C'est quoi AVDH de Mandiant ?

AVDH (Agentic Vulnerability Discovery Harness) est un outil interne de Mandiant, dévoilé le 19 août 2026. Il utilise une chaîne d'agents IA pour analyser du code source et trouver des vulnérabilités. En 10 mois d'usage, il a scanné des dizaines de millions de lignes de code et produit 12 CVE assignées, dont CVE-2026-13242 et CVE-2026-55803.

Comment fonctionnent les agents IA d'AVDH ?

AVDH enchaîne 5 étapes : modélisation des menaces (un agent cartographie le code), découverte des points d'entrée (des agents trouvent où le code reçoit des données), enrichissement du contexte, génération d'hypothèses (des agents cherchent des failles d'accès ou de flux de données), validation (plusieurs agents se confrontent, puis un humain reproduit l'exploit).

Les agents IA d'AVDH peuvent-ils se tromper ?

Oui. Mandiant a construit AVDH avec des étapes de validation croisée : plusieurs agents votent sur chaque hypothèse (confirmé, réfuté, rejeté), puis un consultant humain reproduit l'exploit à la main. Tout finding qui ne passe pas ce test est écarté. Les faux positifs restent le problème principal des scanners de code automatiques.

AVDH est-il disponible pour le grand public ?

Non. AVDH est un outil interne de Mandiant utilisé pendant ses missions de réponse à incident, tests d'intrusion et audits de code. Mandiant a publié la méthodologie pour que d'autres équipes sécurité puissent construire des systèmes similaires, en utilisant le Google Agent Development Kit (ADK), lui-même open source.

Pourquoi c'est important si tu apprends l'IA ?

AVDH montre concrètement ce que veut dire 'multi-agent' : pas un modèle plus intelligent, mais plusieurs agents spécialisés qui se passent le travail, se challengent mutuellement, et laissent un humain valider. C'est un exemple réel d'orchestration d'agents avec garde-fous, le genre de concept que saisir.ai enseigne dans ses modules sur les agents et le human in the loop.

Actualité · Agents IA

Des agents IA ont trouvé 100 failles de sécurité critiques en 2 jours : comment Mandiant a automatisé la chasse aux vulnérabilités

20 août 2026 · 5 min de lecture

Illustration aquarelle d'un petit robot astronaute violet détective sécurité examinant un code avec une loupe, entouré de cadenas ouverts et fermés, d'un bouclier coché et d'un pipeline d'agents connectés, symbolisant la chasse aux vulnérabilités par agents IA

Des agents IA ont trouvé plus de 100 vulnérabilités critiques en 48 heures dans du code source volé. Chaque faille a été vérifiée par un humain avant de compter. C'est arrivé chez Mandiant, la division cybersécurité de Google, qui a dévoilé son outil AVDH le 19 août 2026 après 10 mois d'usage interne.

Ce qu'est AVDH

AVDH (Agentic Vulnerability Discovery Harness) est un outil interne de Mandiant qui utilise une chaîne d'agents IA pour analyser du code source et trouver des failles de sécurité. Il a été construit sur le Google Agent Development Kit (ADK), un framework open source pour orchestrer des agents.

En 10 mois, AVDH a scanné des dizaines de millions de lignes de code, généré des dizaines de milliers de findings, et produit 12 CVE assignées (identifiants publics de vulnérabilités), dont CVE-2026-13242 et CVE-2026-55803. Une douzaine d'autres sont en cours de divulgation responsable. Les failles ont été trouvées dans des extensions web et des projets open source largement utilisés.

L'épisode qui a fait parler : lors d'une mission de réponse à incident impliquant des dépôts de code volés, AVDH a découvert plus de 100 vulnérabilités critiques vérifiées en deux jours. Un travail qui aurait pris des semaines à une équipe humaine.

Comment ça marche : une chaîne d'agents spécialisés

AVDH n'est pas un seul modèle qui lit du code. C'est une chaîne d'étapes, chacune gérée par des agents différents, qui se passent le relais. C'est construit sur le Google Agent Development Kit, le même framework qu'on peut utiliser pour construire ses propres agents.

