Sonatype publie, sous la plume de son technical writer Aaron Linskens, la synthèse d'une étude longitudinale de ses laboratoires de recherche portant sur quarante-neuf mois, de juin 2022 à juin 2026. La méthode est annoncée d'emblée : une cohorte fixe d'applications suivies en continu, pour que les variations mesurées reflètent l'évolution du parc logiciel et non celle du portefeuille de clients. Le résultat central est présenté comme une contradiction : les organisations corrigent plus vite qu'avant, et leurs applications accumulent pourtant davantage de risque.
Quatre mesures cadrent le constat. Les vulnérabilités classées Critical et High par application ont été multipliées par 4,31, passant d'une moyenne de 14,14 en juin 2022 à 54,3 en 2026 ; l'effet ne tient pas au seul héritage, puisque l'exclusion des applications légataires récemment prises en gestion laisse un facteur 3,91. Les versions de composants nouvellement affectées progressent à quarante-six fois le rythme d'avant l'IA. L'âge médian des vulnérabilités a reculé de 59 % depuis son pic de janvier 2024. Enfin, la création mensuelle moyenne d'applications a été multipliée par 4,84, et avec elle les décisions de dépendance.
La progression de la remédiation est réelle : plus de la moitié des violations résolues le sont en moins d'une journée, et l'âge médian des Critical/High non résolues tombe de 228 à 126 jours, puis à 103 jours en mai 2026. Sur les cohortes disposant d'au moins douze mois pour agir, 52,6 % sont résolues, 44,3 % restent ouvertes et 3,1 % font l'objet d'une dérogation.
Le déplacement proposé porte sur l'amont. Les chercheurs ont examiné les dépendances vulnérables entrées dans les applications de la période et posé une question simple : au moment de la sélection, une version sensiblement moins risquée existait-elle déjà ? La réponse est oui dans 62,2 % des cas sur Maven, 46,9 % sur npm et 34,3 % sur PyPI. Le texte refuse d'y lire une faute de développeur : certaines vulnérabilités sont inévitables, d'autres relèvent d'un défaut d'information au moment du choix — un point qui devient sensible quand un assistant IA peut introduire un composant en quelques secondes sans disposer d'une intelligence à jour sur son risque et sur la politique de l'organisation.
Le billet reconnaît que l'IA n'est pas la cause unique de l'expansion du paysage de vulnérabilités et cite quatre facteurs concurrents. Il se conclut sur Sonatype Guide, qui porte cette intelligence au point de sélection, et renvoie au rapport complet, The AI-Era Software Assembly Line, pour les données sous-jacentes.