L'IA trouve une faille dans PHP, les pirates aussi
PHP, c'est un langage de programmation qui fait rouler une grosse partie d'Internet. Selon certaines estimations, jusqu'à 70 % des sites l'utilisent, dont Wikipédia, WordPress et Drupal. Wiz (propriété de Google) et OpenAI ont utilisé l'IA pour y trouver deux bogues critiques. Ce sont des failles d'exécution de code à distance : un attaquant peut faire rouler son propre code sur ton serveur.
Le correctif devait sortir discrètement, dans l'ordre. Mais le mardi 20 octobre, les numéros des failles ont fuité sur des forums. Selon Ars Technica, des pirates sondaient la faille quatre jours avant que les défenseurs soient avertis, et DeviantArt et 4chan sont tombés un bout de temps. La PHP Foundation a publié des correctifs pour toute la série PHP 8.x. OpenAI a aussi publié un texte sur la coordination mondiale, maintenant que des agents trouvent de plus en plus de bogues.
Ce n'est pas la seule histoire du genre. Microsoft affirme qu'un pirate lié à la Chine a utilisé des agents d'IA pour entrer vite chez des milliers de clients de ConnectWise, une entreprise de services informatiques. Si tu as un site en PHP, fais la mise à jour aujourd'hui.
L'IA trouve maintenant de vieux bogues bien plus vite que les humains, et c'est une bonne nouvelle pour la défense. Mais notre façon de corriger les failles a été pensée pour un monde plus lent, et les attaquants ont l'IA eux aussi. Comme le dit le développeur Armin Ronacher, on a bâti beaucoup de mauvais logiciels pendant 30 ans, et là, on paie la facture.
