Tech • IA • Robotique • Jeu
Ça arrive... l'IA vient de déclencher le plus grand cauchemar d'Internet de l'histoire
5/10INTRO
Une vague de 27 incidents cyber majeurs en 48 heures a exposé des faiblesses dans des logiciels centraux d’Internet, la sécurité des navigateurs, les autorités de certification et les chaînes d’approvisionnement de l’IA, tandis que gouvernements et entreprises se dépêchaient de mettre des services hors ligne avant que des attaquants ne puissent exploiter des failles nouvellement révélées.
POINTS CLÉS
La pile Internet touchée à plusieurs niveaux
Des failles critiques sont apparues presque simultanément dans Linux, NGINX, GitLab, Node.js, Go, Chrome et PHP, créant ce que des chercheurs en sécurité ont décrit comme l’une des fenêtres de correctifs les plus dangereuses depuis des années. Cette concentration importait, car ces outils occupent différentes couches de la pile Internet, des hôtes cloud et bases de données aux serveurs web, navigateurs et environnements d’exécution applicatifs.
Les failles de Linux, NGINX et GitLab ont accru les risques de prise de contrôle
Un bug de Linux divulgué le 15 octobre permettait une évasion depuis une machine virtuelle vers un accès root au niveau de l’hôte, exposant potentiellement des locataires cloud voisins. NGINX a corrigé cinq failles le 14 octobre, dont trois notées 9.2, certaines permettant corruption mémoire, exécution de code ou contournement des vérifications d’authentification mutuelle. GitLab a corrigé en octobre deux failles de sévérité 10.0 pouvant permettre à des attaquants de prendre le contrôle de serveurs auto-hébergés sans se connecter.
Les correctifs de Chrome ont montré le rôle croissant de l’IA dans la découverte de vulnérabilités
Chrome 156 est sorti le 20 octobre avec 353 correctifs de sécurité, bien au-dessus des 21 et 26 observés dans des versions comparables un an plus tôt. Six bugs ont été classés critiques, dont un problème à 9.6 pouvant permettre à une page web malveillante de s’échapper du bac à sable de Chrome. Cinq de ces six bugs critiques ont été attribués à des chercheurs d’entreprises d’IA, soulignant comment l’audit assisté par machine accélère la découverte de failles.
Les failles de PHP ont déclenché des arrêts d’urgence en Europe et en Asie
Le problème le plus perturbateur concernait PHP, qui alimente 69.3% des sites web avec un backend identifiable, soit plus de 33 millions de sites. Deux bugs, surnommés PHP2 Shell, ont été notés 9.2 et pouvaient permettre à une seule requête de donner à un attaquant un accès shell, donc le contrôle complet du serveur sans mot de passe. Des gouvernements en Finlande, en France et aux Pays-Bas ont mis des services hors ligne, tandis que des perturbations ont aussi touché l’Allemagne, la Belgique, Wikipedia, Nintendo, Pixiv, Niconico, Sushiro et les services de Final Fantasy XIV en Chine.
Les anciennes versions de PHP font face à une exposition durable
Les bugs remonteraient à plus d’une décennie, jusqu’à PHP 5.4.4, et ont été comparés par des mainteneurs à Heartbleed pour leur impact systémique. Des correctifs n’ont été publiés que pour PHP 8.2 à 8.5, laissant de nombreux déploiements plus anciens exposés: environ 27% des sites PHP utilisent encore la version 7, et 7.7% la version 5. Des agences de sécurité aux États-Unis, en Grande-Bretagne et dans l’UE ont conseillé aux opérateurs de mettre hors ligne les sites non corrigés.
Le chaos de la divulgation a accru le risque d’exploitation
Le processus de publication de PHP a déraillé lorsque des détails ont fuité prématurément sur des forums de piratage, qu’une preuve de concept aurait visé des cibles réelles et qu’un distributeur à accès anticipé a livré des correctifs en avance. Cloudflare a indiqué avoir observé des attaques six heures avant le correctif officiel. L’épisode a mis en lumière un dilemme récurrent: dès que des détails partiels émergent, défenseurs et attaquants courent contre la même horloge.
La défaillance d’une autorité de certification a exposé une faiblesse du modèle de confiance
L’autorité de certification indienne eMudhra a été découverte comme ayant émis des certificats intermédiaires protégés par des clés catastrophiquement faibles. Au lieu d’avoir environ 2^384 valeurs possibles, certaines clés n’avaient en pratique que 256 possibilités, et l’une d’elles valait 4. Des éditeurs de navigateurs, dont Chrome, Firefox, Apple et Microsoft, ont commencé à ne plus faire confiance à ces certificats, tandis que des chercheurs ont averti que des appareils anciens et systèmes embarqués pourraient continuer à les accepter pendant des années.
L’infrastructure d’IA et les clés API sont devenues des cibles prioritaires
Le paquet LiteLLM, téléchargé environ 23 millions de fois par semaine, aurait été compromis via des identifiants de publication volés, créant un risque de chaîne d’approvisionnement pour les applications stockant des clés API. Open Code a révélé une violation touchant 1.4% des utilisateurs de console, certains signalant des factures inattendues allant de quelques centaines de dollars à plus de 1,700 $. La plateforme d’hébergement Railway a indiqué qu’un intrus avait déchiffré certains mots de passe et clés API stockés, puis suspendu les déploiements pendant la rotation de ses systèmes.
L’usage autonome et criminel de l’IA n’est plus théorique
Les incidents de sécurité impliquaient de plus en plus l’IA agissant comme assistante ou opératrice. CrowdStrike a relié des intrusions dans plusieurs institutions financières sud-coréennes à Artex, un agent open source de piratage par IA, et a indiqué que l’activité d’attaquants assistés par IA avait augmenté de 89% en 2025. Le temps moyen entre la compromission initiale et le mouvement latéral est tombé à 29 minutes, avec un cas le plus rapide enregistré en 27 secondes.
L’IA renforce aussi la défense grâce à la vérification formelle
Les usages défensifs ont progressé tout aussi vite. Un effort conjoint d’Anthropic et de Theorem Labs a appliqué une analyse fondée sur des preuves plutôt qu’un fuzzing aléatoire, en vérifiant 239 points d’entrée sur 123 projets et en trouvant des bugs que des billions de tests conventionnels n’avaient pas détectés. Dans un cas, le système aurait trouvé en une semaine l’équivalent d’un an de vulnérabilités dans un lecteur PDF largement utilisé, suggérant que l’IA pourrait transformer l’assurance logicielle autant que l’offensive logicielle.
CONCLUSION
Le danger immédiat provenait de failles exploitables dans des logiciels fondamentaux, mais le changement plus large est que l’IA compresse le temps nécessaire pour trouver, militariser et vérifier les bugs. Cela place gouvernements, éditeurs de navigateurs et opérateurs logiciels dans une course pour corriger plus vite que les attaquants humains comme pilotés par machine.
Poser une question