Début août, le chercheur de Wiz Sagi Tzadik a demandé à un agent d’IA de vérifier si une faiblesse de WordPress pouvait également affecter Drupal. Il a échoué dans cette tâche — mais a mis au jour une faille distincte dans PHP, le langage vieux de plusieurs décennies qui sous-tend les deux plateformes et une grande partie du web. Tzadik a d’abord soupçonné un faux positif : « Les modèles ont tendance à halluciner. » L’exploit a néanmoins fonctionné, révélant une faiblesse passée inaperçue pendant plus d’une décennie.¹

Cette découverte a illustré l’intérêt de l’IA comme outil défensif. Des chercheurs de Calif, travaillant avec OpenAI, avaient indépendamment identifié un problème connexe ; les groupes ont signalé leurs conclusions et rejoint les mainteneurs de PHP dans un effort d’environ 15 personnes pour retracer les bogues et préparer un correctif. L’IA peut analyser du code à une échelle que les équipes humaines ne peuvent égaler, mais cette même capacité peut aider les attaquants à identifier les systèmes exposés et à automatiser l’exploitation — rendant indispensable une divulgation rapide et coordonnée.²

Cette course s’est accélérée lorsque des détails ont commencé à circuler en ligne deux jours avant la publication prévue du correctif. Les mainteneurs de PHP ont avancé la publication, mais une vidéo de Calif montrant par inadvertance l’exploit a contribué à déclencher des activités d’imitation. Cloudflare a observé des milliers de tentatives avant la divulgation, puis des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures et, finalement, des millions.¹

Mercredi et jeudi, le correctif était publié — mais les arrêts préventifs avaient commencé. La Grande-Bretagne a mis hors ligne 32 services gouvernementaux ; des sites publics en Finlande, aux Pays-Bas, en Allemagne et au Japon ont été perturbés, tandis que des entreprises et petites sociétés se sont empressées de se mettre à jour. Pour les institutions disposant de grandes équipes informatiques, un propriétaire d’entreprise a qualifié l’interruption de « ralentissement mineur » ; pour les petites entreprises, les pannes ont duré jusqu’à sept heures. Un opérateur informatique à Nairobi craignait que des systèmes publics lents à réagir puissent encore être attaqués.³

La réponse fait désormais l’objet d’une commercialisation autant que d’une coordination : Aravind Srinivas a déclaré que les utilisateurs pourraient recevoir des crédits pour vérifier si des sites PHP et des configurations de déploiement sont exposés, illustrant la rapidité avec laquelle l’analyse assistée par IA s’intègre à la défense courante.Aravind Srinivas (AravSrinivas)⁴

La leçon n’est pas que l’IA a résolu le problème. Elle l’a détecté suffisamment tôt pour que les défenseurs puissent agir — et a révélé à quelle vitesse cette avance peut s’évaporer.