5.5 en juillet 2026.
« Nous analysons depuis plus d’un an le code généré par différents grands modèles de langage (LLM). Jusqu’à présent, nous n’avions constaté aucune amélioration notable de la sécurité du code généré par l’IA, alors même que son bon fonctionnement était presque systématiquement assuré », a déclaré Chris Wysopal, cofondateur et responsable de la sensibilisation aux enjeux de cybersécurité chez Veracode. « C’est la première fois depuis le lancement de notre étude que nous pouvons faire état d’une progression significative en matière de sécurité. Dix modèles dépassent désormais le seuil de 60 %, contre quatre lors de notre précédent rapport, et la moyenne globale a progressé de six points de pourcentage. Alors qu’environ la moitié du code est désormais générée par l’IA, ces résultats sont particulièrement encourageants », a-t-il ajouté.
Claude Opus 5.5 et GPT-6-Sol en tête du classement
Veracode a testé 18 modèles sur quatre langages de programmation (Python, C#, JavaScript et Java) et quatre catégories de vulnérabilités répertoriées dans la nomenclature Common Weakness Enumeration (CWE-89, CWE-327, CWE-80 et CWE-117). Claude Opus 5.5 et GPT-6-Sol arrivent ex æquo en tête du classement avec un taux de réussite de 73 %, détrônant ainsi GPT-5.5, qui occupait la première place lors de l’évaluation de l’été 2026 avec 68 %. Anthropic et OpenAI comptent chacun plusieurs modèles parmi les sept premiers du classement. En juillet, six des onze modèles affichaient un taux de réussite compris entre 50 et 53 % ; aujourd’hui, seuls deux se situent encore dans cette fourchette, tandis que dix dépassent les 60 %. En revanche, les performances des modèles les moins bien classés n’ont pas progressé, leurs taux de réussite restant compris entre 44 et 50 %. Le nombre de vulnérabilités demeure donc tributaire du choix du modèle.
|
Classement |
Modèle |
Taux de réussite aux tests de sécurité |
Conformité syntaxique |
|
1 |
Claude Opus 5.5 (Anthropic) |
73 % |
100 % |
|
1 |
GPT-6-Sol (OpenAI) |
73 % |
100 % |
|
3 |
Claude Sonnet 5.5 (Anthropic) |
72 % |
99 % |
|
4 |
GPT-5.6-Sol (OpenAI) |
70 % |
100 % |
|
5 |
Grok 4.7 (xAI) |
69 % |
100 % |
|
6 |
Qwen 3.8-Max-0902 (Alibaba) |
68 % |
100 % |
|
7 |
Claude Sonnet 5 (Anthropic) |
66 % |
100 % |
|
7 |
GPT-6-Luna (OpenAI) |
66 % |
100 % |
|
9 |
GLM 5.3 (Z-AI) |
64 % |
100 % |
|
10 |
Gemini 3.8 Flash (Google) |
62 % |
100 % |
|
11 |
Gemini 3.7 Flash (Google) |
60 % |
100 % |
|
12 |
DeepSeek V4 Pro (DeepSeek) |
59 % |
100 % |
|
13 |
Kimi K3 (Moonshot AI) |
58 % |
100 % |
|
13 |
Grok 4.6 (xAI) |
58 % |
100 % |
|
15 |
MiniMax M3 |
56 % |
100 % |
|
16 |
Qwen 3.7-Max (Alibaba) |
50 % |
100 % |
|
16 |
Palmyra X5 (Writer) |
50 % |
91 % |
|
17 |
Nova 2 Lite (Amazon) |
44 % |
100 % |
|
Fig. 1 : Rapport Veracode sur la sécurité du code, édition d’octobre 2026 – Classement des grands modèles de langage (LLM) selon leur taux de réussite aux tests de sécurité |
|||
Cette amélioration doit toutefois être nuancée : elle repose essentiellement sur les progrès réalisés en matière de protection contre les attaques XSS
La catégorie de vulnérabilités CWE-80, correspondant aux attaques par scripts intersites (cross-site scripting, XSS), a été le principal moteur de cette amélioration globale. Bien qu’elle demeure l’une des catégories affichant les taux de réussite les plus faibles, elle a progressé pour atteindre 18 %, après une hausse modeste lors de l’analyse de juillet. Il s’agit de la progression la plus marquée de l’ensemble des données étudiées. Parallèlement, le taux de réussite est resté stable à 87 % pour les vulnérabilités cryptographiques (CWE-327), à 84 % pour les injections SQL (CWE-89) et à 13 % pour les injections dans les journaux (CWE-117). Cette différence s’explique par des facteurs structurels : les vulnérabilités XSS sont les plus faciles à corriger grâce à la reconnaissance de schémas récurrents, un mécanisme qui correspond précisément à la manière dont les grands modèles de langage (LLM) progressent. En revanche, la prévention des injections dans les journaux nécessite une analyse des flux de données entre plusieurs fonctions, une tâche pour laquelle les LLM continuent de montrer leurs limites.