Les 5 étapes du pipeline :

Modélisation des menaces : un agent cartographie le code. Il identifie le type d'application, repère les répertoires à ignorer (tests, configs), et envoie des sous-agents spécialisés (authentification, routage, autorisation). Un humain valide le modèle de menaces avant de continuer.
Découverte des points d'entrée : des agents légers (Gemini Flash Lite) scannent chaque fichier pour trouver où l'application reçoit des données externes : routes HTTP, listeners inter-processus, et autres vecteurs d'attaque.
Enrichissement du contexte : pour chaque point d'entrée, un agent récupère le code dispersé pertinents : vérifications de permissions, sanitizers, conditions de routage. Les vulnérabilités sont souvent enfouies à plusieurs appels de fonction de l'entrée.
Génération d'hypothèses : deux types d'agents travaillent en parallèle. L'un cherche des problèmes de contrôle d'accès (autorisation manquante, escalade de privilèges, CSRF). L'autre suit le flux de données pour repérer les injections SQL, XSS, et path traversals.
Validation : plusieurs agents, configurés avec une "température" élevée pour élargir leur raisonnement, se confrontent sur chaque hypothèse. Un agent de synthèse classe chaque finding : confirmé, réfuté, ou rejeté.

À la fin, chaque finding confirmé passe entre les mains d'un consultant Mandiant. Il reproduit l'exploit, fait tourner un proof-of-concept, et vérifie qu'aucun contrôle de sécurité oublié ne bloque l'attaque. Si ça ne tient pas, le finding est écarté.

Le problème que AVDH résout : le bruit des scanners

Les scanners de code automatiques existent depuis longtemps. Leur réputation : produire beaucoup de bruit. Des dizaines de milliers d'alertes qui ont l'air plausible sur le papier mais qui ne tiennent pas quand on les vérifie.

Mandiant a construit AVDH pour attaquer ce problème. Au lieu de matcher des patterns de code connus (l'approche classique), les agents raisonnent sur le code. Ils comprennent le contexte, suivent les appels de fonction, et se challengent entre eux avant de remonter un finding.

Pour mesurer ses performances, Mandiant a construit des codebases synthétiques avec des vulnérabilités connues, plutôt que d'utiliser des datasets publics. La raison : les modèles ont pu voir ces datasets pendant leur entraînement, et pourraient se souvenir des réponses au lieu de raisonner.

Le rôle de l'humain : non négociable

Mandiant le dit explicitement dans son post : "We encourage network defenders considering implementing similar vulnerability discovery harnesses to manually validate findings."

Chaque étape du pipeline a une porte de validation humaine. Le consultant valide le modèle de menaces avant le scan. Il reproduit chaque exploit à la main. Les règles que les agents suivent sont écrites par les consultants de Mandiant, organisées par domaine logiciel, langage, framework et type de vulnérabilité.

L'argument de Mandiant : les scanners classiques ne suivent pas la cadence de l'IA adversaire, et la revue manuelle seule ne suffit plus. AVDH n'est pas un remplacement de l'humain, c'est un filtre qui lui permet de se concentrer sur les findings qui comptent.

Un exemple chez Maisons&Mobilia

Pierre, responsable sécurité chez Maisons&Mobilia (M&M, enseigne de meubles fictive), apprend qu'un dépôt Git contenant du code de l'application e-commerce a fui. Son équipe de 3 personnes doit auditer 200 000 lignes de code pour identifier les failles exploitables avant que les attaquants ne les trouvent.

Manuellement, ça prend deux semaines. Pierre met en place un pipeline inspiré d'AVDH avec des agents IA. Les agents cartographient le code, identifient 150 points d'entrée, génèrent 300 hypothèses. Après validation croisée, 40 findings sont confirmés. Pierre et son équipe reproduisent les 40 exploits à la main : 25 passent, 15 sont des faux positifs que les agents ont survalidés.

