En août, des équipes distinctes de Calif et de Wiz, propriété de Google, ont utilisé des outils d’IA avancés pour sonder PHP, le langage web qui ferait fonctionner environ 70 % des sites web. Elles ont découvert deux vulnérabilités critiques — baptisées plus tard PHP2Shell — qui étaient restées enfouies pendant plus d’une décennie. Le chercheur de Wiz Sagi Tzadik a d’abord soupçonné une erreur de l’IA : « Les modèles ont tendance à halluciner. » Mais l’exploit a fonctionné.¹

Cette découverte a offert une rare victoire défensive. Les chercheurs se sont coordonnés en privé avec la PHP Foundation et de grandes entreprises d’infrastructure afin de développer des correctifs avant de rendre l’information publique. OpenAI a qualifié ces failles de « l’un des problèmes de sécurité les plus importants de ces derniers temps », tout en avertissant que les mêmes capacités d’IA pouvaient rapidement aider les attaquants à créer des outils offensifs.²

Cet avantage a commencé à s’éroder en octobre. Amazon a déclaré avoir détecté une tentative d’exploitation le 17 octobre, quelques jours avant la divulgation prévue, tandis que des rapports et une vidéo de démonstration publiée accidentellement ont accéléré la course contre la montre. Une fois la nouvelle diffusée, Cloudflare a enregistré des milliers de tentatives avant la divulgation, puis des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures et, finalement, des millions.³

Mercredi, la PHP Foundation a publié des correctifs d’urgence. La NSA et d’autres agences ont conseillé aux organisations incapables de mettre à jour immédiatement de mettre leurs systèmes hors ligne. Des gouvernements, de la Finlande et des Pays-Bas au Japon, ont fait exactement cela ; le Royaume-Uni a indiqué que 32 services publics étaient temporairement indisponibles. Pour les utilisateurs, la perturbation était banale mais révélatrice : le développeur d’Helsinki Kalle Pusa n’a pas pu organiser l’enlèvement d’un vieux canapé, affirmant que l’infrastructure numérique « tissée dans le tissu de notre société » avait été déchirée.⁴

L’incident a accentué une fracture dans le monde de la cybersécurité. Les optimistes soutiennent que l’IA a révélé un désastre avant qu’il ne se produise pleinement ; les exploitants de systèmes vieillissants et non pris en charge affirment que la vitesse de l’exploitation assistée par l’IA a brisé l’ancien cycle consistant à appliquer des correctifs puis à planifier. Alors que les outils commerciaux affluaient, Aravind Srinivas a fait la promotion de crédits gratuits pour un service d’IA qui vérifie l’exposition des sites PHP et des configurations de déploiement.Aravind Srinivas (AravSrinivas)⁵

Pour l’instant, des correctifs sont disponibles et les compromissions confirmées sont restées limitées lors des premières évaluations. Mais PHP2Shell a clairement mis en évidence la nouvelle réalité : l’IA pourrait trouver en premier les failles les plus profondes d’Internet — sans garantir aux défenseurs suffisamment de temps pour les corriger.