Mercredi, plusieurs sites de préfectures françaises sont devenus inaccessibles. Au même moment, le Parlement néerlandais, des ministères allemands et finlandais ou encore des services de santé écossais coupaient eux aussi certains de leurs sites. Ce n'était pas une attaque. C'était une course contre la montre pour en éviter une.
En cause : deux failles d'une gravité rare, découvertes grâce à l'intelligence artificielle.
Ce qui s'est passé
PHP est un langage de programmation qui fait tourner, en coulisses, environ 70 % des sites web dont on connaît la technologie. Les sites WordPress, les boutiques PrestaShop, une grande partie des sites administratifs : tous reposent sur lui.
Le 21 octobre, les responsables de PHP ont publié en urgence des correctifs pour deux failles critiques, surnommées « php2shell ». Elles touchent la façon dont PHP gère la mémoire de l'ordinateur, et permettraient à un attaquant de lire des informations sensibles sur un serveur, voire d'y exécuter ses propres commandes, sans même avoir besoin de se connecter. Elles étaient restées cachées dans le code pendant plus de dix ans.
L'alerte a été prise très au sérieux. L'agence américaine de sécurité nationale, la NSA, a publié un avertissement public rare, conseillant de mettre les sites hors ligne s'ils ne pouvaient pas être mis à jour immédiatement. Les agences de cybersécurité d'Europe, du Royaume-Uni, d'Australie et du Japon ont donné le même conseil. Selon le patron de Cloudflare, des millions de tentatives d'exploitation ont été observées en quelques jours.
Le rôle de l'IA
La première faille a été signalée début août par des chercheurs d'une société de sécurité, Calif, avec l'aide d'un modèle d'OpenAI, dans le cadre d'un programme lancé par OpenAI pour repérer les failles des infrastructures essentielles. La société Wiz les a trouvées de son côté, de façon indépendante. Pendant deux mois, les spécialistes ont travaillé en secret avec l'équipe de PHP pour préparer les correctifs avant de tout rendre public.
Wiz parle de failles parmi les plus graves jamais découvertes dans PHP, et sans doute dans l'histoire du logiciel. Les chercheurs résument le basculement : avec les bons modèles et les bons outils, un seul chercheur a accompli en une semaine ce qui aurait demandé des mois à une équipe de haut niveau.
En 2014, une faille baptisée Heartbleed est découverte dans OpenSSL, un logiciel qui sécurise les connexions sur internet. Elle permettait de lire des morceaux de mémoire des serveurs, et donc potentiellement des mots de passe. Environ un demi-million de sites sécurisés étaient touchés. Elle avait été trouvée par des chercheurs humains, après être restée cachée deux ans. Php2shell rappelle la même leçon, avec une différence de taille : cette fois, c'est l'IA qui a permis de trouver ce que des années de relectures humaines avaient laissé passer.
Une arme à double tranchant
C'est la bonne nouvelle de cette histoire : l'IA a permis de trouver et de corriger ces failles avant qu'elles ne fassent des ravages. C'est exactement la promesse des programmes de cyberdéfense que lancent les laboratoires.
Mais c'est aussi l'inquiétude. Ce que l'IA permet de trouver pour défendre, elle permet aussi de le trouver pour attaquer. Et dès qu'un correctif est publié, les pirates l'analysent pour comprendre la faille et l'exploiter sur les sites qui n'ont pas encore été mis à jour. Comme nous l'expliquions avec les pirates qui ont pris de l'avance grâce à l'IA, la course entre attaquants et défenseurs s'accélère.
Vous avez un site web ? Nous détaillons en fin de journée les gestes à faire dès maintenant.
Ce qu'on retient
Pendant des décennies, les failles les plus profondes du web ont dormi dans du code que personne n'avait le temps de relire entièrement. L'IA vient de changer cela.
Elle va permettre de nettoyer des années de failles cachées. À condition que les défenseurs aillent plus vite que les attaquants, qui disposent désormais des mêmes outils.