L’intelligence artificielle accélère la découverte de vulnérabilités logicielles, incitant les équipes de cybersécurité à déployer rapidement des correctifs et à protéger les systèmes connectés à Internet. | Crédit photo : Dado Ruvic
Les progrès de l’intelligence artificielle ont révélé un flux de nouvelles vulnérabilités logicielles qui sont presque certaines de déclencher davantage de perturbations, à l’instar des pannes qui se sont propagées sur les sites Web gouvernementaux mondiaux cette semaine, selon sept professionnels de la cybersécurité qui se sont entretenus avec Reuters.
L’IA a contribué à doubler le nombre de failles numériques découvertes d’une année sur l’autre, selon une étude qui sera publiée dans les prochains jours par VulnCheck, une société de renseignement sur les menaces basée dans le Massachusetts.
Matthew Prince, directeur général de la société d’infrastructure numérique Cloudflare, a déclaré à Reuters qu’il était conscient « d’un certain nombre de vulnérabilités graves supplémentaires présentes dans d’autres logiciels critiques » et qu’il « prévoyait des mois chargés à venir alors que l’IA faisait apparaître des faiblesses longtemps cachées dans le tissu Internet ».
“Je pense que nous allons avoir quelques années où chaque semaine, nous aurons l’impression que le ciel nous tombe sur la tête”, a déclaré Prince dans une interview jeudi.
Les pannes qui se sont propagées sur les sites gouvernementaux en Europe et ailleurs à partir de mercredi se sont produites après « la découverte » de faiblesses dans PHP, un vénérable langage de programmation qui alimente une vaste partie d’Internet. Les opérateurs se sont empressés de réparer leurs logiciels en prévision d’une exploitation massive et, parce que certains estimaient qu’ils ne pouvaient pas appliquer les correctifs avant que les pirates informatiques n’interviennent, un sous-ensemble a simplement mis leurs sites hors ligne jusqu’à ce qu’ils puissent les sécuriser.
Patrick Garrity, chercheur chez VulnCheck, a déclaré que la ruée pour réparer PHP s’est produite au cours d’une semaine déjà chargée en matière de cybersécurité. La semaine a également apporté la révélation de vulnérabilités de l’alternative PHP Node.js et du programme de streaming Plex, des violations liées à la passerelle d’IA LiteLLM et à la plate-forme de développement Railway, et la révélation que l’autorité de certification indienne eMudhra avait utilisé une clé cryptographique extraordinairement fragile qui potentiellement mettait en danger les utilisateurs d’Internet.
“Si nous voyions seulement quatre ou cinq choses comme celle-ci, cette semaine, je m’attendrais à ce que nous en voyions beaucoup plus”, a déclaré Garrity. “Je pense qu’il y aura beaucoup plus d’exercices d’incendie pour tout ce qui est exposé sur Internet.”
RACCOURCISSEMENT DES DÉLAIS
Les bases de code qui exécutent les programmes modernes sont tentaculaires et des erreurs, ou « bugs », qui ouvrent des voies potentielles d’exploitation, apparaissent souvent à des endroits inattendus.
Auparavant, la recherche de bugs nécessitait un niveau de compétence de base, et tirer parti de ces bugs pour créer des crochets numériques – appelés « exploits » – pouvait prendre des semaines ou des mois de travail par un professionnel expérimenté.
Dans le passé, cela aurait donné aux défenseurs un peu de répit pour corriger les bugs et déployer en douceur les mises à jour logicielles.
L’IA a effectivement jeté ces hypothèses par la fenêtre. Les modèles peuvent trouver un bug après l’autre en soumettant les bases de code à un examen minutieux 24 heures sur 24, et peuvent corriger les exploits en quelques heures. Shane Fry, directeur de la technologie de RunSafe Security, basé en Virginie, a déclaré que les performances démontrées des modèles d’IA au cours des derniers mois avaient effectivement dissipé tout doute quant à leur capacité à changer le secteur.
« Ce qui change fondamentalement et incontestablement, c’est non seulement le délai nécessaire pour trouver les vulnérabilités, mais aussi la rapidité avec laquelle les adversaires peuvent les transformer en armes », a déclaré Fry.
MONSTRES EFFRAYANTS
Même si tous les experts avec lesquels Reuters s’est entretenu étaient d’accord sur le fait que les délais des défenseurs devenaient de plus en plus courts, ils étaient partagés sur la question de savoir si l’IA conduirait à un hacker libre pour tous.
Daniel Stenberg, le principal développeur de l’outil de transfert de fichiers curl, a fait valoir que les vulnérabilités découvertes par les modèles d’IA avaient tendance à être des bogues exotiques dont il était difficile pour les acteurs malveillants de tirer parti. Ramy Rahman, ingénieur principal en solutions chez ArmorCode, société de cybersécurité, a déclaré que « des vulnérabilités plus divulguées ne signifient pas automatiquement des attaques plus réussies ».
Il y a eu des preuves provisoires de cela autour de la vulnérabilité PHP qui a suscité l’inquiétude du monde entier cette semaine. La société de renseignement sur les menaces Hunt.io a déclaré que – comme Amazon et Cloudflare – elle avait vu des tentatives agressives pour tirer parti du bug. Mais le responsable de la recherche du cabinet, Esteban Borges, a déclaré que jeudi à 14 heures, heure de l’Est (18h00 GMT), les cybercriminels qu’il traquait ne semblaient pas avoir réussi à mettre en place un outil de travail pour en tirer parti.
Prince, de Cloudflare, a déclaré à Reuters qu’il avait vu des preuves anecdotiques de compromissions liées à la vulnérabilité PHP.
Le déluge de découvertes basées sur l’IA pourrait ébranler l’industrie, mais serait finalement très positif, a-t-il déclaré, en le comparant à l’assassinat de monstres dans une maison hantée.
La confrontation pourrait être effrayante, dit-il, mais laisser les monstres se cacher tranquillement derrière des portes closes était bien pire.
« La réalité est que nous allons nettoyer une grande partie de ces choses », a-t-il déclaré.
Publié le 23 octobre 2026
