L’IA a trouvé la faille qui menace 70 % du Web !

La semaine dernière, une faille critique affectant PHP, le langage utilisé par environ 70% du web, a été découverte. Cette vulnérabilité, invisible depuis plus de dix ans, a été mise au jour par un chercheur utilisant l'intelligence artificielle. L'émission "Silicon Carnet" explore les implications de cette découverte, interrogeant l'impact de l'IA sur la cybersécurité et le potentiel d'une transformation du web en champ de bataille numérique. Les invités, Greg Gambetta, fondateur de Unleadust (devenu Contrôle G) et expert en fourniture de données pour les laboratoires d'IA dans le domaine de la cybersécurité, et Nico, ingénieur sécurité senior chez Trail of Beats et pseudonyme "Nicoo", discutent de cette affaire. Greg décrit son entreprise comme une "boîte de défense" recrutant principalement d'anciens militaires, se concentrant sur des sujets de cybersécurité de plus en plus pointus. Nico, expert reconnu dans le domaine, est à l'origine, avec Trail of Bits, du projet "Patch the Planet" en collaboration avec OpenAI. La discussion porte sur une faille PHP, notée 9.2/10, qui permettrait à un attaquant, sans mot de passe, de prendre le contrôle d'un serveur ou de lire sa mémoire. Nico explique que cette faille est qualifiée de "pré-auth", signifiant qu'aucune authentification n'est nécessaire. Il souligne que même des applications bien codées sont vulnérables car la faille réside dans le moteur PHP lui-même. Un point de friction majeur concerne la paternité de la découverte. Greg et Nico expliquent qu'il y a eu un "drama" et beaucoup de marketing autour de cette découverte, comparable aux querelles autour des découvertes mathématiques. La vérité, telle qu'officialisée, est qu'un chercheur de la startup californienne Califit l'a trouvée en premier, ayant déjà travaillé sur des sujets similaires et aiguillé ses modèles d'IA. Wiz, une autre entreprise de sécurité, a découvert des variantes de ce bug par la suite. OpenAI, par le biais du projet "Patch the Planet", a coordonné les efforts, Califit étant un participant à ce projet. Greg mentionne que Wiz aurait même acquis le nom de domaine "PHPer.com" pour s'approprier la découverte. La communication autour de cette faille est jugée catastrophique par Nico, qui déplore la panique générée par la mise en avant des chiffres alarmants (70% du web reposant sur PHP). Il précise que cette faille affecte particulièrement les sites basés sur PHP, comme WordPress, et que la mise à jour des applications ne suffit pas, le problème étant au niveau du langage lui-même. La faille permettait un accès complet au serveur, équivalent à une intrusion directe dans un ordinateur. L'utilisation de l'IA dans la découverte de ces failles est un sujet central. Greg met en avant le rôle crucial du chercheur humain qui guide l'IA. Il critique l'idée que l'IA découvre de manière autonome, soulignant que le fait qu'un expert humain ait orienté le modèle est moins "télévisuel" que l'annonce d'une découverte autonome par l'IA. Il anticipe une augmentation des attaques, potentiellement terroristes, utilisant des modèles d'IA, citant un cas récent où un attaquant aurait utilisé GLM 5.3. Le budget de la fondation PHP, environ 683 000 dollars, est comparé au coût des chercheurs en cybersécurité et aux budgets de tokens mensuels pour les modèles d'IA, soulignant le décalage entre les ressources disponibles et les défis actuels. Un expert en cyber dans la vallée peut coûter entre 300 000 et 700 000 dollars par an, et le budget token mensuel d'un chercheur peut atteindre 50 000 à 200 000 dollars. La recherche de failles est également impactée par l'IA. Nico explique que les entreprises comme Trail of Bits croulent sous les propositions de failles découvertes, rendant la qualification de ces rapports très difficile. Au début, il y avait beaucoup de "AI slop" (rapports générés par IA de mauvaise qualité), mais aujourd'hui, le problème est l'inverse : un afflux de rapports pertinents mais une capacité