Et si un petit modèle d’intelligence artificielle, capable de tourner sur un simple ordinateur portable, pouvait fouiller des millions de lignes de code pour retrouver la faille qu’un humain mettrait des heures à localiser ? C’est exactement le pari que vient de tenir Cisco.
Imaginez un dépôt de code contenant des dizaines de milliers de fichiers, accumulés depuis des années par une équipe de développeurs qui a parfois changé plusieurs fois. Un beau matin, une alerte de sécurité tombe : une faille connue, référencée par un identifiant technique un peu barbare (on appelle ça une CWE, pour Common Weakness Enumeration), menace potentiellement votre application. Problème : personne ne sait précisément où, dans cette montagne de fichiers, se cache le code fautif. C’est exactement ce casse-tête que Cisco a décidé d’attaquer de front avec Antares, une nouvelle famille de modèles d’IA annoncée fin juillet 2026 par sa division de recherche Cisco Foundation AI.
Dans cet article, on démonte le fonctionnement d’Antares avec des mots simples, on regarde ce qu’il sait vraiment faire (et ce qu’il ne fait pas), et on vous explique pourquoi ce petit modèle fait déjà parler de lui dans le milieu de la cybersécurité.
Antares, c’est quoi exactement ?
| 💡 Définition express : Antares est une famille de modèles de langage compacts (on parle de SLM, « Small Language Models », par opposition aux immenses LLM généralistes) conçus par Cisco pour une mission unique et très ciblée : la localisation de vulnérabilités. Autrement dit, à partir de la description d’une faille connue, le modèle explore un dépôt de code comme le ferait un enquêteur et ressort avec une liste classée des fichiers les plus susceptibles de contenir le problème. |
Le nom n’a pas été choisi au hasard : Antares est une étoile supergéante rouge de la constellation du Scorpion, environ mille fois plus large que notre Soleil, et surtout une étoile double. Un clin d’œil assumé par Cisco, puisque la famille de modèles se décline elle aussi en plusieurs « tailles » qui travaillent sur le même principe.
Concrètement, trois versions existent aujourd’hui, avec 350 millions, 1 milliard et 3 milliards de paramètres. Les deux premières, Antares-350M et Antares-1B, sont déjà disponibles en poids ouvert (« open-weight ») sur la plateforme Hugging Face, sous une licence proche d’Apache 2.0. Le modèle le plus costaud, Antares-3B, celui qui obtient les meilleurs résultats, n’a pour l’instant pas été mis en accès public : Cisco distribue ses accès au cas par cas, et le rapport technique ne détaille pas encore certaines de ses statistiques d’usage réel.
Comment Antares retrouve une aiguille dans une botte de foin numérique
La grande différence entre Antares et les outils de sécurité que vous connaissez peut-être déjà (Semgrep, CodeQL, ou votre antivirus habituel) tient en un mot : l’exploration. Les outils d’analyse statique classiques appliquent des règles prédéfinies sur tout le code, un peu comme un correcteur orthographique qui applique les mêmes règles de grammaire partout, sans comprendre le contexte. Antares, lui, fonctionne davantage comme un analyste humain chevronné qui débarque sur un projet qu’il ne connaît pas.
Une boucle de raisonnement en plusieurs étapes
Le processus se déroule en plusieurs allers-retours, un peu à la manière d’une enquête policière :
- 1. Le point de départ : on donne au modèle uniquement la description d’une catégorie de vulnérabilité (une CWE) et un accès en lecture seule au dépôt de code, via une sorte de terminal.
- 2. La recherche de pistes : le modèle explore la structure du projet, repère les noms de fichiers et de fonctions qui pourraient correspondre au type de faille recherché.
- 3. La lecture des preuves : il ouvre les fichiers candidats, analyse leur contenu et évalue s’ils correspondent au schéma de la vulnérabilité.
- 4. Le rebroussement : si une piste ne mène nulle part, le modèle change de stratégie et repart dans une autre direction, exactement comme le ferait un enquêteur qui abandonne une fausse piste.
- 5. Le verdict : au terme de cette exploration, Antares livre une liste classée des fichiers les plus probablement concernés, accompagnée de la trace complète de son raisonnement pour que l’analyste humain puisse la vérifier.
Cette dernière étape a son importance : Cisco insiste sur le fait qu’Antares ne remplace jamais totalement l’humain. Le modèle indique où chercher, mais c’est toujours un analyste qui confirme si la faille est réellement exploitable, évalue sa gravité et décide du correctif à appliquer.
Sous le capot : une architecture pensée pour la sobriété
Sans entrer dans un cours d’ingénierie logicielle, voici l’essentiel à retenir sur la mécanique interne d’Antares, pour les lecteurs curieux de comprendre pourquoi ces modèles sont si légers comparés aux géants du secteur.
- Une base solide et reconnue : les trois modèles s’appuient sur les points de départ (« checkpoints ») du modèle open source IBM Granite 4.0, plutôt que de repartir de zéro.
- Une architecture optimisée : Antares utilise des techniques d’ingénierie éprouvées (attention par groupes de requêtes, activation SwiGLU, normalisation RMSNorm…) qui permettent de réduire la consommation de mémoire et de calcul sans trop sacrifier la qualité des réponses.
- Trois outils, pas plus : contrairement à un chatbot généraliste, Antares ne dialogue pas librement. Il opère dans une boucle contrainte, avec un jeu limité d’outils dédiés à l’exploration de code (lister des fichiers, lire un fichier, rechercher un motif).
