Il arrive de tomber sur un site en maintenance. Mais rarement autant que ce mercredi 21 octobre. Dans l’après-midi, des dizaines de sites étaient inaccessibles, de l’espace personnel des impôts à la météo du lendemain sur Météo-France, en passant par plusieurs médias en ligne. Plus tôt dans la journée, les agences de cybersécurité du monde entier, de la NSA américaine au NCSC britannique en passant par le CERT de l’Union européenne, avaient pressé les gestionnaires de sites de mettre leurs serveurs à jour sans attendre, quitte à fermer boutique le temps de l’opération. Le message a été entendu, et pour cause. Deux failles majeures venaient d’être révélées dans PHP, un langage informatique qui fait tourner sept sites sur dix dans le monde, dont ceux bâtis avec WordPress ou Drupal. De quoi permettre à un pirate de prendre la main à distance sur un serveur, puis d’en siphonner les données.
Merci l’IA ? La chronologie de ce sauvetage lui fait la part belle. En août, la société américaine Calif audite le code de PHP avec GPT-5.6 Sol, un modèle de pointe d’OpenAI. Elle prévient les responsables du langage dans le plus grand secret, pour ne pas alerter les attaquants. Il faudra une malheureuse fuite d’information pour précipiter, le 21 octobre, la publication du correctif.
La vraie histoire débute pourtant un peu plus tôt, en France. Dès 2024, un audit de la société Quarkslab, financé par l’Agence allemande des technologies souveraines, avait mis les développeurs de PHP sur la piste. « On avait trouvé quelques éléments défaillants sur ce moteur PHP, que nous leur avons partagés », raconte à L’Express Nicolas Viot, directeur de l’ingénierie de l’entreprise qui vient d’être acquise par Airbus. En corrigeant l’un d’eux, un mainteneur de PHP aperçoit les premiers signes d’une faille importante. Restait cependant à prouver qu’elle était réellement exploitable par des hackers. Un travail d’orfèvre harassant, qui aurait demandé de longues semaines de travail. Le dossier a ainsi glissé sous la pile. Nicolas Viot se garde d’accabler la fondation PHP, une structure à but non lucratif dont une poignée de développeurs experts maintient à flot un composant critique du Web. « Ils font de leur mieux avec les moyens qu’ils ont. »
« Echec structurel »
La fondation PHP dresse elle-même ce même constat amer dans un billet de blog publié mercredi. Elle y décrit un correctif qui a « calé et redémarré à plusieurs reprises pendant des mois », et reconnaît un « échec structurel », imputable à ses processus de décision comme à son manque de bras. Une fois l’urgence établie, il a fallu modifier près de 200 fichiers et écrire plus de 10 000 lignes de code, selon le Wall Street Journal. Un lourd chantier de réécriture, confirme Nicolas Viot.
C’est la morale de l’histoire : l’IA accélère la mise au jour des failles, mais les correctifs restent une affaire d’humains. Des spécialistes peu nombreux, souvent bénévoles, et capables d’entretenir les briques essentielles d’Internet. Un dessin culte dans l’univers cyber représente l’infrastructure numérique mondiale en une tour aussi bancale qu’imposante, posée sur un minuscule support qu’un inconnu « du Nebraska » entretient seul depuis 2003. Une caricature, bien sûr, mais qui touche juste. OpenSSL et Log4j, deux logiciels libres présents partout sur le Web, ont déjà fait la Une de l’actualité mondiale avec les failles Heartbleed en 2014 et Log4Shell en 2021, soulignant au passage les maigres moyens associés à ces outils. Quelques voix très écoutées au sein du monde de l’IA l’ont rappelé, ces dernières heures, à l’image du professeur à la Wharton School Ethan Mollick, sur X. « C’est un signe tangible de ce contre quoi les spécialistes de l’IA mettent en garde depuis au moins la sortie de « Mythos » [NDLR : un modèle d’Anthropic spécialisé dans la cybersécurité et présenté en avril] : une accélération des attaques et des défenses, à des vitesses surhumaines, qui interagissent avec les systèmes éminemment humains chargés d’y réagir. »
OpenAI affirme avoir pris la mesure de ce problème. « L’IA accélère la détection des vulnérabilités, mais cette détection ne suffit pas à elle seule à protéger les utilisateurs. De nombreux responsables de maintenance sont déjà amenés à traiter un nombre croissant de signalements, plus rapidement, avec un temps et des ressources toujours aussi limités », écrit l’entreprise en présentation de « Patch the Planet », son programme pour épauler ces agents de maintenance de l’ombre, qui a servi à trouver les failles PHP, et d’autres qui n’ont pas encore été publiquement révélées. L’intention est louable. Bien que le Web confie ainsi sa sécurité aux organisations qui accélèrent la menace. Un paradoxe de plus en plus difficile à ignorer, à mesure que les modèles d’OpenAI, comme ceux de ses concurrents, gagnent en puissance. Il n’est pas surprenant, dans ce contexte, que la fondation PHP ait également réclamé, mercredi, plus de soutien de la part de gouvernements et d’institutions publiques.
Source link : https://www.lexpress.fr/economie/high-tech/failles-informatiques-lia-accelere-leur-decouverte-mais-les-humains-peinent-a-suivre-W6UDGCJJYFABVLQ2QMWN6MNFFQ/
Author : Maxime Recoquillé
Publish date : 2026-10-22 16:03:00
Copyright for syndicated content belongs to the linked Source.