Cybersécurité : avec l'IA, "une période assez chaotique" commence, analyse un ex-conseiller d'Obama

Entreprises et administrations se sont précipitées cette semaine pour corriger deux failles critiques, découvertes grâce à l'intelligence artificielle (IA) dans PHP, un langage informatique qui fait tourner une grande partie des sites internet du monde entier.

Depuis des mois, les spécialistes de cybersécurité alertaient sur la capacité des meilleures IA à débusquer des failles inédites ou bien cachées. Cette fois, la menace s'est concrétisée à grande échelle : une bonne partie d'internet risquait d'être livrée aux pirates, contraignant des gouvernements à couper leurs sites par précaution, le temps d'appliquer les correctifs.

Pour évoquer les leçons à tirer de ce tournant, l'AFP a interrogé Michael Daniel, ancien coordinateur de la cybersécurité de la présidence de Barack Obama, désormais à la tête de la Cyber Threat Alliance, qui réunit des entreprises de cybersécurité.

Q : Que nous enseigne l'épisode PHP ?

R : C'est le début d'une période assez chaotique, vu ce dont sont capables les modèles d'IA les plus avancés. Je le dis depuis des années : si ces modèles trouvent des failles vite et à grande échelle, la conséquence logique, c'est un déluge de failles.

Rob Joyce [ancien directeur de la cybersécurité de l'Agence nationale de sécurité américaine, NSA] parle du "grand incendie purificateur des vieux logiciels". Moi, je dis que l'heure est venue de rembourser notre dette technique.

Tout pousse à garder un logiciel le plus longtemps possible, sans intégrer ces risques à ce que coûte le logiciel. Ce coût n'apparaît pas dans les comptes, mais il existe : il reste implicite jusqu'à ce qu'arrive un épisode comme celui-ci.

Q : Que doivent faire les organisations ?

R : Se préparer à mettre leurs logiciels à jour, à les y maintenir et à installer les correctifs dès leur sortie. Il va y avoir un déluge de failles, de correctifs et de parades, et toutes ne se valent pas. Beaucoup de petites structures, faute de moyens en interne, doivent s'organiser pour accepter le plus vite possible les mises à jour des éditeurs.

Q : Toutes les failles sont-elles dangereuses ?

R : Historiquement, seules 5 ou 6% des failles sont exploitées, et rien n'indique que cette proportion augmente. Mais quand des pirates exploitent une faille, ils vont désormais beaucoup plus vite. Il fallait un mois ou deux pour qu'une méthode d'attaque soit mise au point, puis encore un mois ou deux pour qu'elle arrive dans les boîtes à outils des pirates. Aujourd'hui, cela se compte en heures ou en jours.

Avant même Mythos [premier modèle d'IA d'Anthropic à avoir été réservé à des partenaires triés sur le volet pour raisons de sécurité] et d'autres, le système était déjà saturé : personne ne pouvait corriger toutes les failles de tous ses logiciels en permanence. Tout le monde faisait déjà le tri. Ce tri est seulement devenu bien plus difficile, et une erreur coûte plus cher.

Q : Et pour les grandes entreprises ?

R : Comme il fallait longtemps pour exploiter une faille, la plupart des entreprises ne toléraient aucun risque de défaillance : elles testaient la solidité d'un correctif sous toutes les coutures avant de le déployer. Elles n'ont plus ce luxe. Mieux vaut parfois risquer une panne, même à 1%, que de rester exposé à une attaque qui pourrait coûter 50 millions de dollars.

Q : Les outils d'IA sont-ils fiables pour trouver de vraies failles ?

R : Il y a beaucoup de bruit. La faille PHP est un excellent exemple de vraie faille, mais énormément d'autres sont de fausses alertes, ou concernent des logiciels jamais accessibles depuis internet. Nous devons améliorer notre tri.

Q : Où en serons-nous dans deux ou trois ans ?

R : Nous allons passer les logiciels au crible de ces outils avant même leur déploiement, ce qui devrait permettre de diffuser des logiciels plus robustes dès le départ. C'est le sens de l'incendie évoqué par Rob Joyce : les vieux logiciels partent en fumée et laissent place à des logiciels plus sûrs dès leur conception. Cela ne règle pas nos problèmes de cybersécurité, mais cela en change la nature.