Le 21 octobre, OpenAI a dévoilé une annonce exposant au grand jour l'intégralité du processus de correction de vulnérabilités PHP découvertes par l'IA et traitées en coordination par des institutions et des entreprises de plusieurs pays. Cette opération, portée par le programme « Patch the Planet » (réparer toute la planète) lancé par OpenAI, a aligné sur une même ligne de front les mainteneurs de logiciels, les chercheurs en sécurité, les fournisseurs de services cloud et les agences gouvernementales de cybersécurité, avec un objectif unique : réduire les risques pesant sur l'Internet mondial avant que les vulnérabilités ne soient repérées par des attaquants.
Ces deux vulnérabilités critiques de PHP ont été activement « reniflées » par l'IA. La société de sécurité Calif, à l'aide de GPT-5.6Sol, a d'abord identifié une faille de sécurité critique ; la société de sécurité Wiz a quant à elle découvert et signalé de manière indépendante les deux vulnérabilités concernées. PHP est le langage open source qui soutient d'innombrables sites web et applications en ligne : les requêtes web, les opérations sur les bases de données et la logique métier en coulisses reposent tous sur lui ; dès qu'une brèche apparaît dans ses fondations, les sites web, les services cloud et les systèmes d'entreprise peuvent tous être entraînés dans la tourmente. Les deux vulnérabilités ont toutes deux été classées de niveau critique, permettant à un attaquant d'exécuter du code à distance sans authentification. L'équipe de développement de PHP a publié le 21 octobre des versions corrigées et presse les utilisateurs de mettre à jour immédiatement.
OpenAI appelle la précieuse période de répit de cet incident le « Defender's Window » (fenêtre des défenseurs) — c'est-à-dire le décalage temporel dont disposent les défenseurs pour découvrir le problème avant les attaquants, élaborer un correctif et déployer des protections. C'est précisément avant que les attaquants ne passent à l'action que ces vulnérabilités ont été découvertes avec l'aide de l'IA, offrant aux mainteneurs un temps précieux pour se préparer à la défense. Mais OpenAI rappelle également qu'à mesure que les capacités des modèles ne cessent de grimper, l'écart de temps entre la découverte d'une vulnérabilité et l'écriture d'outils d'attaque se réduit, et que le secteur doit passer d'une gestion des vulnérabilités autrefois fragmentée à des mécanismes systémiques capables de coordonner rapidement mainteneurs, fournisseurs, entreprises et gouvernements.
À cette fin, OpenAI a mis en place un cadre de réponse coordonnée destiné aux vulnérabilités critiques, en cinq étapes. Première étape : les mainteneurs, les chercheurs et les partenaires technologiques clés vérifient ensemble la vulnérabilité, en évaluent l'impact, développent et testent un correctif, et doivent en outre réaliser des tests contradictoires avec des modèles avancés pour confirmer que le correctif bloque réellement les attaques et remonter la piste vers d'autres variantes potentiellement exploitables ; deuxième étape : laisser aux organisations affectées une fenêtre de préparation suffisante, en leur fournissant les informations techniques par phases selon leurs responsabilités respectives en matière de protection, et en contenants le risque de fuite grâce à des accords de partage d'informations et à des mécanismes de coordination dédiés ; troisième étape : faire équipe avec les agences gouvernementales de cybersécurité pour garantir que les opérateurs d'infrastructures critiques reçoivent les alertes en temps utile — cette fois, OpenAI a contacté le groupe de travail supérieur de la Maison-Blanche sur le renseignement, le bureau du directeur national de la cybersécurité et l'Agence de sécurité des infrastructures et de la cybersécurité (CISA), en coordination avec des partenaires internationaux ; quatrième étape : une fois le correctif et le plan de divulgation stabilisés, élargir le périmètre afin que davantage de distributeurs, de fournisseurs de services cloud et d'hébergeurs préparent les mises à jour à l'avance, et pour les organisations utilisant d'anciennes versions incapables d'installer les derniers correctifs, évaluer aussi la faisabilité d'un rétroportage des correctifs ou de protections temporaires ; cinquième étape : après la publication des correctifs, fournir au public des instructions de correction claires et suivre en continu le déploiement, pour aider les organisations qui n'ont pas encore mis à jour à résoudre leurs problèmes concrets.