Cette sobriété n’est pas qu’un détail technique : c’est tout l’argument de vente de Cisco. En se concentrant sur une seule tâche, bien plus étroite qu’un assistant généraliste, les ingénieurs ont pu obtenir des performances solides avec des modèles suffisamment légers pour tourner sur un unique GPU, voire pour certains usages sur une machine de bureau un peu musclée.
Des performances qui bousculent des modèles bien plus gros
Pour mesurer les capacités d’Antares, Cisco a construit son propre banc d’essai, baptisé VLoc Bench : 500 tâches de localisation de vulnérabilités, réparties sur 290 dépôts de code réels et 147 catégories de failles différentes. Les résultats communiqués sont impressionnants pour des modèles aussi compacts.
| Modèle | Paramètres | Disponibilité | Performance annoncée |
| Antares-350M | 350 millions | Open-weight (Hugging Face) | Dépasse plusieurs modèles open source bien plus volumineux |
| Antares-1B | 1 milliard | Open-weight (Hugging Face) | Meilleur taux de rappel (0,224) parmi les systèmes évalués |
| Antares-3B | 3 milliards | Accès restreint, au cas par cas | Niveau proche de GPT-5.5 sur VLoc Bench |
Autre argument massue : le coût. Selon Cisco, faire tourner l’intégralité des 500 tâches du benchmark avec Antares-3B a coûté un peu moins d’un dollar (environ 0,82 $) et pris environ 15 minutes sur un seul GPU haut de gamme, soit moins de 0,002 $ par tâche. Pour une organisation qui doit scanner son code à chaque nouvelle alerte de sécurité, la différence de facture avec l’appel répété à un modèle de pointe hébergé dans le cloud peut être considérable.
| ⚠️ À nuancer Un taux de rappel de 0,224, aussi bon soit-il comparé à la concurrence testée, signifie concrètement que le modèle ne retrouve qu’une fraction des vulnérabilités présentes dans le jeu de test à chaque tentative. Autrement dit, Antares oriente efficacement la recherche, mais ne garantit absolument pas de retrouver 100 % des failles. Il reste un outil de tri, pas un filet de sécurité absolu. |
Pourquoi ce petit modèle change la donne pour certaines organisations
L’argument central de Cisco tient en une phrase : la confidentialité. Beaucoup d’entreprises, notamment dans les secteurs réglementés (banque, santé, administrations), ne peuvent tout simplement pas se permettre d’envoyer leur code source à une API cloud tierce, même la plus performante du marché. En proposant des modèles capables de tourner localement, Cisco s’adresse directement à ce public.
Les profils qui devraient s’y intéresser en priorité
- Les équipes de sécurité des universités, associations ou institutions publiques, souvent limitées en moyens de calcul.
- Les entreprises soumises à des obligations strictes de confidentialité des données, qui excluent l’envoi de code vers des services cloud externes.
- Les professionnels DevSecOps qui souhaitent scanner leur code à chaque commit, sans exploser leur budget d’API.
- Les consultants et prestataires en cybersécurité qui veulent proposer des services de triage de vulnérabilités sans dépendre d’un modèle de pointe coûteux à chaque requête.
Comment l’essayer concrètement
Antares est livré avec une interface en ligne de commande (CLI) qui permet de cibler des catégories de faille précises, de prévisualiser les résultats et de générer des rapports dans plusieurs formats (JSON, Markdown ou SARIF, ce dernier étant un standard largement utilisé pour l’intégration dans les chaînes CI/CD). Cette compatibilité facilite grandement son insertion dans des flux de travail de sécurité déjà en place, sans tout reconstruire depuis zéro.
Les modèles 350M et 1B sont téléchargeables librement depuis Hugging Face, avec leur carte de modèle (« model card ») détaillant leurs conditions d’usage. Pour ceux qui veulent creuser la méthodologie complète, Cisco a également publié un rapport technique détaillé ainsi qu’un dépôt GitHub associé au projet.
Les limites qu’il faut garder en tête
| ⚠️ Ce qu’Antares ne fait pas Cisco est très transparent sur ce point : Antares ne remplace en aucun cas une chaîne d’outils de sécurité complète. Le modèle ne fait pas d’analyse de dépendances, pas de tests dynamiques, pas de modélisation des menaces et n’exécute aucun correctif automatiquement. Son rôle se limite à un tri initial et précis des pistes les plus probables, la suite du travail (confirmer l’exploitabilité, évaluer la gravité, corriger le code) reste entièrement entre les mains des équipes de sécurité. |
Autre point de vigilance : Antares est entraîné pour repérer des vulnérabilités déjà connues et cataloguées (via les CWE). Il n’est donc pas conçu, à ce stade, pour détecter une faille totalement inédite (un « zero-day ») qui ne correspondrait à aucune catégorie répertoriée.
Antares illustre une tendance de fond dans l’IA : plutôt que de courir après des modèles toujours plus gros, certains acteurs misent sur des modèles minuscules mais ultra-spécialisés, capables de tourner chez vous plutôt que dans le cloud de quelqu’un d’autre. Une approche qui pourrait bien redessiner la manière dont les petites structures abordent la cybersécurité, à l’heure où les attaquants, eux aussi, s’équipent d’IA de plus en plus sophistiquées. Reste à savoir si cette philosophie du « petit mais spécialisé » va s’imposer face aux modèles généralistes toujours plus puissants.