Le National Cyber Security Centre du Royaume-Uni a lancé une mise en garde inhabituelle sur ce qui nous attend. Selon le NCSC, l’IA est désormais capable de mettre au jour des décennies de failles logicielles enfouies, à une échelle et une vitesse que toute l’infrastructure de déploiement des correctifs du secteur n’a jamais été conçue pour gérer.
Le résultat ? Une prochaine vague de mises à jour critiques dans toutes les couches de la pile technologique, d’un seul coup. C’est ce qu’ils appellent une « vague de correctifs ». Les organisations qui ne seront pas prêtes seront prises au dépourvu. C’est le problème que le NCSC cherche à anticiper. À mesure que davantage d’outils d’IA acquièrent cette capacité, le délai entre la « découverte d’une faille » et son « exploitation » passe de plusieurs semaines à quelques heures. Les recommandations du NCSC sont claires :
- Donner la priorité à tout ce qui est exposé à Internet, puis remonter vers l’intérieur
- Activer les mises à jour automatiques partout où cela est possible
- Les systèmes obsolètes qui ne peuvent pas recevoir de correctifs doivent être remplacés, et non ignorés
- Partir du principe que les prochaines mises à jour seront critiques, et non de routine
Cette mise en garde ne sort pas de nulle part. En avril, Anthropic a dévoilé Claude Mythos Preview, un modèle si efficace pour détecter les vulnérabilités logicielles qu’Anthropic a refusé de le rendre public. Lors des tests, il a découvert plus de 2 000 failles jusqu’alors inconnues dans les principaux systèmes d’exploitation et navigateurs, dont un bug vieux de 27 ans dans OpenBSD et une faille d’exécution de code à distance vieille de 17 ans dans FreeBSD. Plus de 99 % des failles découvertes ne sont toujours pas corrigées aujourd’hui.
Mais l’urgence se concrétise déjà. La semaine dernière, des chercheurs de la société de sécurité Theori ont utilisé leur propre outil d’IA pour analyser le code cryptographique de Linux. Cela leur a pris environ une heure. Ce qu’ils ont découvert, baptisé « Copy Fail », accorde aux pirates un accès root complet à toutes les principales distributions Linux publiées depuis 2017. Un script de 732 octets. Une fiabilité de 100 %. Un correctif existe, mais les détails de l’exploit ont été rendus publics avant que toutes les distributions n’aient publié leurs correctifs.
Pourquoi c’est important
Vous n’exploitez pas de serveur. Vous ne gérez pas les correctifs. Mais votre salaire, vos dossiers médicaux et vos impôts résident tous sur des systèmes qui, eux, le font.
Ces systèmes ont été conçus en partant du principe que les bugs seraient découverts lentement, par des humains, un à la fois. Cette hypothèse vient de voler en éclats. Anthropic affirme que plus de 99 % de ce que Mythos a découvert reste sans correctif. Copy Fail n’est qu’un exemple de ce qui se produit lorsque cette fenêtre reste ouverte trop longtemps. Les vulnérabilités sont connues. Le temps presse. La seule question est de savoir qui les découvrira ensuite.
Note de la rédaction : ce contenu a d’abord été publié dans la lettre d’information de notre publication sœur, The Neuron. Pour découvrir d’autres articles de The Neuron, inscrivez-vous à sa lettre d’information ici.