L'IA trouve le feu, des bénévoles l'éteignent

Cette semaine, l'IA a fait quelque chose de magnifique pour Internet. Et des bouts d'Internet ont dû se débrancher pour passer au travers.

Je t'explique. PHP, c'est un langage de programmation. Il fait rouler une grosse partie du Web, dont Wikipédia, WordPress et Drupal. La firme de sécurité Wiz (qui appartient à Google), la firme Calif et l'équipe Codex Security d'OpenAI se sont servies de l'IA pour y dénicher deux failles critiques. On les a baptisées PHP2Shell.

Ces failles permettent à un attaquant de faire rouler son propre code sur un serveur, sans même se connecter. Elles peuvent aussi laisser fuir des morceaux de la mémoire du serveur, là où se cachent parfois des mots de passe et des clés secrètes. Presque toutes les versions de PHP depuis 2012 sont touchées.

Chapeau, d'abord

Je veux commencer par le beau côté, parce qu'il est vraiment beau.

Un développeur du cœur de PHP avait déjà vu des signes de cette faille pendant un audit en 2024. Elle n'a pas été corrigée. Pourquoi? Personne n'arrivait à montrer une attaque qui marche. Sans preuve, c'est resté un « peut-être » dans une longue pile de peut-être. L'IA a fourni la preuve.

Wiz affirme qu'avec des outils d'IA, « un seul chercheur a fait en une semaine ce qui aurait pris des mois à une équipe de calibre mondial ». Calif et OpenAI ont trouvé la faille principale chacun de leur côté et l'ont signalée le 11 août.

C'est le rêve de l'IA au service de la défense. De vieilles failles cachées, trouvées avant que les méchants mettent la main dessus. J'adore ça. Sincèrement.

Puis la ceinture a cédé

Le plan, c'était une divulgation coordonnée, tranquille et bien ordonnée. Ça ne s'est pas passé comme ça. Les numéros d'identification des failles ont coulé sur des forums le 20 octobre. Chainguard a publié des versions corrigées de ses images logicielles plus de six heures avant la sortie officielle. La PHP Foundation a publié le correctif le 21 octobre.

Puis des gouvernements ont commencé à débrancher des sites. Volontairement. Au Royaume-Uni, 32 services gouvernementaux ont été complètement mis hors ligne et 4 en partie, selon des chiffres présentés à la Chambre des lords. Des sites sont tombés en Allemagne, en France, en Belgique, en Finlande et aux Pays-Bas. Même l'agence de cybersécurité de l'Australie a fermé des sites. La NSA américaine a demandé aux organisations d'appliquer le correctif tout de suite ou de mettre leurs serveurs hors ligne. DeviantArt et 4chan ont été inaccessibles pendant un bout.

Selon une analyse, Amazon aurait aussi repéré une tentative d'attaque quatre jours avant l'annonce. On ne sait pas qui était derrière.

Mais gardons la tête froide. À ce jour, aucune intrusion n'est confirmée. Quelqu'un a essayé les attaques publiées sur GitHub : aucune ne marchait sur un PHP de base. Une publication virale sur un « Black October », vue 542 000 fois, c'était de l'enflure. Des critiques sur Hacker News ont dit que la faille avait été « vendue comme si c'était la première RCE trouvée dans l'histoire de l'humanité » (une RCE, c'est une faille qui permet l'exécution de code à distance). Et personne n'a dit combien de puissance de calcul tout ça avait coûté. Ce sont des points valables.

Mais même sans intrusion, les dégâts étaient bien réels. Des citoyens n'ont pas pu utiliser des services publics. C'est le prix de la vitesse sans freins.

Qui tient l'accélérateur?

C'est ma vraie question cette semaine. Regarde qui a fait quoi.

OpenAI a aidé à trouver la faille. Ensuite, OpenAI a publié un billet sur la façon dont on devrait coordonner l'annonce des failles, maintenant que des agents d'IA en trouvent de plus en plus. Et Semafor rapporte qu'OpenAI et Anthropic ont tous les deux fait du lobbyisme pour que les labos d'IA puissent partager de l'information sans enfreindre les lois sur la concurrence. Anthropic mentionne un projet de loi appelé Collaboration on Adversarial Threats and Security Risks Act. Nvidia, Anthropic et OpenAI viennent tous de vivre le plus gros trimestre de lobbyisme de leur histoire.

Soyons justes : coopérer en sécurité, ce n'est pas une mauvaise idée. Des labos qui partagent de l'information sur les menaces pourraient nous protéger. Et les registres de lobbyisme ne prouvent pas que les labos décident de quoi que ce soit. Je ne dis pas qu'il y a un complot.

Mais qui a fait le gros de l'ouvrage? Environ 13 personnes, pendant à peu près deux mois, selon une analyse. Beaucoup de responsables de logiciels à source ouverte (open source) sont des bénévoles. La PHP Foundation a qualifié l'annonce de « maladroite ». Des responsables de projets ont confié à The New Stack que l'IA empile du travail de sécurité sur des gens déjà à bout de souffle.

Voilà le portrait. Les labos trouvent les failles. Les labos disent comment les annoncer. Les labos font du lobbyisme pour avoir le droit de se coordonner entre eux. Les bénévoles portent la charge. Les gouvernements ferment des sites. Personne n'a voté pour ce rythme-là.

Le développeur Armin Ronacher dit qu'on a bâti beaucoup de mauvais logiciels pendant 30 ans, et que là, on paie la note. Il a raison. Mais la facture arrive d'un coup, et ce sont les compagnies qui ont l'IA la plus rapide qui décident quand.

Et ce n'est qu'un début

Les attaquants ont les mêmes outils. L'IA peut aider à transformer très vite un correctif public en attaque qui marche. Microsoft affirme qu'un pirate informatique lié à la Chine s'est servi d'agents d'IA pour entrer chez des clients de l'entreprise informatique ConnectWise. Je n'ai pas pu vérifier cette histoire moi-même, alors prends-la avec des pincettes.

On va donc voir d'autres PHP2Shell. D'autres vieilles failles, trouvées plus vite que les humains peuvent les corriger. Notre façon d'annoncer les failles a été pensée pour un monde plus lent, où le plus dur, c'était de les trouver. Maintenant, le plus dur, c'est de les corriger.

Je ne veux pas que l'IA arrête de chasser les failles. Ce serait fou. Je ne veux pas de pause. Je veux une ceinture de sécurité.

Une seule compagnie ne peut pas fixer la vitesse pour tout Internet. Un seul pays non plus. Ça a touché au moins six pays en quelques jours. Ça prend une réponse internationale, comme pour les autres risques qui se moquent des frontières.

Bon, je vais le dire simplement. L'IA a trouvé le feu. Tant mieux. Mais ceux qui ont les allumettes, le plan de la maison et les lobbyistes ne devraient pas décider en plus quand on appelle les pompiers. Quand on corrige ses propres devoirs, on se donne toujours une bonne note.