Une annonce étonnante a été publiée plus tôt cette semaine : en raison de vulnérabilités récemment découvertes dans le langage de programmation open source PHP, les propriétaires de sites web devaient immédiatement corriger leurs sites — ou, s'ils ne pouvaient pas faire la mise à jour tout de suite, ils devaient déconnecter leurs sites par précaution.
Dans l'épisode de cette semaine du podcast Equity de TechCrunch, Kirsten Korosec, Sean O'Kane et moi-même avons discuté de l'importance de la PHP-ocalypse et de savoir si nous verrons davantage d'incidents de ce type à l'avenir.
Sean a qualifié cela de « véritable moment de prise de conscience » qui met en lumière comment, « quand on descend au niveau de l'os d'Internet », tout semble être « tenu ensemble par de la colle et des rêves ». Et avec un accès généralisé aux grands modèles de langage et aux agents d'IA, il ne fera que devenir plus facile de trouver ces vulnérabilités. (Cela dit, ces vulnérabilités spécifiques ont été trouvées par des chercheurs humains, pas par des modèles d'IA.)
Kirsten, de son côté, s'est demandé si nous allions assister au « prochain niveau de préparation à l'apocalypse […] parce qu'on peut voir comment des banques pourraient être exploitées, et [avec] les préoccupations concernant les données et la vie privée, on a simplement l'impression que c'est beaucoup plus gros que ce qu'on peut réparer en ce moment ».
Continuez votre lecture pour un aperçu de notre conversation, éditée pour des raisons de longueur et de clarté.
Sean : Internet se brise de nombreuses manières cette semaine, semble-t-il.
Je pense que la meilleure façon de voir les choses, pour ceux qui découvrent le sujet : combien de fois au cours des 10 dernières années avons-nous eu ces moments où quelque chose se brise ou manque de se briser, où une personne maintenant un minuscule dépôt repro comme passe-temps ou quoi arrive à remarquer que quelque chose de malveillant se passe et nous sauve de l'effondrement complet de l'infrastructure d'Internet ?
Multipliez maintenant cela par un milliard, quand les gens ont accès non seulement à des logiciels extrêmement avancés sous la forme de ces LLM que tout le monde utilise, mais aussi à la capacité de leur confier des tâches à accomplir eux-mêmes, en créant des agents d'IA entièrement dévoués à réaliser ces choses.
Nous voyons un équilibre entre deux choses qui se produit cette semaine. D'une part, un certain nombre de laboratoires et d'entreprises comme Google et OpenAI ont fait chercher à des personnes un tas de vulnérabilités, y compris celle de PHP. Et d'autre part, nous avons aussi un tas de personnes qui semblent se précipiter pour exploiter ces vulnérabilités afin de pirater des sites web. Ainsi, nous avons des gouvernements qui font fermer des sites web, nous avons des sites web très populaires qui sont brièvement hors ligne pour pouvoir corriger cette vulnérabilité.
C'est un véritable moment de prise de conscience, où nous allons découvrir le risque lié à avoir construit une si grande partie d'Internet sur des technologies open source comme PHP. Quand on descend vraiment au niveau de l'os d'Internet, tout est tenu ensemble par de la colle et des rêves.
Anthony : Il y a tellement de choses qui ont été frappantes dans cette affaire. L'une d'elles est le fait que — d'après ce que je comprends, du moins — ce n'est pas une vulnérabilité nouvelle. C'est une vulnérabilité qui existe dans PHP depuis des décennies.
Et PHP a été utilisé comme langage de programmation pour construire une si grande partie du web, donc cette vulnérabilité a été là pendant des décennies, mais personne ne la connaissait. Ce qui s'est passé, essentiellement, c'est que ces grandes entreprises d'IA — dont Wiz, aujourd'hui détenue par Google — ont pu trouver ces vulnérabilités en utilisant des LLM. [Comme indiqué ci-dessus, je me suis trompé : des chercheurs humains participant à l'initiative Hack the Planet d'OpenAI et de Wiz ont trouvé les vulnérabilités, bien qu'ils aient utilisé l'IA pour exploiter le bug.]
Je suppose qu'une partie du calcul est : nous devons corriger cela, parce que si nous pouvons trouver cette vulnérabilité en utilisant des LLM, d'autres le peuvent aussi. Mais la seule façon de diffuser le correctif est d'annoncer la vulnérabilité. Et cela crée donc cette situation très paniquée où [ils disent] : « Bon, cette vulnérabilité existait depuis des décennies. Vous devez corriger immédiatement, et si vous ne pouvez pas corriger immédiatement, fermez simplement votre site web. C'est une vulnérabilité aussi grave que cela. »
Kirsten : Je pense que ce qui est important, c'est que beaucoup de gens ne réalisent même pas que leurs sites web contiennent du PHP — qui est, comme tu l'as mentionné, ce langage de programmation open source vieux de plusieurs décennies.
