L'IA double les découvertes de bugs logiciels, les experts en cybersécurité mettent en garde contre davantage de perturbations

🤖 Advances in artificial intelligence have uncovered a stream of new software vulnerabilities that are almost certain to trigger more disruption along the lines of the outages that percolated across global government websites this week, according to seven cybersecurity professionals who spoke to Reuters. AI helped drive a doubling of the number of digital flaws discovered year on year, according to research due to be published in the coming days by VulnCheck, a Massachusetts-based threat intelligence firm — a pace that is rewriting the industry's assumptions about how long defenders have to act.

☁ Matthew Prince, chief executive of the digital infrastructure firm Cloudflare, told Reuters he was aware of a bunch of additional severe vulnerabilities present in other pieces of critical software, and predicted busy months ahead as AI surfaces long-hidden weaknesses in the fabric of the internet. I think we're going to have a couple of years where every single week it's going to feel like the sky is falling, Prince said in an interview on Thursday.

🚧 The outages that spread across government sites in Europe and elsewhere beginning on Wednesday followed the discovery of weaknesses in PHP, a venerable programming language that powers a huge swathe of the internet. Operators rushed to fix their software in anticipation of mass exploitation — and because some felt they could not patch before hackers jumped in, a subset simply took their sites offline until they could make them safe, an extraordinary precaution that emptied digital front desks from Tokyo to Helsinki.

🔍 Un chercheur de VulnCheck, Patrick Garrity, a déclaré que la course pour corriger PHP s’est déroulée pendant une semaine déjà chargée en cybersécurité : cette même semaine a également vu la révélation de vulnérabilités dans l’alternative à PHP, Node.js, et le programme de streaming Plex, ainsi que des violations liées au portail d’IA LiteLLM et à la plateforme de développement Railway, et l’annonce que l’autorité de certification indienne eMudhra avait utilisé une clé cryptographique extrêmement fragile, mettant potentiellement en danger les utilisateurs à travers Internet. Si nous n’avions vu que quatre ou cinq événements similaires en une semaine, Garrity a estimé qu’il y aurait beaucoup plus à venir. Il pense qu’il y aura encore plus de drames de sauvetage pour tout ce qui est exposé sur Internet.

🏃‍♂️ L’effondrement des échéances des défenseurs

💻 Les bases de code qui exécutent les programmes modernes sont vastes et complexes, et les erreurs qui ouvrent des portes d’exploitation inattendues apparaissent souvent dans des endroits inattendus. Trouver des failles nécessitait auparavant un niveau de compétence de base, et transformer ces failles en outils de piratage numériques — des exploits — pouvait prendre des semaines ou des mois de travail par un professionnel expérimenté. Ce délai offrait aux défenseurs un temps de respiration pour corriger les failles et déployer progressivement des mises à jour logicielle avant que les adversaires n’agissent.

🤖 L’IA a en effet mis fin à ces hypothèses. Les modèles peuvent identifier une faille après l’autre en analysant en continu les bases de code, et peuvent développer des exploits en quelques heures. Shane Fry, directeur technique de RunSafe Security basé à Virginie, a déclaré que les performances démontrées des modèles d’IA ces derniers mois avaient dissipé toute hésitation quant à leur impact sur l’industrie. Ce qui change fondamentalement, et sans aucun doute, c’est le rythme non seulement pour trouver les vulnérabilités, mais aussi la rapidité avec laquelle les adversaires peuvent les exploiter, a-t-il précisé.

⚖ L'inondation signifie-t-elle une guerre totale des hackers ?

🧪 Alors que tous les experts interrogés par Reuters ont convenu que les délais des défenseurs se raccourcissaient, ils étaient divisés sur la question de savoir si l'IA conduirait à une guerre totale des hackers. Daniel Stenberg, développeur principal de l'outil de transfert de fichiers largement utilisé curl, a affirmé que les vulnérabilités trouvées par les modèles d'IA tendaient à être des bugs exotiques difficiles à exploiter par des acteurs malveillants. Ramy Rahman, ingénieur en solutions principales chez la société de cybersécurité ArmorCode, a déclaré que davantage de vulnérabilités divulguées ne signifiaient pas automatiquement davantage d'attaques réussies.

🔍 Il y avait des preuves provisoires de cela autour de la vulnérabilité PHP qui a suscité une inquiétude mondiale cette semaine. La société de renseignement sur les menaces Hunt.io a déclaré que, comme Amazon et Cloudflare, elle avait constaté des tentatives agressives d'exploitation de la faille — mais son responsable de la recherche, Esteban Borges, a déclaré qu'à partir de 14h heure de l'Est jeudi, les cybercriminels qu'il suivait semblaient n'avoir pas réussi à assembler un outil fonctionnel pour l'exploiter. Prince, cependant, a déclaré à Reuters qu'il avait vu des preuves anecdotiques de compromissions liées à la vulnérabilité PHP, maintenant l'évaluation des risques honnête des deux côtés.

👽 Le déluge de découvertes pilotées par l'IA pourrait perturber l'industrie, mais serait globalement positif à la fin, a affirmé Prince, comparant cela à tuer les monstres dans une maison hantée : la confrontation pourrait être effrayante, mais laisser les monstres se cacher tranquillement derrière des portes fermées était bien pire. La réalité est que nous allons nettoyer beaucoup de ces choses, a-t-il déclaré — un audit attendu depuis longtemps des fondations vieillottes de l'Internet, mené à la vitesse de la machine.

🌏 Ce que cela signifie pour l'économie numérique du Bangladesh

💻 Pour le Bangladesh — un pays où la même panne de PHP a obligé la Banque du Bangladesh à mettre son site web hors ligne par mesure de précaution — le message est particulièrement pointu. Les banques du pays, les portails gouvernementaux, les plateformes de commerce électronique et l'industrie en plein essor de l'exportation de logiciels fonctionnent tous sur la même pile logicielle mondiale dont les failles cachées sont maintenant révélées une par une par l'IA. Cela a deux conséquences : les entreprises bangladaises héritent du risque d'une utilisation plus rapide des vulnérabilités, mais elles ont également accès aux mêmes outils d'analyse et de patchage assistés par l'IA qui élèvent la norme mondiale.

🚀 La réponse stratégique est désormais bien comprise : inventaire de tous les systèmes et bibliothèques utilisés, analyse automatisée des vulnérabilités de routine plutôt que des exercices ponctuels, centres d'opérations de sécurité capables d'agir en quelques heures, et règles d'approvisionnement qui considèrent la possibilité de patchage comme une caractéristique du produit. Les entreprises qui construisent pour les marchés d'exportation — de la fintech aux services de processus d'affaires — peuvent même transformer l'hygiène en un atout commercial : une pratique de sécurité démontrable fait de plus en plus partie de la due diligence dans les contrats internationaux.

🔭 Le verdict mitigé de l'industrie — plus de bugs trouvés, mais pas nécessairement plus de violations — suggère que le résultat dépend moins de la technologie que de la réponse. Les institutions qui traitent les années à venir de gros titres catastrophiques comme une force motrice pour la discipline émergeront avec des systèmes plus propres et plus défendables ; celles qui traitent chaque avertissement comme du bruit continueront de découvrir que leurs procédures d'urgence n'ont jamais été répétées. L'IA a rendu l'insécurité logicielle plus visible ; ce que les organisations font à propos de ce bruit dépend toujours, entièrement, d'elles-mêmes.