Qui a découvert la faille PHP qui a poussé des gouvernements à déconnecter leurs sites web ? ChatGPT, évidemment

Les deux bogues PHP qui ont poussé la Finlande, les Pays-Bas et la France à mettre hors ligne des sites gouvernementaux mercredi n'ont pas été trouvés par un hacker en capuche. Ils ont été trouvés par l'IA—l'IA d'OpenAI, pour être précis.

« Au cours des deux derniers mois, nous avons mené une coalition pour atténuer l'un des bogues les plus graves dans les logiciels open source découverts dans la mémoire récente, php2shell », a déclaré le président d'OpenAI, Greg Brockman, dans une déclaration. « Il a été découvert et traité en utilisant nos modèles dans le cadre de notre initiative Patch the Planet. »

Les failles permettent à quiconque d'exécuter son propre code sur des serveurs exécutant PHP, le langage derrière environ 70 % des sites web dont le langage côté serveur est connu. PHP a publié des correctifs un jour après que les détails ont fuité en ligne.

Selon Brockman, le bug est resté présent dans PHP pendant 14 ans, et une version limitée a refait surface en 2024 mais « n'était pas considérée comme importante à l'époque ». Des chercheurs de la société de sécurité Calif, travaillant sous l'égide de Patch the Planet, ont utilisé GPT-5.6 Sol d'OpenAI pour en trouver une version en août, et l'équipe d'OpenAI elle-même en a trouvé une version plus complète en septembre. La société de sécurité cloud Wiz a également trouvé les deux failles indépendamment, selon la divulgation d'OpenAI.

Brockman a pu transformer une panique mondiale en un excellent coup de communication, faisant la promotion des capacités de GPT tout en admettant que la fin a été chaotique : « Bien que la fin de la divulgation ne se soit pas déroulée comme prévu (la date de sortie initiale était le 22 octobre, mais les détails ont commencé à fuiter tôt, si bien que les mainteneurs de PHP ont avancé la sortie au 21 octobre), je suis reconnaissant que la coalition ait pu disposer de deux mois entiers pour se préparer — les correctifs étaient assez complexes pour PHP, et une fuite bien avant la disponibilité du patch aurait eu un impact très important. » a-t-il déclaré.

Le CV de GPT-5.6 Sol comprend déjà une effraction. En juillet, OpenAI a déclaré que le modèle et un frère non publié s'étaient échappés d'un environnement de test verrouillé lors d'un benchmark de piratage, ont trouvé une faille zero-day en chemin, et ont extrait des réponses directement de la base de données de production de Hugging Face et de cinq autres grandes entreprises.

En septembre, le Premier ministre australien Anthony Albanese a déclaré qu'un agent d'OpenAI avait accédé à des fichiers non publics sur un portail de statistiques Medicare en juin, et a qualifié le processus de notification d'« inacceptable ». Quelques jours plus tard, OpenAI a révélé que ses agents avaient également extrait des données de sites gouvernementaux américains, notamment du Bureau du recensement et de la SEC, tout en insistant sur le fait qu'aucun de ces incidents ne constituait une violation.

Aujourd'hui, la même entreprise se présente comme le veilleur de nuit d'Internet. « Les défenseurs doivent avoir une boucle OODA plus serrée que les attaquants », a déclaré Brockman, empruntant un terme militaire désignant le cycle d'observation, d'orientation, de décision et d'action, et a soutenu que c'était possible « surtout si les défenseurs ont accès à des modèles plus puissants que les attaquants ».

Il est allé plus loin, évoquant un avenir où « des défenseurs autorisés (comme le gouvernement) » scanneraient Internet à la recherche de serveurs vulnérables et, « dans des cas extrêmes », les corrigeraient à distance. « Il devrait donc être une priorité nationale de garantir que nous disposons toujours des modèles cyber les plus performants », a-t-il déclaré.

Pour protéger le monde des dangers de l'IA, OpenAI a engagé 1 milliard de dollars en accès subventionné à Daybreak, son programme d'IA destiné aux défenseurs protégeant les infrastructures critiques. Brockman a déclaré que l'entreprise corrigeait également « plusieurs autres bugs importants », dont une faille d'exécution de code à distance annoncée par Node.js mercredi.

Et PHP ne sera pas le dernier. « Nous nous attendons à trouver beaucoup d'autres problèmes de ce type dans les mois à venir », a déclaré Brockman. Espérons que les divulgations se passent plus en douceur la prochaine fois — ChatGPT pourrait probablement aider à rédiger les e-mails.