OpenAI dit avoir trouvé près de mille failles dans Linux grâce à l’IA

Selon le média chinois spécialisé en intelligence artificielle QbitAI (量子位), OpenAI affirme qu’une de ses IA a repéré 948 failles de sécurité graves dans Linux. Ce logiciel fait tourner Android et d’innombrables serveurs. Le coût annoncé : environ 1,2 million de dollars. Si ces chiffres se confirment, trouver des failles devient avant tout une question d’argent, et reste à savoir qui en profite.

Linux, le logiciel que personne ne voit

Vous n’avez probablement jamais installé Linux, mais vous l’utilisez presque chaque jour. Selon QbitAI, c’est le socle d’Android, de très nombreux serveurs informatiques « dans le nuage » et de la quasi-totalité des superordinateurs. Quand vous ouvrez un site web ou une application, un serveur sous Linux répond bien souvent de l’autre côté.

L’annonce concerne le « noyau » de Linux : la partie centrale qui contrôle la mémoire, les programmes et les droits de chacun. Il compte plus de 40 millions de lignes de code, auxquelles des programmeurs du monde entier contribuent depuis des décennies, bénévoles comme salariés d’entreprises.

Les failles trouvées sont de type « élévation de privilèges ». Un simple utilisateur peut y obtenir les droits d’administrateur, appelés « root », c’est-à-dire le contrôle complet de la machine. Selon l’article, un compte à faibles droits sur un système non mis à jour suffirait alors pour tout prendre.

Une chaîne de montage de quatre IA

Pour comprendre ce que change cette annonce, il faut voir comment OpenAI aurait procédé. Selon QbitAI, l’entreprise a utilisé un modèle de cybersécurité qui n’est pas encore publié. Elle l’a organisé en équipes d’« agents », des programmes d’IA qui travaillent seuls sur une tâche précise, avec un rôle chacun :

• L’éclaireur lit tout le code et repère les zones sensibles. Il a retenu 2,8 millions de lignes, environ 7 % du total, pour 3 426 dollars d’utilisation.
• L’analyste passe ces lignes au crible. En 12 heures, il a remis 2 308 rapports de failles possibles, pour 316 000 dollars.
• Le trieur écrit un petit programme de test pour chaque suspicion et le lance dans une machine virtuelle isolée, c’est-à-dire un ordinateur simulé, coupé du reste, où un plantage ne fait pas de dégâts. En 30 heures, il a reproduit 1 724 plantages, soit 74,7 % de réussite.
• Le développeur d’attaques tente d’exploiter la faille en contournant les protections du système. Il a produit 1 169 attaques qui donnent les droits root et 291 qui font fuiter des informations.

En clair : une IA lit, soupçonne, teste, puis attaque, sans qu’un humain intervienne à chaque étape. C’est sans doute ce qui fait baisser la facture, même si l’article ne le détaille pas.

Le prix d’une faille : environ 1 300 dollars

Cette chaîne de montage change l’économie de la sécurité. QbitAI rapporte un coût moyen de 1 279 dollars pour trouver et exploiter une faille, et de 359 dollars d’utilisation de l’IA pour fabriquer une attaque complète donnant les droits root.

Le média donne deux repères. Selon lui, avant l’IA, un chercheur humain de premier plan trouvait environ 20 failles de ce type par an dans le noyau. Et si l’on applique les primes versées au concours de piratage Pwn2Own, ces 948 failles vaudraient entre 18,9 et 66,3 millions de dollars. Ces comparaisons sont celles de l’article, pas des mesures indépendantes.

Le média cite aussi un précédent. En juillet, OpenAI avait fait une analyse avec un modèle antérieur, pour plus de 500 000 dollars, et trouvé 166 failles. Trois mois plus tard, le nouveau modèle en trouverait plus de cinq fois plus.

Un détail ressort. Lors d’un test, 20 des 200 attaques réussies n’utilisaient pas la faille visée. L’IA en avait trouvé une autre, inconnue de tous (une « faille zero-day »), pour arriver à ses fins. Le texte présente cela comme une preuve de sa débrouillardise. On peut aussi y lire un risque : un outil qui improvise est plus difficile à cadrer.

Qui garde l’avantage ?

Si chercher des failles ne coûte plus que quelques milliers de dollars chacune, l’avantage va-t-il à l’attaquant ou au défenseur ? QbitAI penche pour un déséquilibre. Selon lui, l’attaquant qui échoue ne perd rien, alors que le défenseur doit auditer, corriger et tester chaque faille, ce qui demande beaucoup de temps et de personnel.

OpenAI affirme viser l’inverse. Son chercheur Eric Wallace explique, d’après l’article, que l’entreprise consacre gratuitement de la puissance de calcul à la recherche de failles dans les logiciels libres, via un projet baptisé « Patch the Planet ». Selon QbitAI, la même méthode a été branchée sur Firefox et Chrome, et elle a récemment aidé Firefox à corriger plus de 40 failles. L’objectif affiché est de renchérir le coût des attaques et de corriger les failles avant que d’autres ne les exploitent.

Les développeurs de Linux ont aussi réagi vite. Pendant les dix jours de scan et de vérification, les mainteneurs, ceux qui entretiennent le code, ont corrigé 61 failles de ce type. Selon l’article, 43 autres correctifs étaient en test et près de 300 faisaient l’objet de débats publics sur les listes de discussion. Ils ont aussi reçu 948 propositions de correctifs à examiner, ce qui représente un travail d’examen considérable.

C’est là que l’argent redevient central. Cette recherche repose sur un modèle que seule OpenAI possède pour l’instant, et sur une facture d’un million de dollars. Une entreprise qui dispose de ces moyens peut décider quoi chercher, quand, et à qui offrir les résultats. Ce n’est pas un reproche de l’article, mais une conséquence possible : la sécurité d’un logiciel utilisé partout dépendrait en partie du bon vouloir d’un acteur privé.

Ce qui reste à vérifier

Il faut garder de la distance. Les chiffres viennent d’une annonce d’OpenAI, relayée par QbitAI, qui renvoie à l’article original de l’entreprise. Le texte ne mentionne aucune vérification indépendante des 948 failles. Il cite seulement des experts externes du noyau ayant validé certaines techniques, sans les nommer.

Les comptes demandent aussi des précisions. L’article cite 2 308 suspicions, 1 724 plantages reproduits, 1 169 attaques donnant les droits root et 948 failles finales, sans expliquer comment ces nombres s’articulent. Une même faille peut-elle donner plusieurs attaques ? Que contient exactement le chiffre de 948 ? On ne peut pas le déduire de l’article.

Enfin, un coût de 1,2 million de dollars ne dit rien du temps passé par les humains à vérifier et à corriger ensuite.

Et pour une PME ou un indépendant ?

La leçon n’a rien de spectaculaire, mais elle est concrète. Si les failles se découvrent à la chaîne, celles qui concernent votre système seront connues plus vite, et pas seulement de ceux qui les corrigent. Le délai entre la publication d’un correctif et son installation chez vous devient le moment critique.

Concrètement : activer les mises à jour automatiques des serveurs, des sites web et des téléphones. Vérifier les comptes qui ont encore des accès inutiles. Demander à son hébergeur ou à son prestataire à quel rythme il applique les correctifs.

La question ouverte, elle, dépasse les PME : si trouver des failles devient une affaire de budget, qui décidera de la répartition de la puissance de calcul entre défense et attaque, et sous quel contrôle ?

Sources

• Linux内核被挖出948个漏洞！OpenAI花120万美元找到的 – 量子位