Des progrès qui ont un coût
Les modèles les plus performants s’accompagnent de coûts de calcul élevés. Les performances sont également corrélées à la taille des modèles : les modèles de grande taille affichent un taux de réussite moyen de 55 %, contre 51 % pour les modèles de petite taille, ce qui va à l’encontre des conclusions de l’année dernière, selon lesquelles la taille n’avait « pratiquement aucune incidence » sur la sécurité.
« Les modèles qui génèrent le code le plus sécurisé sont aussi ceux dont l’utilisation à grande échelle est la plus coûteuse. Pourtant, ils échouent encore à plus d’un test de sécurité sur quatre », a déclaré M. Wysopal. « La solution ne consiste certainement pas à choisir le modèle le plus cher en espérant obtenir les meilleurs résultats. Un modèle de milieu de gamme affichant un taux de réussite de 60 %, associé aux outils d’analyse de Veracode, offre une meilleure précision, un meilleur rapport coût-efficacité et une plus grande capacité de déploiement à grande échelle qu’un modèle de pointe atteignant 73 %, mais utilisé sans aucune vérification. Pour obtenir le niveau de sécurité le plus élevé possible, les entreprises doivent associer un modèle de génération de code à des tests de sécurité et à des mesures correctives », a-t-il ajouté.
Les écarts se creusent entre les modèles
- Les modèles généralistes accentuent leur avance sur les modèles spécialisés dans la génération de code. Les modèles généralistes affichent un taux de réussite moyen de 54 % aux tests de sécurité, contre 51 % pour les modèles spécialisés dans la génération de code, soit un écart passé d’un à trois points de pourcentage depuis juillet.
- Près de quatre tâches de génération de code par l’IA sur dix produisent encore du code présentant des vulnérabilités. La proportion de code présentant des vulnérabilités est passée de 44 % à 38 %. Cette baisse est significative, mais elle signifie néanmoins qu’environ quatre tâches de génération de code sur dix produisent encore du code vulnérable en l’absence de consignes spécifiques en matière de sécurité.
- Java continue de stagner. Java reste de loin le langage le moins performant, avec un taux de réussite de 31 %, en très légère progression par rapport aux 30 % enregistrés en juillet. L’écart avec les trois autres langages (64 % pour Python, 60 % pour C# et 57 % pour JavaScript) demeure compris entre 26 et 33 points de pourcentage.
|
Langage de programmation |
juillet 2026 |
octobre 2026 |
|
Python |
~ 62 % |
64,22 % |
|
C# |
~ 58 % |
59,55 % |
|
JavaScript |
~ 57 % |
56,99 % |
|
Java |
30 % |
31 % |
|
Fig. 2 : Rapport Veracode sur la sécurité du code, édition d’octobre 2026 : taux de réussite aux tests de sécurité par langage de programmation |
||
Le bilan
Cette amélioration est réelle, mais elle ne résout qu’une petite partie d’un problème bien plus vaste. Selon le rapport State of Software Security 2026 de Veracode , 82 % des organisations présentent désormais une « dette de sécurité », c’est-à-dire des vulnérabilités non corrigées depuis plus d’un an. Par ailleurs, 66 % des vulnérabilités les plus dangereuses et persistantes proviennent de code tiers, et leur correction nécessite en moyenne 358 jours.
