Selon les experts en cybersécurité, les failles détectées par l'IA pourraient bientôt entraîner de nouvelles perturbations

information fournie par Reuters •23/10/2026 à 12:01

((Traduction automatisée par Reuters à l'aide de l'apprentissage automatique et de l'IA générative, veuillez vous référer à l'avertissement suivant: https://bit.ly/rtrsauto))

* Le directeur général de Cloudflare affirme qu’« un ensemble de vulnérabilités graves supplémentaires » fait actuellement l’objet de correctifs

* Un expert en cybersécurité a déclaré qu'à la suite des révélations concernant PHP, « il y aura beaucoup plus d'exercices d'alerte »

* Les experts sont divisés sur la question de savoir si la découverte de nouvelles failles par l’IA se traduira par une augmentation du nombre de piratages réussis

par Raphael Satter et AJ Vicens

Les progrès de l’intelligence artificielle ont mis au jour un flot de nouvelles vulnérabilités logicielles qui ne manqueront pas de provoquer davantage de perturbations, à l’image des pannes qui ont touché les sites web gouvernementaux du monde entier cette semaine, selon sept professionnels de la cybersécurité interrogés par Reuters.

L’IA a contribué à faire doubler le nombre de failles numériques découvertes d’une année sur l’autre, selon une étude qui doit être publiée dans les prochains jours par VulnCheck, une société de veille sur les menaces basée dans le Massachusetts.

Matthew Prince, directeur général de la société d’infrastructure numérique Cloudflare NET.N , a déclaré à Reuters qu’il avait connaissance d’« une multitude de vulnérabilités graves supplémentaires présentes dans d’autres logiciels critiques » et a prédit des mois chargés à venir, l’IA ayant mis au jour des faiblesses longtemps cachées dans le tissu même d’Internet.

« Je pense que nous allons vivre quelques années où, chaque semaine, nous aurons l’impression que le ciel nous tombe sur la tête », a déclaré M. Prince lors d’une interview jeudi.

Les pannes qui ont touché des sites gouvernementaux en Europe et ailleurs à partir de mercredi sont survenues après la découverte de failles dans PHP, un langage de programmation historique qui alimente une grande partie d’Internet. Les opérateurs se sont empressés de corriger leurs logiciels par crainte d’une exploitation massive et, certains estimant qu’ils ne pourraient pas appliquer les correctifs avant que les pirates ne passent à l’action, une partie d’entre eux a tout simplement mis leurs sites hors ligne jusqu’à ce qu’ils puissent les sécuriser.

Patrick Garrity, chercheur chez VulnCheck, a déclaré que cette ruée vers la correction de PHP s’inscrivait dans une semaine déjà chargée en matière de cybersécurité. Cette semaine a également été marquée par la divulgation de vulnérabilités dans Node.js (une alternative à PHP ) et dans le programme de streaming Plex, par des incidents de sécurité liés à la passerelle d’IA LiteLLM et à la plateforme de développement Railway, ainsi que par la révélation que l’autorité de certification indienne eMudhra avait utilisé une clé cryptographique extrêmement fragile , ce qui a potentiellement mis en danger les utilisateurs sur l’ensemble d’Internet.

« Si nous n’avons vu que quatre ou cinq incidents de ce type cette semaine, je m’attends à ce que nous en voyions beaucoup plus », a déclaré M. Garrity. « Je pense qu’il y aura beaucoup plus d’exercices d’alerte pour tout ce qui est exposé à Internet. »

DES DÉLAIS DE PLUS EN PLUS COURTS

Les bases de code qui font fonctionner les programmes modernes sont tentaculaires et les erreurs, ou « bugs », qui ouvrent des voies d’exploitation potentielles, surgissent souvent dans des endroits inattendus.

Auparavant, la détection des bugs exigeait un niveau de compétence de base, et l’exploitation de ces failles pour créer des outils de piratage – appelés « exploits » – pouvait nécessiter des semaines, voire des mois de travail de la part d’un professionnel expérimenté.

Cela aurait, par le passé, donné aux défenseurs un peu de répit pour corriger les bogues et déployer progressivement les mises à jour logicielles.

L’IA a bel et bien balayé ces hypothèses . Les modèles peuvent détecter les bugs les uns après les autres en soumettant les bases de code à une analyse 24 heures sur 24, et sont capables de mettre au point des exploits en quelques heures. Shane Fry, directeur technique de RunSafe Security, une entreprise basée en Virginie, a déclaré que les performances démontrées par les modèles d’IA au cours des derniers mois avaient définitivement dissipé tout doute quant à leur capacité à transformer le secteur.

« Ce qui change fondamentalement, et sans aucun doute, c’est le délai non seulement pour détecter les vulnérabilités, mais aussi la rapidité avec laquelle les attaquants peuvent les exploiter », a déclaré M. Fry.

DES MONSTRES EFFRAYANTS

Si tous les experts interrogés par Reuters s’accordaient à dire que les délais dont disposaient les défenseurs se raccourcissaient, leurs avis divergeaient quant à savoir si l’IA conduirait à une « foire d’empoigne » entre pirates.

Daniel Stenberg, développeur en chef de l’outil de transfert de fichiers curl, a fait valoir que les vulnérabilités détectées par les modèles d’IA avaient tendance à être des bogues inhabituels, difficiles à exploiter par des acteurs malveillants. Ramy Rahman, ingénieur principal en solutions chez ArmorCode, une entreprise spécialisée dans la cybersécurité, a déclaré: « Un plus grand nombre de vulnérabilités divulguées ne signifie pas automatiquement davantage d’attaques réussies. »

La vulnérabilité PHP qui a suscité l’inquiétude mondiale cette semaine en apportait une preuve provisoire. La société de veille sur les menaces Hunt.io a indiqué qu’à l’instar d’Amazon AMZN.O et de Cloudflare, elle avait constaté des tentatives agressives visant à exploiter ce bug. Mais le directeur de recherche de la société, Esteban Borges, a précisé que, jeudi à 14 h, heure de l’Est (18 h GMT), les cybercriminels qu’il suivait semblaient avoir échoué à mettre au point un outil fonctionnel permettant d’exploiter cette faille.

M. Prince, de Cloudflare, a déclaré à Reuters qu’il avait constaté des cas isolés de compromissions liées à cette vulnérabilité PHP.

Le déluge de découvertes générées par l’IA pourrait bien ébranler le secteur, mais serait finalement positif dans l’ensemble, a-t-il déclaré, comparant cela à l’élimination des monstres dans une maison hantée.

La confrontation peut faire peur, a-t-il ajouté, mais laisser les monstres se cacher tranquillement derrière des portes closes est bien pire.

« La réalité, c’est que nous allons réussir à éliminer une grande partie de ces problèmes », a-t-il déclaré.