L’intelligence artificielle sert désormais à dénicher des failles de sécurité. Deux d’entre elles viennent d’être corrigées dans PHP, le langage qui fait tourner la grande majorité des sites web. Des tentatives d’attaque ont été repérées avant même l’annonce publique.
Depuis quelques mois, l’intelligence artificielle bouscule les méthodes des chercheurs en sécurité. Traquer un défaut dans des millions de lignes de code demandait autrefois des semaines de travail manuel. Désormais, des modèles de langage épluchent les programmes à la place des humains. Cette automatisation profite aux défenseurs comme aux attaquants. Côté correctifs, le rythme s’accélère, et une faille dans 7-Zip a déjà forcé les utilisateurs à installer une mise à jour en catastrophe.
Cette méthode vient de produire son résultat le plus spectaculaire. Plusieurs chercheurs ont lâché des systèmes d’IA sur le composant qui exécute les pages web. Entre de mauvaises mains, ces outils servent aussi à l’attaque, puisque les modèles d’OpenAI ont déjà mené seuls une cyberattaque contre une plateforme en ligne. Leur trouvaille concerne cette fois des millions de sites WordPress.
Le propriétaire du site n’y est pour rien, puisque le trou se cache dans PHP et non dans ses pages. Selon l’éditeur à l’origine de la découverte, ce langage motorise environ 70 % des sites de la planète. Blogs WordPress, boutiques Magento, forums Joomla, tous restent ouverts aux intrus avec un hébergement resté en version ancienne. Côté attaques, les serveurs pièges d’Amazon ont repéré une première tentative le 17 octobre, quatre jours avant l’annonce. Depuis, les correctifs sont sortis en versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La plupart des hébergeurs mutualisés les ont appliqués pour leurs abonnés. Une machine gérée seul réclame une vérification. Le danger reste entier sans elle.