Les 25 vulnérabilités confirmées sont patchées en 48 heures. L'équipe de Pierre a passé son temps sur la validation et la correction, pas sur la chasse. C'est le gain : l'IA fait le travail de tri, l'humain fait le travail de jugement.

La limite : les 15 faux positifs ont quand même consommé du temps de validation. Et sur les vulnérabilités les plus subtiles (logique métier, conditions de course), les agents sont moins performants. Pierre garde une revue manuelle sur les modules critiques comme les paiissements.

Ce que ça change si tu apprends l'IA

AVDH est un exemple concret de ce que veut dire "multi-agent" dans la vraie vie. Pas un modèle plus intelligent. Un système où des agents spécialisés se passent le travail, se confrontent, et laissent un humain décider.

Les concepts que AVDH illustre sont exactement ceux que tu apprends dans saisir.ai : le tool use (les agents appellent des outils externes), l'orchestration (une chaîne d'étapes avec des agents différents), le human in the loop (un humain valide à chaque porte), et le moindre privilège (les agents légers font le travail de masse, les modèles lourds font le raisonnement).

Si tu veux comprendre comment construire un pipeline d'agents, la logique d'AVDH est la même que celle qu'on enseigne : découper une tâche en étapes, assigner chaque étape au bon agent, prévoir des garde-fous, et garder un humain aux points de décision.

Aller plus loin

Pour comprendre comment un agent IA utilise des outils et enchaîne des étapes, notre article sur comment fonctionne un agent IA pose les bases. Pour voir les garde-fous concrets à mettre en place quand un agent agit dans tes systèmes, le guide sur les garde-fous des agents IA détaille le moindre privilège et le human in the loop. Et pour t'entraîner à ces notions en 5 minutes par jour, l'app saisir.ai propose des modules interactifs sur les agents, le tool use et la sécurité, en français, sans coder.

Sources

Questions fréquentes

C'est quoi AVDH de Mandiant ?: AVDH (Agentic Vulnerability Discovery Harness) est un outil interne de Mandiant, dévoilé le 19 août 2026. Il utilise une chaîne d'agents IA pour analyser du code source et trouver des vulnérabilités. En 10 mois d'usage, il a scanné des dizaines de millions de lignes de code et produit 12 CVE assignées, dont CVE-2026-13242 et CVE-2026-55803.
Comment fonctionnent les agents IA d'AVDH ?: AVDH enchaîne 5 étapes : modélisation des menaces (un agent cartographie le code), découverte des points d'entrée (des agents trouvent où le code reçoit des données), enrichissement du contexte, génération d'hypothèses (des agents cherchent des failles d'accès ou de flux de données), validation (plusieurs agents se confrontent, puis un humain reproduit l'exploit).
Les agents IA d'AVDH peuvent-ils se tromper ?: Oui. Mandiant a construit AVDH avec des étapes de validation croisée : plusieurs agents votent sur chaque hypothèse (confirmé, réfuté, rejeté), puis un consultant humain reproduit l'exploit à la main. Tout finding qui ne passe pas ce test est écarté. Les faux positifs restent le problème principal des scanners de code automatiques.
AVDH est-il disponible pour le grand public ?: Non. AVDH est un outil interne de Mandiant utilisé pendant ses missions de réponse à incident, tests d'intrusion et audits de code. Mandiant a publié la méthodologie pour que d'autres équipes sécurité puissent construire des systèmes similaires, en utilisant le Google Agent Development Kit (ADK), lui-même open source.
Pourquoi c'est important si tu apprends l'IA ?: AVDH montre concrètement ce que veut dire 'multi-agent' : pas un modèle plus intelligent, mais plusieurs agents spécialisés qui se passent le travail, se challengent mutuellement, et laissent un humain valider. C'est un exemple réel d'orchestration d'agents avec garde-fous, le genre de concept que saisir.ai enseigne dans ses modules sur les agents et le human in the loop.