Une découverte d’IA contraint administrations et entreprises à agir en urgence
Des failles critiques détectées grâce à l’intelligence artificielle dans PHP — un langage qui alimente une grande part des sites web mondiaux — ont poussé cette semaine plusieurs organisations à déployer des correctifs et, pour certains gouvernements, à retirer temporairement des sites par précaution, rapporte l’Agence France‑Presse.
Pour commenter cet épisode et ses conséquences, l’AFP a interrogé Michael Daniel, ancien coordinateur de la cybersécurité à la Maison‑Blanche sous Barack Obama et désormais à la tête de la Cyber Threat Alliance, un regroupement d’entreprises de cybersécurité.
« C’est le début d’une période assez chaotique, vu ce dont sont capables les modèles d’IA les plus avancés. » — Michael Daniel, Cyber Threat Alliance
Selon Daniel, la capacité des modèles d’intelligence artificielle à identifier rapidement des vulnérabilités inédites ou cachées crée le risque d’un « déluge » de failles découvertes puis potentiellement exploitées. Il reprend l’image utilisée par Rob Joyce, ancien dirigeant cybersécurité de la NSA, qualifiant l’épisode de « grand incendie purificateur des vieux logiciels ».
L’ex‑conseiller souligne que la situation met en lumière une dette technique largement ignorée : la tendance à conserver des logiciels longtemps en service sans intégrer le coût réel de leur maintien en sécurité. Ce coût, dit‑il, reste souvent « implicite » dans les comptes jusqu’à ce qu’un événement majeur force la mise à jour.
Préparation et mises à jour : les recommandations
Face à la perspective d’un afflux de vulnérabilités et de correctifs, Michael Daniel recommande aux organisations de se préparer à appliquer rapidement les mises à jour et d’organiser leurs moyens pour accepter les correctifs des éditeurs :
- mettre en place des procédures de gestion des mises à jour;
- allouer des ressources pour maintenir les logiciels à jour;
- collaborer avec des fournisseurs et des partenaires pour déployer les correctifs sans délai.
Daniel nuance toutefois le tableau en rappelant qu’historiquement seules 5 à 6 % des failles sont effectivement exploitées, et que rien n’indique pour l’instant que cette proportion augmente.
Son appel est clair : il faut intégrer le risque de vulnérabilités dans le coût réel du logiciel, et ne plus tolérer l’obsolescence sécuritaire par économie. Pour le Québec, où des institutions publiques et des entreprises dépendent largement de sites et d’applications web, l’alerte souligne l’importance d’un plan de veille et d’intervention pour limiter les interruptions de service et les risques de compromission.
