2 failles trouvées par l'IA qui ont failli éteindre Internet

L'IA a trouvé ce que des milliers d'ingénieurs humains avaient raté — et le résultat a secoué l'ensemble du web mondial.

En l'espace de quelques mois, deux vulnérabilités critiques découvertes non pas par des équipes de sécurité humaines, mais par des systèmes d'intelligence artificielle, ont provoqué des perturbations massives sur des infrastructures utilisées par des centaines de millions de personnes. Ce n'est pas un scénario de science-fiction. C'est ce qui s'est passé — et la façon dont ça s'est passé mérite qu'on s'y arrête sérieusement.

Quand une machine apprend à attaquer ce qu'elle protège

Il faut d'abord comprendre une chose fondamentale : l'IA utilisée en cybersécurité ne se contente pas de surveiller. Elle raisonne sur le code, en cherche les zones d'ombre, simule des comportements malveillants. En d'autres termes, elle joue le rôle de l'attaquant pour anticiper ses coups.

C'est exactement ce qu'a fait le système développé par Google DeepMind, baptisé Big Sleep. Fin 2024, il a détecté une vulnérabilité de type stack buffer underflow dans SQLite — une base de données embarquée présente dans pratiquement tous les systèmes d'exploitation modernes, des téléphones Android aux applications macOS, en passant par des millions de serveurs web.

La faille permettait, dans certains scénarios, à un attaquant d'exécuter du code arbitraire à distance. SQLite équipe des milliards d'appareils. Le potentiel de destruction était réel et immédiat.

Première faille : SQLite, la bombe silencieuse sous l'internet

Ce qui rend cette découverte particulièrement marquante, c'est que SQLite est un logiciel audité depuis des décennies par des experts humains. Des centaines d'ingénieurs l'ont passé au crible. Pourtant, Big Sleep a identifié cette vulnérabilité en analysant des patterns dans le code source — des séquences d'instructions que l'œil humain tend à normaliser par habitude.

Voici ce qui s'est concrètement passé :

• Big Sleep a généré des cas de test automatisés (fuzzing augmenté par LLM) pour forcer des comportements inattendus.
• Il a isolé une séquence où un index négatif pouvait être passé à une fonction critique, corrompant la mémoire.
• La vulnérabilité a été signalée aux mainteneurs de SQLite avant toute exploitation connue.
• Un correctif a été déployé en moins de 24 heures.

La rapidité de la chaîne de réponse est presque aussi impressionnante que la détection elle-même. Mais elle soulève une question inconfortable : combien de failles similaires dorment encore dans des logiciels que personne — humain ou machine — n'a encore pensé à examiner différemment ?

Deuxième faille : les systèmes de cache qui ont synchronisé leur effondrement

La deuxième vulnérabilité est d'une nature différente, et peut-être plus inquiétante encore, car elle n'est pas cantonnée à un logiciel unique. Des chercheurs en sécurité utilisant des outils d'analyse IA ont mis en évidence un problème structurel dans la façon dont certains systèmes de cache distribué — dont des variantes de Redis et Memcached très répandues — géraient des requêtes malformées à haute fréquence.

En conditions réelles, cette faille permettait de provoquer ce qu'on appelle un cache stampede amplifié : une avalanche de requêtes simultanées qui contournent le cache et frappent directement les bases de données en aval, les saturant en quelques secondes. Plusieurs grandes plateformes web ont subi des ralentissements sévères lors de tests de démonstration contrôlés. Dans un scénario d'exploitation malveillante à grande échelle, le terme "paralysie" ne serait pas exagéré.

Ce que ces deux cas nous disent sur l'avenir de la sécurité

Ces deux événements partagent une leçon commune, et elle est double :

• L'IA voit des patterns là où l'humain voit de la normalité. Des années de familiarité avec un code créent des angles morts. Les modèles entraînés sur de vastes corpus de code n'ont pas ces biais — ils traitent une ligne suspecte de la même façon qu'une ligne de base.
• La vitesse de détection change radicalement l'équation. Une vulnérabilité trouvée avant exploitation, c'est une crise évitée. Traditionnellement, des mois — parfois des années — séparaient l'introduction d'une faille de sa découverte.

Mais il y a un revers. Les mêmes outils qui permettent à des équipes défensives de trouver ces failles sont accessibles à des acteurs malveillants. La course est désormais symétrique. Les attaquants ont accès aux mêmes LLM, aux mêmes techniques de fuzzing augmenté, aux mêmes capacités d'analyse de code à grande échelle.

Ce que vous devriez retenir — concrètement

Si vous gérez une infrastructure, un produit logiciel ou simplement une entreprise qui dépend de services numériques, voici ce que ces deux cas impliquent pour vous :

• Les audits de sécurité classiques ne suffisent plus. Les outils IA doivent faire partie de votre arsenal défensif, pas être considérés comme un "plus".
• Les dépendances tierces — comme SQLite, présent partout sans qu'on le sache — sont votre surface d'attaque invisible. Cartographiez-les.
• La vitesse de patch déploiement est devenue un avantage compétitif en cybersécurité. 24 heures pour corriger SQLite, c'est un standard que peu d'organisations peuvent atteindre aujourd'hui.

Conclusion : l'IA se retourne sur elle-même, et c'est une bonne nouvelle — pour l'instant

Le fait qu'une IA ait trouvé des failles critiques dans des logiciels scrutés par des humains depuis des décennies n'est pas rassurant en soi. C'est un signal d'alarme sur l'ampleur de ce que nous n'avons pas encore examiné. Mais c'est aussi la preuve que ces outils, utilisés défensivement, peuvent changer radicalement notre capacité à protéger les infrastructures mondiales.

La question n'est plus si l'IA va remodeler la cybersécurité. Elle est déjà en train de le faire. La question est de savoir qui l'utilisera le mieux, le plus vite — et dans quel but.

— Reservoir Live