Résumé :
Selon le New York Times, l'IA découvre des vulnérabilités de sécurité logicielle à un rythme sans précédent, et les ingénieurs chargés de les corriger ont de plus en plus de mal à suivre le rythme. Les entreprises technologiques et les responsables de logiciels open source se précipitent pour corriger les vulnérabilités avant que les pirates informatiques ne puissent les exploiter pour protéger les logiciels qui alimentent un large éventail de sites Web et de services en ligne.
Le 21 octobre, Fouad Matin, responsable de la préparation et du travail de sécurité du réseau OpenAI, avait initialement prévu de fêter son anniversaire entre amis dans la soirée.
Mais ce jour-là, il n'a dormi qu'environ deux heures et était occupé à coordonner la réparation de deux graves failles de sécurité découvertes par AI. Une fois ces vulnérabilités exploitées, elles pourraient avoir un impact sur un large éventail de services Internet. Les personnes impliquées dans le traitement comprennent des chercheurs en sécurité dans des startups et des géants de la technologie, ainsi que des responsables gouvernementaux aux États-Unis et dans d’autres pays.
Sur sa liste de choses à faire, il y a d'autres failles découvertes par l'IA qui attendent d'être corrigées.
Mateen a déclaré qu'OpenAI avait organisé plusieurs équipes responsables de la sécurité du réseau et avait investi beaucoup de puissance de calcul pour rechercher et résoudre les problèmes. Il estime que les entreprises d'IA ont la responsabilité de faire face aux risques révélés par cette technologie, dans le but ultime d'analyser et de corriger autant que possible les logiciels du monde.
La vitesse de découverte des vulnérabilités a considérablement augmenté, ce qui exerce une pression sans précédent sur ceux qui corrigent les vulnérabilités.
Selon OpenAI, la société a commencé à utiliser sa propre technologie pour analyser les logiciels open source en mai de cette année. Depuis, des chercheurs internes et externes ont découvert plus de 1 300 vulnérabilités grâce à son modèle. Ce type de logiciel peut être utilisé gratuitement, est largement déployé dans divers services réseau et prend en charge un grand nombre de fonctions d'Internet.
Google a également utilisé l'IA pour découvrir et corriger 1 072 vulnérabilités dans le navigateur Chrome en juin de cette année, dépassant le nombre total corrigé au cours des deux années précédentes. Depuis le début de cette année, Chrome a corrigé des vulnérabilités plus graves qu'au cours des huit années précédentes combinées.
Microsoft a publié 1 461 correctifs rien qu'en octobre de cette année, dépassant les 1 247 correctifs pour l'ensemble de 2025.
Aux yeux de certains responsables de la maintenance de logiciels, cette intensité de travail ne fait peut-être que commencer.
Matteo Collina est le directeur technologique de la startup Platformmatic et participe à la maintenance de l'outil de développement open source Node.js. Des entreprises technologiques telles que Uber et Netflix utilisent cet outil.
"Ce qui se passe actuellement n'est que le premier instant, et la situation sera dix fois pire." dit Colina.
Selon la Fondation OpenJS, une organisation à but non lucratif qui soutient Node.js, Node.js a identifié et corrigé 50 failles de sécurité cette année, soit plus que n'importe quelle année de son histoire. En février de cette année, le projet a reçu 4,6 fois le nombre habituel de rapports de vulnérabilité.
Ce mois-ci, OpenAI a de nouveau contacté Colina pour l'alerter d'une vulnérabilité récemment découverte. Des attaquants potentiels peuvent l'utiliser pour envahir les systèmes sur Internet et voler des données.
Afin de gérer le nombre croissant de rapports, Colina travaille désormais sept jours sur sept et laisse l'agent IA continuer à gérer les tâches à sa place la nuit.
"Personne ne sait ce que deviendra ce métier dans le futur." » dit-il.
Dans le passé, la recherche de vulnérabilités logicielles était une tâche qui reposait largement sur l'expérience personnelle. Les entreprises technologiques embauchent des chercheurs en sécurité pour examiner le code et paient également des pirates informatiques pour rechercher et signaler les problèmes via des programmes de « bug bounty ».
L'IA modifie la vitesse et la valeur de ce travail.
Il peut continuer à chercher, reprenant là où les chercheurs humains auraient pu abandonner. Il peut également examiner de petites failles dispersées dans différents codes et les combiner en attaques dangereuses.
Volker Dusch, ingénieur en sécurité à la Fondation PHP, le ressent clairement. La fondation, qui gère le langage de programmation PHP, a révélé la semaine dernière une grave vulnérabilité découverte par l'IA.
