La cybersécurité est depuis longtemps le terrain de jeu préféré des promesses non tenues. Google vient de remettre une mise sur la table à l'occasion de Google I/O 2026 : Google AI Threat Defense, une plateforme intégrée à Google Cloud, autonome, et censée fonctionner en permanence sans attendre qu'un analyste humain lève la main.
Le nom est ambitieux, le positionnement l'est encore plus. Il ne s'agit pas d'un outil de reporting ou d'un tableau de bord qui agrège des alertes : Google revendique une architecture capable de détecter des vulnérabilités, de les trier et d'enclencher des corrections, le tout de manière automatisée. C'est Gemini 3.5 Flash qui propulse la détection en temps réel et le triaging des menaces, tandis que les données de l'observatoire de menaces de Google alimentent le raisonnement du modèle avec un contexte à grande échelle.
Mandiant comme colonne vertébrale renseignement
Ce qui distingue cette offre d'un simple wrapper d'IA autour d'un SIEM classique, c'est la profondeur du renseignement sur les menaces. Google a intégré l'expertise de Mandiant, la société de threat intelligence rachetée en 2022 pour 5,4 milliards de dollars, directement dans la boucle de décision de la plateforme. Les analystes Mandiant ont passé des années à cartographier les tactiques, techniques et procédures des groupes APT les plus actifs au monde. Ce corpus, combiné à la télémétrie massive que Google collecte via ses propres infrastructures, donne à Gemini 3.5 un substrat nettement plus riche que ce que peut offrir un éditeur de sécurité classique.
L'idée est cohérente avec la trajectoire de Google depuis l'acquisition : Mandiant avait déjà commencé à automatiser une partie de son travail d'analyse, mais la greffe avec des modèles de langage de cette génération ouvre une autre dimension. Un analyste humain peut traiter quelques dizaines d'incidents par jour ; un modèle entraîné sur les mêmes patterns peut en ingérer des milliers simultanément.
CodeMender, l'agent qui corrige le code
La détection ne suffit pas si elle s'arrête à une alerte dans un dashboard. Google l'a visiblement compris en intégrant CodeMender, un agent développé par DeepMind, directement à Google Cloud Agent Platform. Son rôle : corriger automatiquement les failles identifiées dans le code, sans intervention humaine initiale.
C'est là que l'annonce devient concrète pour les équipes de développement. Jusqu'ici, le cycle typique était le suivant : scanner détecte une vulnérabilité, un ticket est ouvert, un développeur l'examine des jours plus tard, un patch est soumis, puis reviewé. CodeMender court-circuite une partie de cette chaîne en proposant directement un correctif, disponible pour les clients Cloud via Agent Platform. Le développeur reste dans la boucle pour valider, mais le temps entre détection et correction peut théoriquement passer de semaines à heures.
Google n'a pas précisé les taux de réussite de CodeMender sur des bases de code réelles, ni les langages de programmation couverts en priorité. C'est le genre de détail qui compte énormément en production.
Une intégration native qui change le rapport de force
L'argument de distribution est peut-être le plus redoutable. Google AI Threat Defense n'est pas un produit tiers à connecter via API : il est intégré nativement dans Google Cloud Agent Platform. Pour les entreprises déjà ancrées dans l'écosystème Google Cloud, l'activation relève davantage d'un choix de configuration que d'un projet d'intégration à six mois.
C'est exactement la mécanique qu'ont perfectionnée Microsoft avec Copilot for Security dans Azure, ou Palo Alto Networks avec sa plateforme Cortex. La cybersécurité devient une couche de l'infrastructure plutôt qu'un silo séparé. Pour les équipes de sécurité, cela simplifie le contexte : les événements de sécurité se lisent dans le même environnement que les logs applicatifs, les pipelines de données, les environnements de développement.
Reste la question de la souveraineté et de la confiance. Confier à une plateforme pilotée par des modèles d'IA le soin de prendre des décisions défensives autonomes soulève des questions légitimes : que se passe-t-il quand le modèle se trompe ? Qui est responsable d'un faux positif qui bloque un système critique ? Google n'a pas encore fourni de réponses publiques détaillées sur ces garde-fous, et les équipes sécurité des grandes organisations voudront en savoir plus avant d'accorder un niveau d'autonomie significatif à la plateforme.
Ce que Google construit ici est une infrastructure de défense cyber qui fonctionne à l'échelle du cloud, alimentée par des modèles qui s'améliorent en continu. Si l'exécution suit l'ambition, le secteur de la cybersécurité d'entreprise pourrait connaître une recomposition assez brutale dans les deux ou trois prochaines années.
