PHP : l'IA accélère l'exploitation des failles
Original : The PHP Meltdown Shows How AI Makes Bugs More Exploitable
Pourquoi c'est important
L'IA redéfinit le seuil d'exploitabilité des vulnérabilités existantes.
Des chercheurs ont utilisé l'IA pour exploiter des failles PHP connues depuis des années. En quelques heures après leur divulgation, Cloudflare a enregistré des millions de tentatives d'exploitation automatisées.
Les vulnérabilités baptisées PHP2Shell ont été découvertes début août par la société Calif, en partie grâce aux outils d'IA d'OpenAI dans le cadre du programme « Patch the Planet ». Certains problèmes sous-jacents étaient pourtant identifiés dès 2024, mais jugés trop complexes à exploiter — par des humains. Des chercheurs d'OpenAI et de Wiz (propriété de Google) ont ensuite retrouvé indépendamment ces mêmes failles via des modèles d'IA. « La vulnérabilité était connue de l'équipe PHP depuis des années, mais comme elle ne pouvait pas être exploitée par un attaquant humain, elle n'a pas été corrigée », explique Sagi Tzadik, chercheur chez Wiz. Résultat : des millions de tentatives d'exploitation ont déferlé dès la publication des correctifs. Pour l'heure, la PHP Foundation n'a signalé aucune compromission réussie. Mais l'épisode illustre une tendance plus large : l'IA ne crée pas de nouvelles failles, elle transforme des bugs historiquement inexploitables en menaces immédiates. Microsoft a d'ailleurs publié ce mois-ci un record de 1 453 correctifs de sécurité. Jake Williams, ancien hacker de la NSA, tempère : « Il n'y a qu'une quantité limitée de ce fruit mûr à portée de main. »