IA du matin // l'actu de l'IA, fraîchement moulue

Apprendre · Sécurité

Qu'est-ce que la divulgation coordonnée?

Illustration : Divulgation coordonnée (coordinated disclosure)
En termes simples, comme si tu avais 5 ansImagine que tu trouves un trou dans la clôture de ton voisin. Tu vas le lui dire tout bas, juste à lui, pour qu'il le répare avant que tu en parles à tout le monde. Comme ça, personne ne peut se faufiler par là en cachette!

La version un peu plus longue

La divulgation coordonnée (coordinated disclosure), c'est une façon polie et prudente de gérer une faille de sécurité. Une faille, ou un bogue, c'est une erreur dans un logiciel qu'un attaquant pourrait exploiter. La personne qui la trouve avertit d'abord les créateurs du logiciel, en privé. Ensemble, ils s'entendent sur un échéancier. Les créateurs préparent une réparation, qu'on appelle un correctif. Puis, à une date fixée d'avance, on annonce la faille et le correctif en même temps. Tout le monde peut faire sa mise à jour tout de suite.

L'idée est simple : donner une longueur d'avance à ceux qui défendent. Si on annonce la faille avant que le correctif soit prêt, les attaquants peuvent s'en servir pendant que tout le monde est encore sans protection. Cette période d'attente secrète, on l'appelle souvent un embargo. Mais ça marche seulement si tout le monde garde le secret, et si ceux qui réparent ont assez de temps et d'aide.

Comment la divulgation coordonnée devrait fonctionner

  1. Faille trouvéeUn chercheur, peut-être aidé par l'IA, découvre une faille de sécurité.
  2. Signalement privéIl avertit discrètement les créateurs du logiciel, pas le public.
  3. Correctif préparéLes créateurs écrivent et testent un correctif pendant une période d'attente secrète.
  4. Annonce publiqueLa faille et le correctif sont annoncés ensemble, à une date prévue.
  5. Tout le monde met à jourLes responsables des sites Web installent le correctif avant que les attaquants puissent exploiter la faille.
Pourquoi c'est important

Avec PHP2Shell, l'IA a trouvé deux failles critiques dans PHP, un langage qui fait rouler une grosse partie du Web. Les failles ont été signalées en privé le 11 août. Mais leurs identifiants ont fuité sur des forums le 20 octobre, une journée avant le correctif officiel. Dans plusieurs pays, des gouvernements ont mis des sites hors ligne par prudence. Résultat : des citoyens ordinaires ont perdu l'accès à des services publics, même sans aucune intrusion confirmée.

À surveiller

Les règles de divulgation sont surtout des habitudes, pas des lois. Et personne n'est vraiment responsable du rythme. Les labos d'IA qui trouvent des failles, comme OpenAI, proposent maintenant leurs propres règles sur la façon de les divulguer. Pendant ce temps, le travail de réparation retombe souvent sur une petite gang de bénévoles épuisés. Est-ce qu'une coordination menée par les labos va protéger le monde, ou surtout faire l'affaire des labos? On ne le sait pas encore.

Où on en a parlé

Cette notion est apparue dans L'IA a trouvé le feu, 13 bénévoles l'éteignent. Plus de leçons : Apprendre.

Sources

Écrit le 2026-10-29. Cette explication était exacte ce jour-là. L'IA change vite : vérifie les sources et la date avant de t'y fier.