Le chiffre fait mal : le nombre moyen de vulnérabilités open source par base de code a plus que doublé en une seule année, passant à 581 en moyenne. C’est le constat principal du rapport OSSRA 2026 (Open Source Security and Risk Analysis) de Black Duck, publié le 25 février et basé sur l’analyse de 947 bases de code commerciales dans 17 secteurs. On l’a lu pour vous – il est téléchargeable gratuitement sur inscription (en anglais).
La cause pointée du doigt : l’adoption massive des assistants de codage IA. Environ 85 % des organisations utilisent désormais des outils comme GitHub Copilot, Cursor ou Windsurf. Résultat : le nombre moyen de fichiers par base de code a bondi de 74 % et le nombre de composants open source de 30 % en un an. Le code s’accumule plus vite qu’on ne peut le sécuriser.
Des chiffres qui donnent le vertige
87 % des bases de code auditées contiennent au moins une vulnérabilité. 78 % en contiennent à haut risque, dont 44 % avec des failles critiques pouvant permettre l’exécution de code à distance ou des violations de données. Et 65 % des organisations ont subi une attaque de la chaîne d’approvisionnement logicielle au cours de l’année écoulée – les deux tiers via des packages malveillants exploitant le typosquatting et l’ingénierie sociale.
Le rapport pointe aussi un problème de « composants zombies » particulièrement préoccupant : 93 % des bases de code contiennent des composants sans activité de développement depuis deux ans, 92 % en contiennent qui accusent quatre ans de retard ou plus, et seulement 7 % des composants utilisés sont dans leur dernière version. Des bombes à retardement silencieuses.
L’IA génère aussi des conflits de licence
Au-delà de la sécurité, l’OSSRA 2026 enregistre la plus forte hausse annuelle de conflits de licence de son histoire : 68 % des bases de code auditées en contiennent (contre 56 % l’année précédente). Une base de code contenait à elle seule 2 675 conflits distincts. Black Duck parle de « blanchiment de licence » : les assistants IA génèrent du code dérivé de sources sous licence copyleft (comme GPL) sans conserver les informations de licence d’origine. Une bombe juridique silencieuse pour beaucoup d’entreprises.
Le fossé de gouvernance
76 % des entreprises qui interdisent explicitement les outils de codage IA reconnaissent que leurs développeurs les utilisent quand même. Et si 76 % des organisations vérifient les risques de sécurité du code généré par IA, seuls 24 % réalisent des évaluations complètes couvrant propriété intellectuelle, licences, sécurité et qualité.
Le contexte réglementaire européen va forcer la main : la loi sur la cyber-résilience (EU Cyber Resilience Act) commencera à imposer des obligations de signalement des vulnérabilités en septembre 2026.
Le blogpost de Black Duck qui résume le rapport est également disponible en ligne.
