Voici ce que l’IA vient de trouver au cœur d’Internet

Il y a quelques jours, le 21 octobre 2026, la Fondation PHP a émis un correctif d'urgence pour deux failles critiques affectant une large partie du web, notées 9,2/10 en sévérité. PHP est un langage de programmation essentiel, le moteur invisible de la majorité des sites web et applications actuelles, sur lequel repose 110% des sites mondiaux. Qu'il s'agisse de banques en ligne, de déclarations d'impôts ou de boutiques e-commerce, il y a de fortes chances que PHP soit impliqué. Ces failles permettaient à un attaquant d'exécuter du code à distance sans authentification, prenant ainsi le contrôle du serveur. Ce qui est particulièrement troublant, c'est que ces vulnérabilités étaient présentes dans le code depuis 14 ans, échappant à d'innombrables audits de sécurité. En 2024, un audit spécialisé de 57 jours n'avait rien détecté, alors qu'une intelligence artificielle (IA) a identifié les mêmes failles en seulement 48 heures en août 2026. Cette découverte a eu un tel retentissement que plusieurs gouvernements ont publiquement reconnu la gravité de la situation et la nécessité de mettre à jour les sites concernés. L'IA révèle ainsi la fragilité intrinsèque du web, une réalité qui nous concerne tous, qu'on soit développeur, entrepreneur ou simple utilisateur d'internet. L'histoire a commencé en juillet 2026 avec le programme "Patch de Planète" d'OpenAI. L'objectif était d'utiliser leurs IA les plus puissantes pour scanner les logiciels critiques d'internet et identifier les failles avant les cybercriminels. Ce projet ambitieux, une première à cette échelle, a invité des chercheurs en cybersécurité, notamment la firme Calif, à collaborer. Deux équipes ont travaillé indépendamment sur le code source de PHP : Calif avec GPT 5.6 sol et Wi Research avec Gemini 4 Argon. Ces deux équipes, utilisant des IA différentes, ont découvert les mêmes failles. Pour comprendre la nature de ces failles, il faut saisir comment PHP gère sa mémoire. Lors du traitement d'une requête web, PHP doit libérer de l'espace pour éviter la saturation. Le problème réside dans certaines conditions où PHP libère un objet en mémoire mais continue de s'y référer. C'est ce qu'on appelle un "use after free". Un attaquant exploitant cette faille peut injecter son propre code dans cet espace mémoire libéré, lui donnant ainsi un contrôle total sur la machine. Le 19 août 2026, les chercheurs de Calif ont identifié la première faille. 48 heures plus tard, ils ont développé une attaque fonctionnelle contre WordPress, sans aucune authentification requise. L'importance de cette découverte réside dans le fait qu'elle a été faite par des chercheurs, et non des attaquants, ce qui est l'essence même du programme "Patch de Planète". Pour la première fois, une faille majeure a été identifiée avant son exploitation à grande échelle, marquant un changement de paradigme. Ce fut un choc, car des chercheurs humains qualifiés, après 57 jours de travail minutieux en 2024, n'avaient rien trouvé sur ce même code. La faille, présente depuis des années, était invisible aux yeux humains, mais une IA a pu analyser des milliers de variantes en parallèle, croiser les résultats et apprendre de ses tentatives. Les chercheurs de Calif ont d'ailleurs demandé à l'IA de généraliser sa méthode sous forme de "skill", un ensemble d'instructions réutilisables. Chaque nouvelle découverte améliorait ce skill, rendant le modèle plus performant. Ce principe d'un modèle d'IA s'améliorant continuellement est un concept discuté depuis longtemps dans le domaine de l'IA, notamment par des pionniers comme Andrej Karpathy. Ce qui s'est passé avec PHP n'est plus un projet de recherche, mais un outil opérationnel qui a identifié l'une des failles les plus graves de l'histoire du web. L'IA a rendu internet plus sûr en révélant une faille qui, sans cela, aurait pu être exploitée par des cybercriminels. Cependant, cette même semaine, le 21 octobre, un rapport de la start-up Striker a révélé que des hackers utilisaient déjà des agents IA pour mener des cyberattaques automatisées contre plus de 400 cibles en Amérique latine, principalement des banques, des sociétés de paiement et des sites gouvernementaux. Ces agents, alimentés par des IA comme Claude et Grok, volaient des identifiants et accédaient à des comptes bancaires de manière quasi autonome. Ce n'est pas un cas isolé. Début octobre, des banques sud-coréennes ont été compromises par des attaques utilisant Artex AI, un système de test d'infiltration open source basé sur des modèles de langage, qui identifiait des vulnérabilités et planifiait des attaques. L'IA accélère la défense, mais elle accélère aussi l'attaque. Nous sommes au milieu d'une course. La bonne nouvelle est que, pour l'instant, la défense a marqué un point. Mais la question est de savoir si nous pourrons maintenir cette avance. Pour couronner le tout, un autre problème, moins sophistiqué mais plus gênant, est apparu cette même semaine : une erreur humaine de l'autorité de certification indienne, e-Mudhra. e-Mudhra émet des certificats numériques qui garantissent l'authenticité des sites web. Plus de 60 millions de leurs certificats intermédiaires utilisaient des clés privées si faibles qu'elles pouvaient être retrouvées en moins d'une seconde. Au lieu d'un nombre aléatoire de 115 chiffres, certaines clés étaient des nombres comme 66, 155, 237, voire le chiffre 4. e-Mudhra a attribué cela à un bug dans un script lors d'une cérémonie de génération de clés en avril 2025. Ces clés compromises étaient en circulation depuis 17 mois. Mozilla, Google, Apple, Microsoft ont bloqué les certificats en urgence. Cloudflare a qualifié l'incident de "problème sérieux". Ces deux événements illustrent la même problématique : l'infrastructure du web repose sur des couches