Pour aider davantage d'organisations à agir, OpenAI fournira un outil de vérification des versions de PHP et prévoit de lancer une compétence Codex associée, aidant les exploitants de systèmes à identifier les versions de PHP à risque et à déterminer un plan de mise à jour en s'appuyant sur les recommandations officielles et des fabricants ; le projet « Patch the Planet », quant à lui, compile les informations de divulgation des vulnérabilités et les guides de protection pour aider les administrateurs à trouver les correctifs de référence, à vérifier les mesures d'atténuation temporaires et à confirmer que les mises à jour sont réellement appliquées. En matière de ressources, OpenAI s'engage à offrir, via le programme « Daybreak for Frontline Defenders », un accès subventionné au service Daybreak d'une valeur de 1 milliard de dollars, en ciblant en priorité les organisations ayant des missions critiques de protection mais des ressources de sécurité limitées, et apporte un soutien par abonnement aux mainteneurs open source via Codex for OSS, en sponsorisant directement des projets tels que la Fondation Rust.
L'idée sous-jacente, plus profonde, est de faire en sorte que l'IA réduise les défauts dès la phase de conception des logiciels — en aidant les ingénieurs à choisir des réglages par défaut plus sûrs, à appeler correctement les bibliothèques de sécurité et à repérer tôt les schémas de code dangereux. Une direction claire consiste à migrer les composants critiques vers des langages à sécurité mémoire, éliminant à la source toute une catégorie de vulnérabilités liées aux erreurs de gestion de la mémoire (comme l'accès à de la mémoire déjà libérée ou les dépassements de tampon) ; l'IA peut assister la migration, mais le comportement, la compatibilité et la sécurité après migration doivent toujours être validés par des humains. La vérification formelle utilise des mathématiques pour vérifier qu'un programme satisfait des propriétés de sécurité sous certaines hypothèses, tandis que le sandboxing enferme les logiciels traitant des fichiers, images ou médias non fiables dans un environnement contrôlé, limitant leur propagation même en cas de compromission.
OpenAI reconnaît également que l'usage élargi de l'IA dans le domaine de la cybersécurité exige des mesures anti-abus plus abouties — elle ajuste actuellement les classificateurs de sécurité de Daybreak pour réduire le risque que l'outil soit détourné à des fins malveillantes, mais des restrictions trop strictes risquent aussi de gêner la recherche légitime : l'équilibre est essentiel. Elle avance en outre une idée plus controversée : les systèmes de l'Internet pourraient progressivement se doter d'un mécanisme d'analyse continue des vulnérabilités, notifiant les propriétaires de sites web à la découverte de vulnérabilités connues, voire corrigeant directement les systèmes avec autorisation — mais cela touche à la propriété, aux permissions, aux erreurs de manipulation et aux limites de responsabilité, et exige encore des garanties techniques et de gouvernance rigoureuses.
Cet incident de vulnérabilité PHP constitue un exercice grandeur nature par OpenAI du mécanisme de divulgation coordonnée des vulnérabilités à l'ère de l'IA au moyen de « Patch the Planet ». Alors que les modèles avancés sont déjà capables d'accélérer la recherche de vulnérabilités pour le compte des humains, ce qui protégera réellement l'Internet dépend en fin de compte de la capacité des mainteneurs, des fournisseurs de services cloud, des entreprises et des agences gouvernementales à accomplir vérification, correction et déploiement mondial à un rythme plus rapide — la clé de la compétition future en cybersécurité ne sera peut-être plus de savoir qui trouve la vulnérabilité en premier, mais qui vérifie plus vite, corrige plus vite et dote à temps les systèmes touchés du monde entier d'une armure.