Pour ceux qui ne le savent pas, Hypertext Preprocessor est le terme officiel, [c'est] vraiment l'ingrédient central derrière les systèmes de gestion de contenu utilisés dans WordPress, Drupal, quelque 70% des sites web. Nous parlons de dizaines de millions de sites web. Donc pour moi, c'est l'ampleur. Cela m'a aussi immédiatement fait penser à deux choses : premièrement, ce n'est que le début. Quels autres logiciels défectueux vieux de plusieurs décennies existent et vont être exploités ?
Et l'autre, c'était quelque chose dont 404 Media, qui avait une excellente analyse, mentionné, qui est la pourriture des liens. Parce que beaucoup de personnes, d'entreprises, de gouvernements, peut-être ce petit site web de quartier, ils ferment ces [sites web]. Et donc nous allons avoir énormément de pourriture de liens, ainsi que des sites web qui possédaient peut-être un petit morceau d'histoire et qui ne seront plus accessibles, au lieu de les corriger.
Sean : Anthony, je pense que tu as soulevé un très bon point. J'ai vu beaucoup de gens mécontents du déploiement de la divulgation ici, un peu de la posture belliqueuse qu'OpenAI semble avoir adoptée dans son article à ce sujet.
Aussi, il semble que quelques personnes se soient avancées avant l'embargo de cette divulgation, ce qui a déclenché une course parmi les hackers. Je pense que c'était le PDG de Cloudflare, Matthew Prince, [qui] a déjà publié un message indiquant avoir vu une escalade vers des millions de tentatives de piratage du PHP2Shell.
Le truc avec ces vulnérabilités, la manière dont cela fonctionne généralement en cybersécurité, c'est que si vous effectuez des tests de résistance sur le logiciel d'une entreprise, même s'il s'agit d'un logiciel fondamental qui aide à faire fonctionner beaucoup d'ordinateurs différents ou des parties d'Internet ou quoi que ce soit d'autre, vous pouvez aller voir cette entreprise et la divulguer, et cela reste en quelque sorte dans cette bulle. Mais quand on parle de quelque chose d'aussi profond et d'aussi fondamental que cela, on ne peut pas prévenir tout le monde discrètement.
Je veux dire, peut-être que vous le pourriez, si l'IA était assez avancée et que vous pouviez envoyer un milliard d'agents envoyer un e-mail à chaque personne qui a le contrôle d'une partie d'un site web. Nous regrettons désormais l'époque où nous avions des webmasters facilement identifiables, et cela aurait peut-être résolu le problème dans une certaine mesure. Mais il n'y a tout simplement pas de moyen facile de faire cela. Je pense que c'est le début de ce qui va être beaucoup de discussions et c'est clairement une nouvelle frontière en cybersécurité.
Kirsten : Le message sur les réseaux sociaux de Matthew Prince était pour moi vraiment révélateur, et plutôt effrayant. Aussi, je ne sais pas si vous avez vu cela, mais Amazon a également publié un article de blog. C'est une entreprise très bien capitalisée, donc elle dispose des outils et d'une équipe pour repérer ce qui se passe. Elle exploite, en gros, un réseau honeypot, ou leurre, et elle a effectivement observé des tentatives d'exploitation de cette vulnérabilité avant qu'elle n'ait été annoncée publiquement.
Pour moi, encore une fois, cela revient à ceci : Amazon dispose des outils, du capital et du savoir-faire pour combattre ces choses. Il y a tellement de sites web, et même potentiellement des sites web gouvernementaux, qui n'ont tout simplement pas ce niveau d'attention. Et donc pour moi, c'est vraiment la partie effrayante.
Et il existe [des] employés IA qui vont probablement porter cela au niveau supérieur du catastrophisme survivaliste, parce qu'on peut voir comment des banques pourraient être exploitées, et [avec] les préoccupations concernant les données et la vie privée, on a simplement l'impression que c'est beaucoup plus grand que ce que nous pouvons réparer actuellement. Donc je suis curieuse de voir deux choses. Premièrement, à quel point le comportement des gens devient extrême — mais aussi je me demande si de nouvelles startups vont apparaître à la suite de cela, ou si nous allons nous tourner vers certains des outils open source [proposés par des entreprises comme Nvidia] pour créer ces couches de sécurité.