Vous avez détesté les failles critiques de PHP ? Le chef de la sécurité d’Anthropic prévient que ça va être pire

Jason Clinton, RSSI adjoint d’Anthropic, a prévenu que la crise ouverte par les failles critiques de PHP allait encore empirer, pendant environ 18 mois. Il annonçait déjà ce « tsunami » de vulnérabilités trouvées par l’IA au mois d’août.

La semaine a été éprouvante pour les équipes de sécurité informatique, et cela ne risque pas de s’arranger à court terme. Anthropic, l’entreprise à qui l’on doit l’IA Claude, prévient que le plus dur arrive. C’est la prédiction faite par Jason Clinton, responsable adjoint de la sécurité des systèmes d’information, sur X ce jeudi 22 octobre.

Le numéro deux de la sécurité informatique de la boîte écrit que les choses ont beau avoir mal tourné ces quatre derniers jours, elles vont « empirer avant de s’améliorer » à brève échéance. Dans les grandes lignes, l’homme anticipe une période pénible pendant un an et demi, dans laquelle il faudra s’accrocher.

« La situation va encore s’aggraver considérablement avant de s’améliorer »

Jason Clinton

« Même si la situation s’est déjà fortement détériorée ces derniers jours, elle va encore s’aggraver considérablement avant de s’améliorer. Responsables de la sécurité, ne gâchez jamais une crise : adressez-vous sans tarder à vos conseils d’administration et demandez-leur de l’aide. Pas pour l’IA, mais pour l’élémentaire », a-t-il écrit.

On peut le comprendre, y compris en observant l’actualité récente. Dans l’affaire des réfrigérateurs déréglés, il apparaît, selon une analyse faite par l’agence française de la sécurité des systèmes d’information, que le piratage a été surtout permis à cause de « défauts de sécurisation élémentaires ». En clair, les attaquants ont profité de failles basiques.

Or, le développement de l’intelligence artificielle va agir comme un puissant accélérateur, pour dénicher des vulnérabilités basiques comme pour trouver des brèches jamais identifiées. Ces derniers mois, les laboratoires d’IA ont eux-mêmes mis en avant ces capacités. En avril, Anthropic a ainsi refusé de rendre public son modèle Claude Mythos, en invoquant justement sa capacité à trouver des failles logicielles.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

On l’a vu en partie ces quatre derniers jours, avec l’incident PHP2Shell, le surnom donné aux deux failles critiques dans PHP, le langage de script qui fait tourner WordPress et, selon Wiz, environ 70 % des sites web. Elles ont finalement été corrigées en urgence ce mercredi 21 octobre. Elles avaient été repérées avec l’aide de l’IA.

La société de cybersécurité Wiz, rachetée par Google, raconte dans son billet technique que le code vulnérable dormait dans PHP depuis plus de dix ans. Le transformer en attaque fonctionnelle demandait une chaîne d’étapes « à la limite de ce que des chercheurs humains pouvaient réaliser », et les modèles Gemini 4 Argon de Google et GPT-5.6 Sol d’OpenAI, associés à l’outil maison de Wiz, Atlas, ont fait sauter ce verrou.

OpenAI en parle « comme l’une des vulnérabilités les plus lourdes de conséquences de ces dernières années », trouvée selon elle avant les attaquants, ce qui aurait laissé du temps aux défenseurs. De son côté, Raluca Ada Popa, responsable de la sécurité de Gemini chez Google DeepMind, met en avant le rôle de Gemini 4 Argon.

La paternité et la chronologie de la découverte de ces failles ont fait l’objet d’une polémique. Wiz n’a pas été la première à les trouver. Ryan Austin, chercheur de la société de sécurité californienne Calif, a mis le doigt sur les premières failles dès le 1er août, avec l’aide de GPT-5.6 Sol, et les a signalées à PHP le 11 août. Wiz dit avoir fait sa propre découverte le 19 août, pour un signalement le 24. Il s’agit donc bien de deux découvertes indépendantes, d’où ces revendications concurrentes.

Pourquoi 18 mois ?

Mais là n’est peut-être pas l’essentiel.

Jason Clinton n’a pas sorti ce calendrier au hasard. En juin, dans des propos repris par The Transcript, il estimait qu’il restait sept à dix mois avant que les modèles à poids ouverts (dont les paramètres sont publiés, et que n’importe qui peut faire tourner chez soi) atteignent ce niveau en cybersécurité.

Il prédisait alors « la période la plus difficile de [leurs] carrières » des spécialistes du secteur, pendant environ 18 mois. Et au-delà ? Interrogé sur X, il répond « vulnzero », c’est-à-dire zéro vulnérabilité. À terme, ces facultés tiendraient dans de petits modèles bon marché, qui aideraient les développeurs à repérer et corriger les failles avant la mise en ligne du code.

Impossible, évidemment, de ne pas relever que ce discours arrange aussi Anthropic, dont le modèle économique repose sur la vente d’accès à des modèles de plus en plus performants, et réserve depuis avril son système le plus puissant, Claude Mythos, à quelques entreprises triées sur le volet. L’enjeu cyber draine aussi des enjeux économiques.

L’inquiétude touche aussi des gens en dehors de la sécurité. John Milinovich, qui développe des fonctions d’IA chez Figma et qui d’ordinaire se considère comme très optimiste sur la technologie, a publié le 22 octobre un long texte intitulé « Black October », vu environ un million de fois sur X. Son optimisme, écrit-il, a pris un sérieux coup en l’espace de dix-huit heures.

Il y affirme que la requête à l’origine de la faille PHP était littéralement « trouve des vulnérabilités dans PHP ». Cette présentation, sans doute un peu réductrice, est à nuancer. Calif, cité par The Hacker News, explique que bien connaître l’histoire du code a compté, et que les modèles actuels ne partent pas tout seuls de techniques obscures vieilles de vingt ans.

Dans tous les cas de figure, la consigne invitant à mettre à jour ses systèmes et ses logiciels dès que les correctifs sont disponibles va apparaître encore plus cruciale à court terme. Appliquer ces correctifs sans attendre ne demande pas de tout changer en interne. C’est justement l’une de ces bases que Jason Clinton invite à financer en priorité.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !