Plus tôt cette semaine, une annonce choquante a été publiée : en raison de la découverte d'une nouvelle vulnérabilité dans le langage de programmation open source PHP, les propriétaires de sites web doivent immédiatement corriger leurs sites ; si une mise à jour rapide n'est pas possible, il est recommandé, pour des raisons de sécurité, de mettre temporairement les sites hors ligne.
Lors du podcast Equity de cette semaine sur TechCrunch, Kirsten Korosec, Sean O’Kane et moi avons discuté de la signification de ce « PHPocalypse » et de la possibilité que d’autres événements similaires surviennent à l’avenir.
Sean a qualifié cela de véritable « moment de liquidation », soulignant que « lorsque vous poussez jusqu'aux os de l'Internet », tout semble « maintenu par de la colle et des rêves ». Il a également déclaré qu'avec la disponibilité généralisée des grands modèles linguistiques et des agents IA, la découverte de ces vulnérabilités ne fera que s'faciliter. (Cependant, ces vulnérabilités spécifiques ont été découvertes par des chercheurs humains, et non par des modèles IA.)
Kirsten s'inquiète que nous puissions entrer dans une « phase encore plus profonde de l'attitude de préparation à la fin du monde[…] car on voit que les banques pourraient être exploitées, et compte tenu des questions de données et de confidentialité, tout cela semble bien plus vaste que ce que nous pouvons actuellement réparer. »
Voici un aperçu de cette conversation, révisé et retravaillé.
Sean O’Kane : Il semble que l’Internet ait connu des problèmes à plusieurs niveaux cette semaine.
Si les lecteurs ne sont pas encore familiers avec cette affaire, je pense que la meilleure façon de la comprendre est la suivante : au cours des dix dernières années, combien de fois avons-nous connu un tel moment — où quelque chose a échoué, ou a failli échouer, et où une personne qui ne faisait que maintenir en amateur un petit dépôt a justement détecté une activité malveillante et a empêché l’effondrement complet de l’infrastructure Internet ?
Multipliez ce scénario par un milliard : les gens non seulement ont accès à ces modèles linguistiques massifs extrêmement avancés utilisés par tous, mais peuvent aussi leur confier des tâches pour qu’ils les accomplissent eux-mêmes ; en plus de l’apparition d’agents IA capables de se concentrer sur ces tâches.
Cette semaine, nous avons observé deux forces se produire simultanément. D'une part, des laboratoires et entreprises comme Google et OpenAI ont effectivement envoyé des équipes pour découvrir un ensemble de vulnérabilités, dont celle liée à PHP. D'autre part, de nombreuses personnes semblent s'efforcer de tirer parti de ces vulnérabilités pour tenter d'infiltrer des sites web. Nous avons donc vu des sites gouvernementaux hors ligne, ainsi que certains sites très populaires connaître des arrêts temporaires afin de corriger cette vulnérabilité.
C'est le moment véritable de liquidation, et nous verrons le risque à la baisse de construire tant de parties d'Internet sur des technologies open source comme PHP. Au plus profond d'Internet, il n'est maintenu que par du ruban adhésif et des rêves.
Anthony Ha : Il y a plusieurs aspects choquants à ce sujet. L'un d'entre eux est — du moins selon ma compréhension — que ce n'est pas une nouvelle faille. Cette faille existe dans PHP depuis plusieurs décennies.
PHP, en tant que langage de programmation, a été utilisé pour construire un grand nombre de pages web, ce qui signifie que cette vulnérabilité existait depuis des décennies, mais que personne ne l'avait jamais détectée auparavant. Le processus était essentiellement le suivant : ces grandes entreprises d'IA — y compris Wiz, désormais détenue par Google — ont pu exploiter les LLM pour découvrir ces vulnérabilités. [Comme mentionné précédemment, je me suis trompé ici : ce sont des chercheurs humains participant à l'activité « Hack the Planet » d'OpenAI et de Wiz qui ont découvert ces vulnérabilités, bien qu'ils aient utilisé l'IA pour exploiter ce bug.]
Une partie de la réflexion était que nous devions corriger cette faille, car si nous pouvions la découvrir grâce à un LLM, d'autres pouvaient aussi le faire. Mais la seule façon de publier le correctif était de révéler publiquement cette faille. Cela a donc créé une situation très alarmiste, où ils disaient : « Bon, cette faille existe depuis des décennies. Vous devez la corriger immédiatement ; si vous ne pouvez pas la corriger tout de suite, fermez votre site. Cette faille est aussi grave que cela. »
Kirsten Korosec : Je pense qu'un point important est que beaucoup de gens ne savent même pas que leur site utilise PHP — comme vous l'avez mentionné, il s'agit d'un langage de programmation open source ayant plusieurs décennies d'ancienneté.
