« La nouvelle norme » : l’IA a semé le chaos sur Internet cette semaine, et « ce n’est que le début »

Les failles PHP2Shell se cachaient dans le code de PHP depuis une vingtaine d’années. Il aura fallu attendre l’arrivée de l’intelligence artificielle générative pour les débusquer. Ce n’est pas uniquement une bonne nouvelle pour le monde de la cybersécurité. L’IA donne aussi un coup de pouce aux pirates qui cherchent à exploiter la vulnérabilité pour orchestrer des cyberattaques.

Les failles baptisées PHP2Shell, qui menacent une immense partie d’Internet, dormaient dans le code de PHP depuis 2004. Une fois repérées par des chercheurs armés d’outils IA, les brèches ont été corrigées d’urgence. Rapidement, de nombreux sites se sont retrouvés inaccessibles, le temps d’implémenter les correctifs nécessaires. En France, les portails de plusieurs préfectures, le site des impôts, d’Orange et même Météo France ont été temporairement déconnectés. Selon Palo Alto Networks, près de 22 millions de plateformes dans le monde sont exposées.

À lire aussi : Failles PHP – pourquoi c’est un vrai casse-tête pour l’Internet mondial

Plus vingt ans dans l’angle mort des chercheurs

PHP fait partie des langages de programmation les plus utilisés au monde. Il fait en effet tourner les coulisses d’environ 70 % des sites web. En d’autres termes, les deux vulnérabilités critiques traînaient sous le nez de tout le monde, y compris des chercheurs les plus expérimentés, depuis très longtemps. Plus de 20 ans, c’est une véritable éternité dans le monde d’Internet.

« Ces failles se trouvaient dans du code qui remonte à 2004 », confirme à 01net Samuel Hassine, PDG et cofondateur de l’entreprise de cybersécurité Filigran.

Personne n’a rien remarqué d’anormal car les failles étaient particulièrement bien dissimulées dans le code de PHP. Les deux brèches ont été débusquées par les chercheurs de la société Wiz, une filiale de Google à l’aide de l’intelligence artificielle. Les experts se sont appuyés sur deux IA de haut vol, Gemini de Google et GPT-5.6 Sol d’OpenAI. « L’équipe de Wiz a montré pourquoi l’IA de pointe change la donne pour la cyberdéfense », se félicite Raluca Ada Popa, responsable de la sécurité de Gemini chez Google DeepMind. Chez OpenAI, les chercheurs évoquent carrément « l’un des problèmes de sécurité les plus importants ».

« L’un des bugs à l’origine de ces vulnérabilités remonterait à 2004 et n’aurait été identifié que grâce à une analyse assistée par intelligence artificielle. Cela montre comment les nouvelles technologies peuvent mettre au jour des failles restées indétectées pendant plusieurs décennies », nous explique Romain Meunier, Solutions Architect chez Integrity360.

C’est loin d’être la première fois que l’IA permet de débusquer des failles antédiluviennes dans du code informatique. Ces derniers mois, Claude Mythos, l’IA d’Anthropic réservée aux spécialistes de la cybersécurité, a multiplié les coups d’éclat. En juin, elle a découvert « Squidbleed », une faille tapie depuis 1997 dans Squid, un serveur proxy utilisé dans des entreprises, des écoles, et des avions de ligne. Quelques semaines plus tôt, la même IA avait exhumé une vulnérabilité vieille de 27 ans dans OpenBSD, un système pourtant réputé pour sa sécurité, ainsi qu’un bug de 16 ans dans FFmpeg, une bibliothèque vidéo présente dans des millions d’appareils. Il s’agit à chaque fois de failles endormies depuis des décennies, invisibles aux yeux des chercheurs comme aux logiciels de détection classiques.

L’IA, une arme à double tranchant

Pour le monde de la cybersécurité, l’IA n’est pas qu’une alliée. En effet, les outils qui ont permis de dénicher la faille peuvent aussi servir à l’exploiter. Comme le souligne Samuel Hassine, « la rapidité joue dans les deux sens ». Plus l’IA facilite et accélère la découverte de failles de sécurité, plus elle accélère la création de tactiques d’exploitation. Ce qui demandait autrefois des mois de travail à des chercheurs chevronnés ne prend désormais que quelques jours. Les cybercriminels profitent évidemment de la même révolution.

« L’IA a trouvé des failles restées inaperçues pendant plus de dix ans, et les mêmes outils permettent aux attaquants de développer des exploits fonctionnels en quelques heures », déclare le patron de Filigran.

Les pirates écrivent désormais leur code d’attaque « en quelques minutes », à peine une faille rendue publique. C’est pourquoi on enregistre une explosion d’attaques dans les quelques heures suivant la publication d’une vulnérabilité. Selon Palo Alto Networks, des attaques ont d’ailleurs déjà été repérées à travers l’Internet mondial. C’est « la nouvelle norme qui s’installe à l’ère de l’IA de pointe », estiment les chercheurs. Interrogé par RTL, Guillaume Vassault-Houliere, PDG de l’entreprise de cybersécurité YesWeHack, estime que l’IA va faire émerger ce genre de crise de plus en plus souvent. Les découvertes de failles risquent de se multiplier, et les pirates seront systématiquement en embuscade pour tenter de les exploiter avant qu’un correctif soit déployé. « Ce n’est que le début », résume Guillaume Vassault-Houliere.