limitée à les traiter. Les mainteneurs de projets open source, comme pour PHP et Curl, se retrouvent submergés. Le projet "Patch the Planet", une initiative pro bono soutenue par OpenAI, vise à combler ce fossé. Il met à disposition des modèles et des capacités de calcul pour aider les projets open source à identifier et corriger des failles critiques. Nico souligne la collaboration positive avec OpenAI, qui semble sincèrement vouloir aider les projets open source vulnérables. Il réfute l'idée que les grands laboratoires d'IA soient uniquement motivés par des intérêts économiques, mettant en avant leur professionnalisme et leur désir de bien faire. Greg exprime une inquiétude quant à l'adoption trop rapide de l'IA par rapport à la capacité d'adaptation du monde. Il critique la perception médiatique de l'IA, qui génère de la peur plutôt que de l'enthousiasme. Il cite un article du journal "Le Monde" indiquant que des jeunes se tournent vers des métiers manuels à cause de la peur de l'automatisation, ce qu'il juge désastreux pour l'avenir de la tech. Il dénonce le sensationnalisme des médias traditionnels qui privilégient les clics et l'audience au détriment d'une information nuancée. Nico confirme cette méfiance généralisée envers l'IA en France, la comparant à une réticence face aux multinationales comme Total il y a quelques années. Il reconnaît les défis pour les juniors dans le domaine de la cybersécurité, qui doivent constamment se renouveler. L'émission aborde ensuite des cas concrets d'attaques, comme le piratage de frigos dans des supermarchés. Greg souligne que la protection du matériel dans les usines est souvent "préhistorique" et que seulement 4 à 6% du budget informatique est consacré à la cybersécurité, souvent pour des raisons de conformité plutôt que de sécurité réelle. Il décrit comment de nombreuses entreprises se contentent de cocher des cases pour satisfaire les exigences réglementaires sans réellement renforcer leur sécurité. Concernant l'avantage potentiel de la défense sur l'attaque grâce à l'IA, Nico nuance. Si les failles sophistiquées nécessitent beaucoup de calcul, des vulnérabilités plus simples, comme des mots de passe faibles, restent exploitables. La distribution de modèles d'IA sans garde-fous pose un risque accru, même si des initiatives comme "Daybreak" d'OpenAI tentent de mettre en place des garde-fous. Les modèles chinois, plus accessibles, représentent une préoccupation majeure. Le débat sur l'open source et son rôle dans la cybersécurité est également abordé. Certains laboratoires, comme Anthropic, prônent la restriction des modèles open source par crainte de leur utilisation malveillante. Greg compare la situation à celle des armes aux États-Unis : la diffusion de modèles open source, bien que permettant à tous de se défendre, peut aussi armer les attaquants. Il exprime une ambivalence, étant pro-partage technologique mais reconnaissant que l'open source est devenu une arme. Nico, tout en reconnaissant les avantages des modèles open weight, insiste sur la nécessité de ne pas concentrer toute l'intelligence artificielle entre les mains de quelques grands fournisseurs. Il estime que même si l'open source est une arme, il sera toujours possible de contourner les garde-fous des modèles propriétaires. En termes d'optimisme ou de pessimisme, Greg se montre pessimiste à court terme ("énorme boucherie" dans les 6 à 12 prochains mois), mais espère une amélioration à moyen terme (12 à 24 mois) avec un code plus sécurisé et un monde plus sûr. Il souligne l'urgence de recruter pour ne pas voir l'Europe régresser technologiquement. Nico partage cette vision d'un monde qui vivait dans une "véritable passoire" sans le savoir, et la nécessité de repenser la cybersécurité face à des attaques automatisées. Il note que la sécurité par obscurité ou complexité n'est plus viable. L'émission se termine sur une note de préoccupation quant à l'avenir, mais aussi avec l'espoir que les bonnes actions permettront de construire un monde plus sûr.