Dans une interview accordée à l’Agence France Presse, Michael Daniel, président de la Cyber Threat Alliance, qui réunit des entreprises de cybersécurité, et ancien coordinateur de la cybersécurité à la Maison Blanche sous Barack Obama, a expliqué que les failles de sécurité vont continuer si les choses ne sont pas anticipées et réglées rapidement.

Au cours des derniers jours, des entreprises et administrations se sont précipitées pour corriger deux failles critiques, découvertes par l’intelligence artificielle (IA) dans PHP, un langage informatique faisant tourner une grande partie des sites internet du monde entier.

Depuis des mois, les spécialistes de cybersécurité alertaient sur la capacité des meilleures IA à débusquer des failles inédites ou bien cachées. Après plusieurs mois d’alerte, la menace s’est concrétisée à grande échelle, car de très nombreux sites internet risquent d’être piratés, obligeant les gouvernements à couper leurs sites par précaution, le temps d’appliquer les correctifs.

Pour Michael Daniel, l’épisode PHP est « le début d’une période assez chaotique, vu ce dont sont capables les modèles d’IA les plus avancés. Je le dis depuis des années : si ces modèles trouvent des failles vite et à grande échelle, la conséquence logique, c’est un déluge de failles ».

Ce dernier a évoqué le point de vie de Rob Joyce, ancien directeur de la cybersécurité de l’Agence nationale de sécurité américaine (NSA), qui a parlé « grand incendie purificateur des vieux logiciels ». Cependant, Michael Daniel assure qu’il faut désormais « rembourser notre dette technique ». « Tout pousse à garder un logiciel le plus longtemps possible, sans intégrer ces risques à ce que coûte le logiciel. Ce coût n’apparaît pas dans les comptes, mais il existe : il reste implicite jusqu’à ce qu’arrive un épisode comme celui-ci », a indiqué le président de la Cyber Threat Alliance.

Selon lui, les entreprises et administrations vont devoir « mettre leurs logiciels à jour, à les y maintenir et à installer les correctifs dès leur sortie. Il va y avoir un déluge de failles, de correctifs et de parades, et toutes ne se valent pas. Beaucoup de petites structures, faute de moyens en interne, doivent s’organiser pour accepter le plus vite possible les mises à jour des éditeurs ».

Dédramatisant légèrement, Michael Daniel a expliqué que « seules 5 ou 6% des failles sont exploitées », donc les failles ne sont pas toutes dangereuses. « Mais quand des pirates exploitent une faille, ils vont désormais beaucoup plus vite. Il fallait un mois ou deux pour qu’une méthode d’attaque soit mise au point, puis encore un mois ou deux pour qu’elle arrive dans les boîtes à outils des pirates. Aujourd’hui, cela se compte en heures ou en jours ». Les grandes entreprises devraient « risquer une panne, même à 1%, que de rester exposé à une attaque qui pourrait coûter 50 millions de dollars ».

Ce dernier préconise de « passer les logiciels au crible de ces outils avant même leur déploiement, ce qui devrait permettre de diffuser des logiciels plus robustes dès le départ. C’est le sens de l’incendie évoqué par Rob Joyce : les vieux logiciels partent en fumée et laissent place à des logiciels plus sûrs dès leur conception. Cela ne règle pas nos problèmes de cybersécurité, mais cela en change la nature ».