Si l’IA raréfie vraiment les failles logicielles, Etats et services de renseignement pourraient revenir à une vieille demande, affaiblir nos appareils dès la conception.
En bref
- L’IA pourrait raréfier les failles exploitables
- Les Etats perdraient un levier de surveillance
- Le retour des backdoors redevient plausible
Le sujet n’est pas technique seulement. Si l’IA finit par tarir le stock de failles utiles, la pression pour imposer des portes dérobées dans les appareils pourrait revenir, et là, tout l’écosystème mobile est concerné.
Quand moins de bugs change l’équilibre
Depuis dix ans, le compromis tient à peu près. Des messageries comme Signal, WhatsApp ou iMessage chez Apple ont généralisé le chiffrement de bout en bout. En parallèle, les données stockées sur les smartphones sont devenues plus difficiles à extraire, surtout sur un iPhone protégé par un code solide.
Au temps du « going dark », popularisé en 2014 par l’ex-directeur du FBI James Comey, les autorités expliquaient déjà que le chiffrement compliquait les enquêtes. Mais elles n’ont pas été totalement aveugles. Elles ont continué à accéder à des cibles via des outils de piratage achetés sur le marché, ou via des spywares capables de contourner la sécurité des appareils.
C’est cette trêve fragile que Matthew Green juge menacée. Son idée est simple, et franchement pas absurde. Si les LLM deviennent vraiment bons pour trouver les vulnérabilités à grande échelle, les éditeurs corrigeront plus de bugs, plus vite. Résultat ? Des logiciels plus durs à casser, y compris pour les Etats.
La ruée vers les failles n’a pas le même goût pour tout le monde
Dans l’industrie offensive, les avis partent dans tous les sens. Luna Tong, passée par deux sociétés spécialisées dans la découverte de failles et le développement d’exploits pour gouvernements, estime qu’on vit une sorte de ruée vers l’or, mais temporaire. Selon elle, les bugs redeviendront rares assez vite.
Même tonalité chez un chercheur chevronné du secteur offensif, resté anonyme, qui craint de voir les défenseurs prendre l’avantage et les chercheurs humains perdre du terrain face à l’automatisation. Et chez Paolo Stagno, directeur technique de Crowdfense, le raisonnement va plus loin, aucun Etat n’abandonnera la surveillance, donc si les failles deviennent trop difficiles à trouver, le système actuel pourrait ne pas tenir.
Mais d’autres professionnels ne suivent pas. Trois acteurs encore en poste dans la cybersécurité offensive, plus un ancien du secteur, pensent que les bugs simples seront juste détectés plus vite, alors que les failles complexes, celles qui valent cher pour un usage gouvernemental, ne disparaîtront pas. Hamid Kashfi, fondateur de DarkCell et actif chez la startup IA Xbow, avance même qu’autour de chaque bug signalé, beaucoup d’autres restent sous le radar.
Le vrai point de bascule, ce n’est pas demain matin
Il y a un autre frein, très concret. Trouver une faille ne veut pas dire la corriger dans la foulée. Eva Galperin, responsable cybersécurité à l’Electronic Frontier Foundation, rappelle que le patching reste lourd, parfois lent, parfois incomplet. Elle note aussi que l’IA peut accroître le volume de code vulnérable quand elle sert à produire du « vibe-code ».
Sur le terrain, deux chercheurs qui vivent de la chasse aux failles pour des firmes de zéro-day disent d’ailleurs craindre davantage les nouvelles protections intégrées aux appareils modernes que l’IA elle-même. Ça compte.
Et Katie Moussouris, fondatrice et CEO de Luta Security, calme le jeu. Pour elle, on est encore loin de téléphones et d’ordinateurs totalement exempts de bugs. La pression vers des portes dérobées pourrait revenir un jour, oui, mais pas tout de suite. Son estimation est nette, les services de renseignement ne seraient pas assez handicapés pour pousser sérieusement ce dossier avant après la prochaine présidentielle.