Pour ceux qui ne le savent pas, Hypertext Preprocessor est son nom officiel ; il s'agit en réalité de la composante centrale derrière des systèmes de gestion de contenu comme WordPress et Drupal, utilisés par environ 70 % des sites web. Nous parlons de dizaines de millions de sites. Pour moi, l'essentiel réside dans l'échelle. Cela me fait aussi immédiatement penser à deux choses : premièrement, ce n'est que le début. Combien d'autres logiciels anciens et défectueux sont encore cachés, prêts à être exploités à l'avenir ?
La deuxième chose est une excellente analyse de 404 Media qui aborde le « pourrissement des liens ». En effet, de nombreuses personnes, entreprises, gouvernements, et peut-être même ce petit site communautaire, ferment ces sites. Nous observons ainsi un grand nombre de liens cassés, ainsi que des sites qui contenaient autrefois des fragments d'histoire et qui ne sont plus accessibles, au lieu d'être préservés par des corrections.
Sean : Anthony, je pense que tu as soulevé un excellent point. Je vois que beaucoup de gens ne sont pas satisfaits du processus de divulgation et qu'ils sont également mécontents du ton un peu « vantard » utilisé par OpenAI dans les messages concernés.
De plus, il semble que plusieurs personnes aient agi avant la période d'interdiction de cette publication, déclenchant une course dans le milieu des hackers. Je me souviens que Matthew Prince, PDG de Cloudflare, a déjà posté que les tentatives d'attaque contre PHP2Shell avaient augmenté à plusieurs millions.
La manière habituelle de traiter ce type de vulnérabilités en cybersécurité est la suivante : si vous effectuez un test de charge sur le logiciel d'une entreprise, même s'il s'agit d'un logiciel fondamental qui soutient de nombreux ordinateurs ou certaines parties d'Internet, vous pouvez signaler le problème à cette entreprise, et il reste généralement confiné à ce cadre. Mais lorsqu'il s'agit de ce type de composants profonds et fondamentaux, il est impossible d'informer discrètement tout le monde.
Ce que je veux dire, c’est que peut-être que si l’IA était suffisamment avancée et que vous pouviez orchestrer un milliard d’agents pour envoyer des e-mails à chaque personne responsable d’une partie d’un site web, cela pourrait fonctionner. Nous commençons déjà à regretter les jours où les administrateurs de sites web étaient facilement identifiables, car cela aurait peut-être résolu partiellement le problème. Mais il n’existe tout simplement aucune solution simple. Je pense que c’est juste le début, et que nous assisterons à de nombreux aller-retour ; c’est clairement une nouvelle frontière dans le domaine de la cybersécurité.
Kirsten : Le message de Matthew Prince sur les réseaux sociaux me semble très révélateur, voire assez effrayant. De plus, je ne sais pas si vous avez vu, mais Amazon a également publié un blog. C'est une entreprise très bien financée, donc elle dispose des outils et de l'équipe nécessaires pour détecter ce qui se passe. Ils exploitent essentiellement un réseau de pièges ou un leurre, et ils ont effectivement constaté que des personnes avaient déjà tenté d'exploiter cette faille avant qu'elle ne soit rendue publique.
Pour moi, cela revient encore une fois à la même question : Amazon dispose des outils, du capital et de l'expertise pour gérer ces problèmes, mais il existe tant de sites web, voire peut-être des sites gouvernementaux, qui n'ont tout simplement pas ce niveau d'attention. Je pense donc que c'est la partie vraiment effrayante.
Et il y a aussi des employés IA externes qui pourraient pousser cette situation à un niveau supérieur de « préparation à la fin du monde », car on voit que les banques pourraient être exploitées, ajoutées aux préoccupations concernant les données et la vie privée — tout cela semble bien plus vaste que ce que nous pouvons actuellement réparer. Je suis donc très curieux de voir deux choses : premièrement, jusqu’où les comportements des gens pourraient devenir extrêmes ; et deuxièmement, si cette situation ne va pas催生 de nouvelles startups, ou si nous allons nous tourner vers l’utilisation d’outils open source — comme ceux fournis par des entreprises telles que Nvidia — pour construire ces couches de sécurité.