IT之家 – Selon une nouvelle du 25 octobre, sept experts en cybersécurité interviewés par Reuters estiment que, à mesure que les technologies de l’IA révèlent des vulnérabilités cachées dans les logiciels, des incidents similaires à la interruption continue des services sur des sites gouvernementaux dans plusieurs pays du monde cette semaine sont presque certains de se reproduire.
VulnCheck, une société de renseignement sur les menaces en ligne du Massachusetts, aux États-Unis, a annoncé que des recherches à venir montrent que l’IA a entraîné une augmentation du nombre de vulnérabilités logicielles découvertes, avec un doublement du nombre de vulnérabilités identifiées au cours de l’année dernière par rapport à l’année précédente.
Le PDG de la société d’infrastructures numériques Cloudflare, Matthew Prince, a déclaré : « Je sais qu’il y a encore de nombreuses vulnérabilités graves dans certains autres logiciels clés… Je pense que, au cours des deux prochaines années, nous ressentirons chaque semaine que le ciel est sur le point de s’effondrer. »
Il prévoit que, à mesure que l’IA découvrira progressivement les risques de sécurité cachés dans les infrastructures Internet à long terme, l’industrie de la cybersécurité sera extrêmement active au cours des prochains mois.
Selon IT Home, cette semaine, les sites gouvernementaux en Europe et dans d’autres régions ont été interrompus suite à la découverte de vulnérabilités de sécurité dans le langage de programmation PHP, largement utilisé sur Internet. Les administrateurs des sites ont immédiatement corrigé les logiciels pour empêcher les hackers d’exploiter massivement ces vulnérabilités. Certains administrateurs, craignant de ne pas avoir le temps de corriger les problèmes, ont simplement fermé les sites avant de les réactiver une fois la sécurité assurée.
Patrick Garitti, chercheur chez VulnCheck, a indiqué que les correctifs urgents liés aux vulnérabilités PHP ont rendu le secteur de la sécurité informatique, déjà tendu, encore plus occupé. Cette semaine, les technologies alternatives à PHP telles que Node.js et le logiciel de streaming Plex ont également été révélées comme ayant des vulnérabilités, ainsi que les passerelles d’IA LiteLLM et la plateforme de développement Railway sont impliquées dans des incidents de piratage de sécurité.
De plus, l’organisme d’émission de certificats numériques indien eMudhra a été découvert pour utiliser des clés de chiffrement très peu sécurisées, ce qui pourrait mettre en danger les utilisateurs partout sur Internet. « Si quatre ou cinq incidents de ce type se produisent en une semaine, plus tard, il y en aura sans doute davantage. Tant que le système est directement connecté à Internet, il sera possible de devoir traiter les problèmes de sécurité de manière plus fréquente et urgente. »
Le volume de la base de données des logiciels modernes est énorme, et les erreurs de programme se cachent souvent dans des endroits inattendus. Certains défauts sont suffisants pour servir de point d’entrée pour les attaques informatiques.
Autrefois, découvrir des vulnérabilités de programme nécessitait une compétence technique particulière, tandis que transformer ces vulnérabilités en outils d’attaque capables de pénétrer le système requérait généralement des techniciens expérimentés qui passaient plusieurs semaines voire plusieurs mois. Le long processus de développement offrait aux défenseurs une opportunité de respirer, leur permettant de corriger les vulnérabilités pendant ce délai et de lancer progressivement des mises à jour logicielles.
L’IA a rompu l’écart de temps initial. Les modèles d’IA peuvent vérifier le code logiciel 24 heures sur 24, identifier les vulnérabilités successivement, et développer en quelques heures seulement un programme d’attaque utilisant ces vulnérabilités.
Shaun Frei, CTO de la société de sécurité numérique RunSafe Security en Virginie, États-Unis, a souligné que, au cours des derniers mois, les modèles d’IA ont démontré par leurs performances réelles que l’industrie de la sécurité numérique sera inévitablement transformée. « Le changement fondamental, et sans aucun doute, c’est le temps. Non seulement le temps nécessaire pour découvrir des vulnérabilités a changé, mais aussi la vitesse à laquelle les attaquants transforment ces vulnérabilités en moyens d’attaque a également changé. »
Les experts interviewés par l’Agence de presse Reuters sont unanimes : le temps alloué à la partie défensive pour corriger les failles diminue de plus en plus. Cependant, ils divergent quant à savoir si l’IA entraînera une prolifération des attaques informatiques.
Le principal développeur de l’outil de transfert de fichiers curl, Daniel Stenberg, estime que les vulnérabilités découvertes par les modèles d’IA sont souvent particulières, et que les attaquants malveillants ont du mal à les exploiter.
Le chef de solution senior chez la société de sécurité informatique ArmorCode, Rami Rahman, a également indiqué : « L’augmentation du nombre de vulnérabilités dévoilées ne signifie pas que les attaques réussies augmenteront nécessairement. »
Le bug PHP qui a suscité l’attention mondiale cette semaine offre quelques preuves préliminaires. La société de renseignement en menaces Hunt.io indique que, tout comme Amazon et Cloudflare, elle a également constaté des tentatives fréquentes d’attaque via le bug. Cependant, Esteban Borges, directeur de recherche chez Hunt.io, souligne que, à 14 heures jeudi, heure du East Coast des États-Unis, selon les résultats de la traçabilité, les cybercriminels n’ont pas encore développéde outils efficaces permettant d’utiliser réellement le bug.
Le Prince de Cloudflare a « vu » des signes sporadiques d’invasions dans certains systèmes, indiquant que ces incidents étaient liés aux vulnérabilités PHP. Selon lui, bien que la découverte continue de nombreuses vulnérabilités par l’IA puisse avoir un impact sur le secteur de la sécurité informatique, à long terme, les avantages l’emportent sur les inconvénients.
Il a comparé l’ensemble du processus à la suppression des monstres dans une maison hantée : se battre frontalement contre les monstres est certes effrayant, mais laisser les monstres se cacher derrière une porte fermée reste encore plus grave. « En réalité, nous pourrons éliminer de nombreuses menaces à la sécurité. »