Début août, le chercheur de Wiz Sagi Tzadik a demandé à un agent d’IA de vérifier si une faiblesse qu’il avait trouvée dans WordPress pouvait aussi s’appliquer à Drupal. L’agent a échoué dans cette tâche — mais a mis au jour une faille PHP qui semblait être passée inaperçue pendant plus d’une décennie. Tzadik a d’abord douté du résultat : « Les modèles ont tendance à halluciner. » L’exploit a néanmoins fonctionné.¹

Une équipe distincte chez Calif, travaillant avec OpenAI, a découvert une vulnérabilité connexe. Ces découvertes ont donné aux défenseurs une avance inhabituelle. Wiz, Calif et les responsables de PHP ont formé un groupe informel d’environ 15 chercheurs, partageant leurs conclusions et élaborant un correctif pendant des semaines dans ce que le directeur technique de Wiz, Tomer Schwartz, a qualifié de processus « fondé uniquement sur la confiance ».¹ Leur optimisme reposait sur une réalité implacable : l’IA peut réduire des mois de recherche en sécurité à quelques heures ou quelques jours, mais elle peut aussi offrir aux attaquants la même accélération.

Ce danger est devenu immédiat en octobre. PHP est à la base d’environ 70 % des sites web, et les failles pouvaient permettre à un attaquant non authentifié d’exécuter des commandes sur des serveurs vulnérables. Le problème se situait dans le cœur de PHP, et non dans le code d’un site individuel — ce qui signifie qu’une page de petite entreprise non corrigée pouvait présenter la même exposition sous-jacente qu’une grande institution.²

Puis le plan de divulgation coordonnée s’est effiloché. Des détails ont commencé à circuler avant la publication prévue ; Calif a accidentellement publié une vidéo de démonstration, et la PHP Foundation a accusé Chainguard d’avoir rompu l’embargo. Des gouvernements et des entreprises ont mis des sites hors ligne plutôt que de risquer une intrusion. Cloudflare a enregistré des milliers de tentatives d’exploitation avant l’annonce, puis des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures, et finalement des millions.³

Les autorités ont souligné qu’il s’agissait de tentatives, et non de la preuve d’une compromission massive. L’agence allemande de cybersécurité a déclaré n’avoir constaté aucune exploitation réussie, tandis que la recommandation de l’agence néerlandaise était sans détour : « corriger, corriger et corriger ». ³ Pour les utilisateurs ordinaires, visiter un site vulnérable n’infecte pas en soi un appareil ; la charge immédiate incombe aux opérateurs et aux hébergeurs.⁴

L’épisode PHP n’est pas isolé. Le président d’OpenAI, Greg Brockman, a par ailleurs révélé des travaux sur une faille d’exécution de code à distance dans la bibliothèque de compression Brotli, largement déployée, la présentant comme un exemple de la difficulté de coordonner les correctifs en aval.Greg Brockman (gdb)⁵ La compétition qui se dessine est claire : l’IA peut aider à trouver en premier les plus anciennes fissures d’Internet, mais les défenseurs doivent les colmater avant que la divulgation ne transforme la découverte en carte pour les attaquants.