Max Justicz, chef technologue et cofondateur de Charge Robotics, a utilisé un modèle d'OpenAI pour découvrir une faille grave ; si elle est exploitée, des pirates pourraient prendre le contrôle de serveurs fonctionnant sous Ubuntu. Ubuntu est un système d'exploitation open source basé sur Linux largement utilisé.
Justicz a un intérêt amateur pour la cybersécurité et avait déjà découvert des vulnérabilités dans la même base de code auparavant. Il a déclaré à TechCrunch qu'il avait repéré ce problème en utilisant GPT 5.6 Sol, publié par OpenAI en juillet de cette année, grâce au projet nommé Daybreak Blue de l'entreprise. Ce projet permet aux défenseurs de la cybersécurité d'utiliser des modèles avancés et de pointe.
« J’ai simplement pointé ChatGPT sur le même morceau de code et j’ai dit : “J’ai déjà découvert un bug corrigé il y a plusieurs années, aidez-moi à trouver un bug aussi grave ou plus grave”, et il m’a trouvé celui-ci après 2 heures », a déclaré Justicz. « Cette vulnérabilité est extrêmement complexe, difficile à détecter à la main, mais elle existe bel et bien ! »
Il a signalé ce problème au projet Debian chargé de maintenir le logiciel concerné, qui a ensuite publié un correctif pour réparer cette vulnérabilité. Pour l'instant, aucune preuve n'indique que cette vulnérabilité a été exploitée. Toutefois, le fait qu'il ait pu trouver ce problème si facilement suggère que même des hackers débutants pourraient utiliser des modèles d'IA pour découvrir et exploiter des vulnérabilités potentielles, et ce risque ne représente peut-être qu'une partie infime du problème.
Je ne peux qu'imaginer ce que les gens pourraient accomplir avec davantage de temps et l'accès à des modèles moins restreints. Nous devons nous attendre à découvrir et exploiter, au cours des prochains mois, certaines failles extrêmement folles », a écrit Justicz dans son post sur les réseaux sociaux discutant de cette découverte. « Cela peut sembler évident pour la plupart d'entre vous ici, mais il y a un avantage considérable à prendre actuellement un code ou un binaire non audité et à le soumettre directement à un modèle IA puissant. »
OpenAI a visiblement pris note de cela. L'entreprise a annoncé aujourd'hui qu'elle mettrait à disposition de ses utilisateurs de plus haut niveau dans son programme de cybersécurité Daybreak Red un nouveau modèle axé sur la cybersécurité, ChatGPT Cyber. Daybreak Red permet aux chercheurs en cybersécurité offensifs d'utiliser des outils de découverte et de développement de vulnérabilités.
Hier seulement, OpenAI a déclaré que le même modèle avait été utilisé pour analyser le noyau Linux et préparer des correctifs pour des vulnérabilités, révélant 948 problèmes potentiels. OpenAI a également découvert 81 vulnérabilités « nouvelles » dans le navigateur web Firefox.
This cutting-edge laboratory stated in a press release: "Our goal is to significantly expand Daybreak, bringing advanced security research to organizations of all sizes, independent researchers, and open-source maintainers."
OpenAI a toujours souligné que les défenseurs des infrastructures numériques n'ont qu'une fenêtre de temps très étroite pour agir, car les modèles d'IA ne feront que s'améliorer dans le piratage et deviendront plus accessibles. Pour les défenseurs cybernétiques, cette situation ressemble à un laboratoire de pointe qui libère une quantité massive de nouvelles charges de travail dépassant leurs ressources. Justicz a déclaré qu'il avait dépensé environ 5 000 dollars en abonnements et en jetons pour rechercher plusieurs vulnérabilités.
En plus de l'accès au modèle de Daybreak, OpenAI a annoncé un programme de 1 milliard de dollars pour soutenir les professionnels de la cybersécurité participant au projet et travaillant sur des infrastructures critiques telles que les réseaux électriques ou les systèmes d'approvisionnement en eau.
Le projet Daybreak fait également face à certaines critiques. Justicz souligne que ce laboratoire de pointe semble avoir récemment « affaibli » Daybreak Blue, le rendant moins utile pour la détection de vulnérabilités. D’un côté, limiter l’accès aux acteurs malveillants potentiels peut être une bonne chose — Justicz dit qu’à son arrivée dans le projet, il n’a fait que télécharger une photo de sa carte d’identité. De l’autre côté, les professionnels de la cybersécurité affirment qu’ils se retrouvent les mains liées si eux ne peuvent pas utiliser les technologies de pointe, tandis que les acteurs malveillants peuvent déployer des modèles open source avec des poids dépourvus de barrières de sécurité.
Malgré cela, OpenAI a déclaré que seules « quelques milliers » de professionnels de la cybersécurité participaient au projet Daybreak, tandis que le nombre de pirates potentiels est beaucoup plus élevé.
Il n’est pas encore clair si Frontier Labs a alloué suffisamment de ressources à ce problème. Eric Wallace, chercheur de l’équipe technique d’OpenAI, a déclaré : « Nous consacrons actuellement une part importante de notre puissance de calcul à découvrir et à corriger des vulnérabilités dans des dépôts open source, entièrement à titre bénévole. »
Cependant, le coût de la recherche de vulnérabilités sous Linux s'élève à 1,2 million de dollars, ce qui est nettement inférieur aux environ 6 millions de dollars en dépenses en tokens que l'entreprise a investis pour chercher une solution potentielle à un problème célèbre de dynamique des fluides.
Si l'infrastructure numérique sur laquelle le monde repose ne laisse qu'une très courte fenêtre de correction, alors un sentiment d'urgence plus fort pourrait être nécessaire.