Les signes avant-coureurs s’accumulaient depuis que les systèmes d’IA de pointe avaient fait craindre une accélération de la découverte des vulnérabilités. Mais les failles de PHP — découvertes par des chercheurs humains dans le cadre d’un effort assisté par l’IA, plutôt que par des modèles agissant seuls — ont concrétisé cette perspective. PHP est à la base d’environ 70 % des sites web, ce qui signifie qu’une faiblesse vieille de plusieurs décennies avait une portée énorme une fois révélée.¹

Mercredi, la chorégraphie habituelle de la divulgation coordonnée a commencé à se désagréger. Les chercheurs et les fournisseurs avaient préparé des correctifs et des notifications confidentielles, mais des informations sur les bogues ont circulé avant la publication prévue. La PHP Foundation a déclaré que Chainguard avait « unilatéralement rompu l’embargo », poussant gouvernements et entreprises à mettre des sites hors ligne plutôt que de risquer une intrusion.²

La ruée a donné corps à la menace liée à l’IA sans, jusqu’à présent, produire son dénouement le plus catastrophique. Cloudflare a vu les tentatives d’attaque passer de milliers avant la divulgation à des millions après, tandis qu’Amazon a indiqué que l’exploitation était généralisée. Pourtant, les autorités allemandes n’ont signalé aucune exploitation réussie de la faille, et les chercheurs ont constaté que les bogues étaient plus difficiles à transformer en armes que ne le laissait penser le volume des analyses.²

Cela a suscité des comparaisons avec le bogue de l’an 2000 : un avertissement inquiétant qui a mobilisé les défenseurs à temps. Les experts en sécurité mettent en garde contre l’idée de confondre cette échappée étroite avec la sécurité. « Nous n’avons pas besoin d’attendre encore deux ans avant que cela ne se reproduise », a déclaré Samantha Lewis, responsable du renseignement sur les menaces chez Armadin. « Cela pourrait arriver dans trois heures. »³

Le désaccord plus profond porte sur ce que cet épisode révèle de la capacité du Web à réagir. Une vision y voit un système maintenu par de la « débrouille et des rêves », où les petits opérateurs et les organismes publics n’ont pas les ressources d’Amazon ou de Cloudflare.¹ Une autre y voit la preuve que la discipline de base — application de correctifs, authentification multifacteur, confinement et plans de reprise — fonctionne toujours. Mais Tomer Schwartz de Wiz soutient que l’avenir ne peut pas dépendre d’administrateurs individuels appliquant manuellement des correctifs : l’IA peut aider à trouver et tester rapidement des vulnérabilités, tandis que « l’application manuelle de correctifs ne passera pas à l’échelle ». ⁴