Des modèles d'IA d'OpenAI et de Google ont trouvé une vulnérabilité PHP critique qui pourrait affecter des millions de sites web dans le monde entier.
GPT-5.6 Sol a déniché la faille dans le cadre de l'initiative Patch-the-Planet, qu'OpenAI qualifie de l'un des « problèmes de sécurité les plus marquants de mémoire récente ». Le modèle a repéré les vulnérabilités avant les attaquants, donnant aux développeurs et aux éditeurs de sécurité un délai pour réagir. Un outil sur GitHub permet désormais aux opérateurs de serveurs de vérifier si leur version de PHP est concernée.
La société de sécurité Wiz a trouvé les mêmes failles de manière indépendante, en utilisant sa propre plateforme Wiz Atlas aux côtés de Gemini 4 Argon de Google et de GPT-5.6 Sol. Selon Wiz, Gemini 4 Argon s'est révélé particulièrement utile pour trouver la vulnérabilité, développer des exploits, construire une détection d'attaques et valider le correctif.
L'IA abaisse la barrière pour les attaquants
Un exploit qui fonctionnait contre une installation PHP spécifique exigeait auparavant un effort considérable pour être adapté à d'autres versions et configurations, explique Wiz. Les grands modèles de langage suppriment cette barrière car ils peuvent ajuster automatiquement les exploits entre différentes versions de PHP, configurations et dispositions mémoire. « Cela abaisse considérablement la barrière pour généraliser des attaques à différents déploiements », écrit la société, ajoutant que « des vulnérabilités qui semblaient autrefois impossibles à exploiter deviennent des cibles viables ».Ad
Le correctif a été coordonné sur deux mois en cinq phases, impliquant les développeurs de PHP, Wiz, Cloudflare et des agences américaines dont la CISA et la Maison-Blanche. OpenAI propose ce processus comme un cadre répétable pour de futures découvertes de sécurité pilotées par l'IA.
L'entreprise s'attend à ce que les découvertes de l'ampleur de la faille PHP2Shell « augmentent fortement dans les mois à venir », mais avertit que les mêmes capacités d'IA qui trouvent des vulnérabilités peuvent aussi aider les attaquants. Cette découverte alimente un débat de plusieurs mois sur les capacités offensives et défensives des modèles d'IA en matière de cybersécurité.
Source : OpenAI | Wiz.io