AWS généralise son agent de correction de failles, avec un score à relativiser

AWS a rendu Continuum généralement disponible le 24 octobre 2026, un agent de sécurité qui repère des vulnérabilités dans le code, les valide dans le dépôt, puis propose des correctifs sous forme de pull requests. L’annonce compte pour les équipes SRE et sécurité, car elle promet d’automatiser une partie du travail de chasse et de remédiation. Mais le score phare, 89% sur CyberGym-E2E, demande à être lu avec prudence.

Un agent qui cherche, vérifie et propose des correctifs

Selon AWS, Continuum analyse les dépôts, confronte les failles détectées à l’environnement AWS du client et ouvre ensuite une demande de fusion avec un correctif suggéré. Le service n’est donc pas un simple scanner statique : il tente de reproduire le problème, puis de le réparer sans casser les tests existants. C’est là que la promesse devient intéressante, et un peu moins glamour qu’un communiqué de démonstration. La sécurité logicielle adore les chiffres, mais le code, lui, préfère qu’on le corrige.

AWS présente aussi Continuum comme un outil conçu pour des scénarios concrets de production. Le fournisseur dit avoir respecté les règles du benchmark, notamment les limites d’accès à Internet, et avoir vérifié que l’agent ne se contentait pas de retrouver des correctifs déjà publics. Dans ce contexte, l’enjeu n’est pas seulement de détecter des bugs, mais de les traiter à l’échelle d’un parc logiciel réel.

Le 89% qui fait parler, et ce qu’il ne dit pas

Le chiffre mis en avant vient de CyberGym-E2E, où AWS affirme que Continuum a résolu 819 tâches sur 920, soit 89,0% de réussite de bout en bout. La société ajoute qu’un concurrent public avait auparavant atteint 65,9%. Sur ce même banc d’essai, l’agent a trouvé et reproduit un bug dans 92,5% des cas, stoppé le crash dans 89,6% des cas et maintenu les tests du projet dans 89,0% des cas. En revanche, il n’a corrigé la vulnérabilité historique visée par le benchmark que dans 37,8% des tâches.

Ce dernier point change la lecture. CyberGym-E2E ne donne ni description de faille, ni preuve de concept, ni journal de crash, ni patch existant ; l’agent dispose de 90 minutes pour trouver et réparer un problème dans l’un des 139 projets open source testés. Le score global montre donc qu’un agent peut souvent produire un correctif utile, mais pas forcément celui que le benchmark avait en tête. AWS reconnaît d’ailleurs qu’allonger le temps d’exécution fait monter le résultat à 93,7% [à vérifier selon les conditions exactes de test publiées].

Ce que cela change pour les équipes de sécurité

La mise en disponibilité générale de Continuum arrive alors que les failles trouvent plus vite leurs réparateurs… et parfois plus vite leurs découvreurs aussi, puisque l’IA accélère la recherche de vulnérabilités. Pour les responsables sécurité, l’intérêt est clair : réduire le délai entre détection, reproduction et proposition de correctif. Pour autant, l’automatisation ne règle pas tout. Il reste à savoir comment l’outil se comporte quand l’équipe lui demande de corriger une faille précise, dans un dépôt complexe et sous contraintes métier.

Le vrai sujet n’est donc pas le 89% en soi, mais le passage d’un outil qui alerte à un outil qui propose une remédiation exploitable. Si AWS tient cette promesse sur des environnements variés, le travail des équipes pourrait évoluer vers plus de validation et moins de triage manuel. Sinon, Continuum restera un bon vendeur de statistiques. Et un peu de modestie ne fait jamais de mal à un benchmark.