Dusch a déclaré qu'il y a deux ans, découvrir une faille de sécurité était un gros problème. Aujourd’hui, la reconnaissance qu’il apporte par les pairs diminue et la manière dont l’ensemble du secteur évalue ce travail évolue.
Cependant, l'augmentation du nombre de rapports sur les vulnérabilités s'accompagne également d'une charge supplémentaire importante.
Depuis la fin de l'année dernière, les responsables de logiciels open source ont remarqué une augmentation significative du nombre de rapports. Certains d’entre eux révèlent de graves menaces, d’autres sont des rapports de mauvaise qualité générés par l’IA, déroutants et non testés.
Fin janvier de cette année, le projet open source curl a annoncé qu'il cesserait de payer des bug bounties car il n'était pas en mesure de faire face à l'afflux de rapports.
Dans le même temps, les capacités offensives de l'IA rendent également les défenseurs de plus en plus nerveux.
En avril de cette année, Anthropic a déclaré que le modèle Mythos qu'elle avait développé avait de fortes capacités de piratage et ne pouvait pas être ouvert au public en toute sécurité. La société a ensuite mis le modèle à la disposition d'un groupe d'entreprises de confiance et d'agences gouvernementales pour inspecter et corriger les systèmes via un programme appelé Project Glasswing. OpenAI et Google fournissent également aux défenseurs des modèles d’IA axés sur la cybersécurité.
Mais les modèles capables de trouver et d'exploiter les vulnérabilités sont de plus en plus disponibles.
La société d'évaluation d'IA Vals AI a récemment mis en place une tâche d'attaque simulée, obligeant le modèle à envahir une entreprise fictive. Les résultats du test ont montré qu'un modèle avancé d'OpenAI, ouvert uniquement aux défenseurs approuvés, a atteint 81 % des objectifs du test ; suivi de près par un modèle disponible gratuitement de la société chinoise DeepSeek, avec un taux de réalisation de 73 %.
À mesure que ces capacités se multiplient, les équipes de sécurité de la Silicon Valley accélèrent les enquêtes. Ils craignent que la même vulnérabilité ne soit bientôt découverte par des attaquants.
Un processus de réparation PHP montre sur qui exactement cette pression tombe.
En juillet de cette année, des chercheurs de la société de cybersécurité Calif ont commencé à laisser des agents d'IA inspecter PHP. Selon les rapports, environ 70 % des sites Web utilisent ce langage de programmation. Une équipe de recherche a découvert qu’une vulnérabilité cachée dans le code depuis plus d’une décennie pourrait permettre aux attaquants d’exécuter du code malveillant sur les sites Web concernés.
Calif a ensuite contacté Dusch et des chercheurs de Wiz, une société de sécurité appartenant à Google, qui ont découvert des vulnérabilités similaires. Des ingénieurs d’OpenAI et de la PHP Foundation sont également impliqués.
L'équipe a collaboré sur un canal Slack confidentiel pendant des semaines, coordonnant les correctifs par téléphone chaque jour. Le PDG de Californie, Thai Duong, a déclaré que le correctif concernait environ 200 fichiers et qu'il s'agissait d'une mise à jour massive.
Lors de la préparation du correctif, ils ont également informé les agences gouvernementales, la société d'infrastructure Internet Cloudflare et d'autres organisations, dans l'espoir d'étendre autant que possible la couverture des réparations.
La période pendant laquelle la vulnérabilité a été découverte mais n'a pas été entièrement réparée est devenue l'étape la plus stressante pour les participants.
Le PDG de Cloudflare, Matthew Prince, a déclaré qu'il avait passé les deux derniers mois dans un état de peur extrême que quelqu'un d'autre découvre la vulnérabilité plus tôt ou que des informations soient divulguées avant qu'un correctif ne soit prêt.
Il prédit qu'au cours des deux prochaines années, en moyenne, une grave vulnérabilité apparaîtra chaque semaine et affectera l'ensemble d'Internet.
Dans le secteur de la sécurité, il existe différents jugements sur la situation suivante.
Le directeur adjoint de la sécurité de l'information d'Anthropic, Jason Clinton, a déclaré sur les réseaux sociaux le 22 octobre que même si la situation au cours des quatre derniers jours a été mauvaise, elle va empirer à l'avenir avant de s'améliorer.
Prince pense que la découverte de ces problèmes de longue date permettra, à terme, de rendre Internet plus sûr. Il prédit que les deux prochaines années seront très mauvaises, mais une fois cette série de réparations terminée, les gens peuvent s'attendre à un Internet beaucoup plus sûr.
Commentaires