« Les grands modèles de langage de dernière génération produisent davantage de code à la fois fonctionnel et sécurisé, mais cela ne signifie pas pour autant que nous pouvons faire aveuglément confiance au code généré par l’IA », a conclu M. Wysopal. « La stratégie la plus efficace ne consiste pas à rechercher le modèle le plus coûteux pour obtenir des gains marginaux, mais à associer la génération de code par l’IA à des contrôles de sécurité continus et indépendants, capables de détecter les vulnérabilités qui échappent aux modèles. Cette approche permet de couvrir l’ensemble des risques, du code développé en interne aux dépendances tierces », a-t-il ajouté.
À propos du rapport sur la sécurité du code généré par l’IA
Cette mise à jour repose sur une analyse approfondie menée en octobre 2026. Pour accéder à l’ensemble des données et en savoir plus sur l’évolution des tendances en matière de sécurité, consultez le rapport d’octobre 2026 sur la sécurité du code généré par l’IA, disponible sur le site de Veracode .
À propos de Veracode
Veracode est un leader mondial de la gestion des risques liés aux applications à l’ère de l’intelligence artificielle. Forte de l’analyse de plusieurs milliers de milliards de lignes de code et d’un moteur propriétaire de correction assistée par l’IA, la plateforme Veracode accompagne des organisations du monde entier dans le développement et la maintenance de logiciels sécurisés, de l’écriture du code jusqu’au déploiement dans le cloud. Chaque jour, des milliers d’équipes de développement et de sécurité parmi les plus grandes au monde s’appuient en permanence sur Veracode pour identifier avec précision les risques d’exploitation des vulnérabilités et disposer d’informations concrètes pour y remédier, corriger les failles de sécurité en temps réel et réduire leur dette de sécurité à grande échelle. Plusieurs fois primée, Veracode propose une gamme complète de solutions permettant de sécuriser l’ensemble du cycle de vie du développement logiciel, notamment Veracode Fix, l’analyse statique, l’analyse dynamique, l’analyse de la composition logicielle, la sécurité des conteneurs, la gestion de la posture de sécurité des applications, la détection des paquets malveillants, le pare-feu de paquets et les tests d’intrusion.
Pour en savoir plus, rendez-vous sur www.veracode.com , le blog Veracode , LinkedIn et X .
Copyright © 2026 Veracode, Inc. Tous droits réservés. Veracode est une marque déposée de Veracode, Inc. aux États-Unis et peut être déposée dans certaines autres juridictions. Tous les autres noms de produits, marques ou logos appartiennent à leurs propriétaires respectifs. Toutes les autres marques commerciales citées dans le présent document sont la propriété de leurs propriétaires respectifs.
Le texte du communiqué issu d’une traduction ne doit d’aucune manière être considéré comme officiel. La seule version du communiqué qui fasse foi est celle du communiqué dans sa langue d’origine. La traduction devra toujours être confrontée au texte source, qui fera jurisprudence.
Consultez la version source sur businesswire.com : https://www.businesswire.com/news/home/20261029046808/fr/
Contact presse :
Katy Gwilliam
Responsable de la communication internationale chez Veracode
kgwilliam@veracode.com
Copyright Business Wire 2026
© Business Wire, Inc.
Aviso legal :
Este comunicado de imprensa não é um documento produzido pela AFP. A AFP não será responsável por este conteúdo. Para mais informações, por favor entre em contato com as pessoas ou entidades mencionadas no comunicado.