L'intelligence artificielle (IA) commence à imposer un nouveau rythme dans le monde de la cybersécurité. Un modèle d'IA développé par Anthropic est capable de détecter les vulnérabilités logicielles plus rapidement que les équipes d'ingénieurs ne peuvent développer de correctifs. Ce phénomène représente un défi pour les géants de la tech, susceptible de transformer radicalement les méthodes, et surtout le rythme, du développement et de la sécurité des logiciels. Selon les informations révélées par ProPublica, le projet interne de Microsoft appelé Glasswing avait un objectif principal : utiliser une intelligence artificielle avancée pour trouver autant de bugs que possible avant que des outils similaires ne tombent entre les mains de cybercriminels et d’agences de renseignement étrangères. Le modèle expérimental Claude Mythos Preview d'Anthropic a été utilisé pour cette tâche. Les résultats se sont avérés bien plus spectaculaires que prévu. Lors d'une réunion interne, la direction de Microsoft a admis que le système détectait de nouvelles vulnérabilités plus rapidement que les développeurs ne pouvaient les corriger. L'enregistrement de la réunion révèle que les ingénieurs discutaient ouvertement de la course contre la montre. Ils craignaient le moment où des capacités similaires deviendraient largement accessibles aux cybercriminels.

L’ampleur du problème est impressionnante. Rien qu’en avril, le modèle Mythos a détecté environ 90 vulnérabilités critiques et 141 erreurs jugées importantes dans SharePoint. Ces chiffres ont continué d’augmenter durant la première quinzaine de mai. Microsoft a entamé un processus intensif de suppression des vulnérabilités les plus dangereuses, mais le nombre de signalements s'est avéré si élevé que certaines équipes ont dû consacrer plusieurs mois exclusivement à la préparation des correctifs. D'après les documents, l'entreprise a adopté un modèle de priorisation classique. Les bugs critiques et importants sont corrigés en premier, suivis de ceux jugés modérés. Les vulnérabilités les moins graves restent en fin de liste. « Avant, c'était comme boire au tuyau d'arrosage, maintenant c'est comme boire à la lance à incendie », a déclaré Ben Edwards, data scientist spécialisé dans la gestion des vulnérabilités logicielles. « Ils avaient peut-être des équipes capables de gérer le tuyau d'arrosage. Mais savoir s'ils peuvent gérer la lance à incendie, c'est une autre histoire. »

Des experts mettent en lumière un problème qui n'était pas considéré comme prioritaire auparavant. Les modèles d'IA modernes n'analysent pas les vulnérabilités individuellement ; ils peuvent combiner plusieurs failles et créer des scénarios d'attaque efficaces. Cela signifie que plusieurs vulnérabilités auparavant considérées comme insignifiantes peuvent se conjuguer pour permettre la prise de contrôle du système ou l'accès à des données confidentielles. Vinh Nguyen, ancien directeur de l'intelligence artificielle à la NSA, a déclaré que les modèles traditionnels de classification des menaces pourraient ne pas être en mesure de suivre le rythme des capacités des systèmes d'IA modernes. Il estime que les entreprises devront revoir leur approche de l'évaluation des risques et s'attaquer plus rapidement aux vulnérabilités auparavant jugées moins importantes. L'augmentation du nombre de failles de sécurité se reflète dans les mises à jour publiées par Microsoft. Le Patch Tuesday de juin a corrigé plus de 200 vulnérabilités. Quelques semaines plus tard, l'entreprise a publié un ensemble de correctifs record couvrant plus de 600 vulnérabilités. Il s'agissait du plus grand nombre de correctifs publiés simultanément dans l'histoire de Microsoft. Les experts en sécurité notent que la grande majorité des vulnérabilités corrigées étaient classées comme critiques ou importantes. Dans de nombreux cas, des vulnérabilités de moindre priorité restent non résolues.

Des documents internes de Microsoft indiquent que l'entreprise anticipait une période où les modèles d'IA accessibles au public atteindraient un niveau similaire à celui de Claude Mythos Preview. Les ingénieurs considéraient alors que la découverte de nouvelles vulnérabilités deviendrait considérablement plus facile pour tous les acteurs du marché, y compris les groupes cybercriminels. De plus en plus d'experts estiment que le développement de l'intelligence artificielle transforme en profondeur l'économie de la cybersécurité. Jusqu'à présent, la détection d'une vulnérabilité critique exigeait une vaste expérience et d'innombrables heures d'analyse. Aujourd'hui, une grande partie de ce travail est effectuée par des modèles d'IA, qui ne se fatiguent pas et peuvent analyser simultanément d'énormes quantités de code.