MDASH arrive dans Azure Government, encore réservé à quelques clients
Le 8 septembre 2026, le compte rendu de MeriTalk a rapporté le déploiement de Codename MDASH dans Azure Government et l’ouverture d’une préversion à certains clients publics américains et partenaires autorisés. Cette arrivée ne correspond donc pas à une disponibilité générale pour tous les abonnés du cloud gouvernemental de Microsoft.
Les organismes admis peuvent soumettre du code source à un système multimodèle qui recherche des vulnérabilités, confronte les conclusions de plusieurs agents et tente d’en démontrer l’exploitabilité. Les performances déjà publiées proviennent toutefois de benchmarks et d’essais contrôlés, pas d’évaluations réalisées sur les charges de travail des agences participant à cette nouvelle préversion.
Une préversion limitée dans Azure Government
Dans son annonce consacrée à Azure Government, Microsoft indique que MDASH y est proposé comme une fonctionnalité de Microsoft Defender, avec des modèles disponibles dans Microsoft Foundry sous autorisation FedRAMP High, et associe à son système un score CyberGym de 96,55. L’architecture décrite doit maintenir le code source d’une agence et les informations tirées de son analyse à l’intérieur de la frontière isolée prévue pour ces données.
Le périmètre commercial et opérationnel reste étroit. L’annonce vise des clients sélectionnés du secteur public américain et des partenaires autorisés, sans fournir la liste des participants, les critères détaillés d’admission, un tarif propre au déploiement gouvernemental ou une date de disponibilité générale.
Des clients relevant de la sécurité nationale et d’administrations civiles explorent déjà le service. Pour savoir si MDASH peut être activé dans un tenant donné, les organisations concernées doivent passer par leur équipe de compte Microsoft : aucune procédure d’inscription ouverte à l’ensemble des utilisateurs d’Azure Government n’est présentée.
Des agents distincts pour détecter, discuter et prouver les failles
MDASH ne repose pas sur un modèle unique chargé de produire directement une liste d’alertes. Son orchestrateur distribue le même code à des agents spécialisés dans différentes catégories de failles, puis transmet leurs résultats à une autre cohorte chargée d’examiner les arguments favorables et défavorables à l’existence, à l’accessibilité et à l’exploitabilité de chaque défaut présumé.
La chaîne comprend plusieurs étapes. Elle prépare le dépôt et construit des index adaptés aux langages, cartographie la surface d’attaque, lance les recherches spécialisées, valide les défauts candidats et regroupe les signalements équivalents. Lorsque la catégorie de faille s’y prête, une étape supplémentaire construit puis exécute une entrée destinée à déclencher le comportement vulnérable.
Cette validation sépare MDASH d’un scanner qui s’arrêterait à une correspondance de motif. Le résultat visé est un ensemble dédupliqué et hiérarchisé de constats accompagnés d’éléments sur leur portée, voire d’une preuve de concept. Un constat conservé après le débat entre agents demeure néanmoins un résultat d’analyse : il doit encore être replacé dans la configuration et les contrôles propres au système examiné.
Le score de 88,45 % mesure une tâche contrôlée
La présentation technique de mai 2026 décrit un orchestrateur de plus de 100 agents spécialisés et lui attribue un taux de réussite de 88,45 % sur 1 507 tâches CyberGym issues de 188 projets OSS-Fuzz. Le test utilisait la configuration de niveau 1 : le système recevait le code vulnérable antérieur au correctif ainsi qu’une description générale de la faille, puis devait produire une preuve de concept fonctionnelle.
Ce protocole évalue la reproduction guidée de vulnérabilités historiques dans un environnement préparé. Il ne mesure pas directement la découverte de failles inconnues dans le code d’une administration, le taux de faux positifs d’un audit en production, le temps nécessaire pour analyser un dépôt complet ou le coût d’un scan.
L’analyse des échecs publiée avec ce résultat signalait notamment l’effet de descriptions trop vagues et de difficultés liées aux formats des harnais de test. Le benchmark renseigne donc sur la capacité de la chaîne à raisonner et à produire un déclencheur dans des conditions définies, sans démontrer à lui seul son efficacité sur toutes les bases de code gouvernementales.
Le score de 96,55 mis en avant lors du déploiement de septembre est plus élevé, mais les informations publiques associées à cette annonce ne détaillent pas la configuration exacte, le nombre de tentatives autorisées par tâche ni les modifications intervenues depuis l’évaluation de mai. Les deux valeurs ne suffisent donc pas à établir un gain directement attribuable à Azure Government.
Les résultats des agences restent à documenter
Le déploiement confirme que MDASH peut désormais être proposé dans l’environnement gouvernemental isolé de Microsoft. Il ne constitue pas encore une validation indépendante de ses performances sur des logiciels d’agences : aucun résultat ventilé par organisme, type de code ou environnement opérationnel n’a été rendu public.
Les données encore absentes sont celles qui permettraient d’évaluer la portée concrète du service : volume de code traité, durée et coût des analyses, proportion d’alertes finalement confirmées, vulnérabilités inédites découvertes et corrections effectivement déployées. Les essais sur le code de Microsoft et les corpus contrôlés fournissent des indices techniques, mais ils ne remplacent pas ces mesures en conditions gouvernementales.
À ce stade, MDASH est donc déployé dans Azure Government, mais son accès demeure sélectif et ses preuves quantitatives restent principalement issues de tests encadrés. La prochaine étape vérifiable sera la publication de résultats provenant des participants ou l’annonce de conditions d’accès plus larges ; aucun calendrier public n’est encore disponible pour l’une ou l’autre.
À lire aussi:
Abonnez-vous à notre newsletter
Recevez directement les dernières actualités sur le Web3, l’IA et les cryptomonnaies.