Le PDG de Cloudflare affirme que l'IA va paralyser Internet chaque semaine pendant deux ans.

Le PDG de Cloudflare, Matthew Prince, a déclaré à Reuters qu'il fallait s'attendre à quelques années de crises de sécurité hebdomadaires, quelques jours après que des recherches assistées par l'IA sur PHP aient mis GOG hors service.

Les failles à l'origine de la panique résident dans PHP lui-même, et non dans les sites web construits par-dessus. PHP est utilisé par 69,3% des sites web dont le langage côté serveur est connu. Prince affirme que son entreprise a déjà connaissance de failles plus importantes dans d'autres logiciels critiques. Ce qui a changé cette semaine, c'est la rapidité avec laquelle n'importe qui peut exploiter une faille pour mener une attaque.

Wiz Research a publié ses conclusions le 21 octobre sous le nom de PHP2Shell, regroupées en deux CVE (CyberVery Assets) dont la gravité atteint CVSS 9.2. Toutes les versions de PHP de la dernière décennie sont affectées par au moins l'une d'entre elles, depuis la version 5.4. Ces failles concernent la sécurité de la mémoire dans la gestion des erreurs fatales par le moteur et permettent à un attaquant non authentifié de lire la mémoire du processus ou d'exécuter du code sur le serveur. La mémoire en question peut contenir des mots de passe, des jetons d'authentification, des clés API et des certificats associés à d'autres requêtes. L'équipe de recherche a démontré l'exécution de code à distance avant authentification sur les conteneurs WordPress, Drupal et Joomla actuels, et a souligné que le choix de ces logiciels était arbitraire, puisqu'une simple page « Hello World » sur une version PHP affectée est exposée de la même manière. L'équipe PHP a publié le correctif le jour même.

Le code vulnérable était resté inexploité pendant plus de dix ans. En créer un impliquait d'enchaîner plusieurs failles et de s'adapter à la manière dont chaque cible organise sa mémoire ; un travail long et spécialisé qui, auparavant, cantonnait les failles à l'état théorique.

« Les modèles Frontier ont été essentiels pour rendre ce processus réalisable, nous permettant de développer et d'adapter des exploits fonctionnels à de multiples applications en quelques heures. »

— Wiz Research

Wiz a cité les modèles utilisés, notamment Gemini 4 Argon pour sa contribution à la découverte, au développement de l'exploit et à la validation du correctif. Raluca Ada Popa de Google DeepMind a présenté ce résultat comme une avancée majeure de l'IA, comblant une faille que les défenseurs toléraient depuis une décennie. Ce même mécanisme fonctionne pour tous les acteurs de l'autre camp. Prince a expliqué à Reuters que la découverte de vulnérabilités était autrefois limitée par le nombre d'experts prêts à y consacrer des mois, et que cette limite n'existe plus.

« Je pense que nous allons traverser quelques années où chaque semaine nous aurons l'impression que le ciel nous tombe sur la tête. »

— Matthew Prince

Cloudflare est présent devant 86% des sites web utilisant un proxy inverse, soit 27,9% du web. Parmi ces sites figurent Epicgames.com, Spotify, Shopify et X. L'entreprise est également engagée depuis six mois dans une restructuration axée sur l'IA. En mai, elle a annoncé la suppression de 1 100 postes par courriel, soit environ 20% de ses effectifs. La note de Prince décrit cette restructuration comme une transition vers l'ère des agents IA plutôt qu'une réduction des coûts. L'utilisation interne de l'IA au sein de l'entreprise a augmenté de plus de 600% au cours des trois mois précédents. L'homme qui prédit deux ans de bouleversements liés à l'IA dirige une entreprise qui a misé sur cette même technologie pour l'ensemble de ses effectifs.

GOG a annoncé à 8h00 heure du Pacifique que sa boutique et GOG Galaxy seraient indisponibles pendant quelques heures pour maintenance, sans en préciser la raison, et est revenu environ quatre heures plus tard avec une phrase sur la seule chose qu'une panne ne peut pas toucher.

« Votre bibliothèque sans DRM est exactement là où vous l'avez laissée. »

— GOG

Les serveurs de connexion de Final Fantasy XIV ont été hors service simultanément, et le gouvernement finlandais a fermé certains sites web par précaution. Pour que cette décision soit justifiée, aucun de ces services n'avait besoin d'utiliser de code vulnérable ; corriger un langage utilisé par les deux tiers du web est plus rapide lorsque les serveurs sont hors service.

La répartition des versions m'importe plus que la date de publication du correctif. PHP 8 couvre 65,4% des sites PHP, ce qui laisse 26,8% sous PHP 7 et 7,7% sous PHP 5. Or, ce sont précisément ces hébergeurs qui ont le moins de chances d'avoir des visiteurs lisant un article de blog sur les vulnérabilités un mercredi. Un correctif publié le 21 octobre ne protège que les serveurs qui l'intègrent ; les autres restent vulnérables tant que personne n'y touche.

Le débat autour de l'IA qui agite l'industrie du jeu vidéo depuis un mois concerne une tout autre machine. Masahiro Sakurai a déclaré cette semaine que les outils génératifs permettraient à Steam de dépasser les 19 000 jeux disponibles cette année (contre 275 en 2010), et que la plupart des nouveaux titres seraient des copies non rentables de systèmes déjà utilisés par d'autres jeux. Son inquiétude ? Une plateforme illisible pour tous. La divulgation concernant PHP met en lumière cette même capacité appliquée à l'infrastructure : le volume de production n'est pas le problème, mais la disponibilité d'une chaîne de production unique et fonctionnelle.

Epic Games a annoncé son AI MegaJam pour le 12 novembre, avec 7 500 $ pour chaque premier prix et des subventions supplémentaires pouvant atteindre 50 000 $. Puis, discrètement, la FAQ précisant aux participants qu'ils devaient utiliser l'IA a été supprimée. Epicgames.com figure parmi les sites hébergeant le proxy géré par Prince, qui est la partie de l'infrastructure ayant absorbé les ressources cette semaine, et non celle qui organise l'événement.

Brandon Stirrup, responsable de la stratégie commerciale chez Xbox, a présenté la version la plus catégorique de l'argument du « maker » le 18 octobre, affirmant que n'importe qui pouvait créer un jeu avec IA à partir d'un prototype réalisé en deux jours et ne nécessitant que trois heures de travail. Il a ensuite supprimé son compte le lendemain. Cette semaine, l'argument du « maker » me paraît moins pertinent que celui du « breaker », car un prix de game jam et un sujet supprimé relèvent de l'opinion, tandis qu'un score CVSS de 9,2 dans la langue sous-jacente à la majeure partie du web constitue une démonstration.

Prince s'attend à ce que ce cycle aboutisse à quelque chose d'utile. Il part du principe que les failles actuellement découvertes seront corrigées et que les logiciels seront plus sûrs d'ici deux ans. Il s'agit d'une affirmation à long terme associée à une consigne à court terme : maintenir les navigateurs et les clients à jour et considérer les interruptions de service des prochains mois comme une simple formalité. Je préfère des cycles de correctifs réguliers à un code source plus propre en 2028, et c'est cette dernière option qui est envisagée.

Cloudflare n'a pas précisé quels autres logiciels critiques font l'objet d'une surveillance. Wiz a indiqué que les variantes PHP signalées ne sont pas les seules présentes dans le code source, bien que le correctif d'octobre corrige la vulnérabilité à la racine de la classe.