Un bug critique d’Ubuntu trouvé avec un modèle d’OpenAI relance une question simple : les défenseurs vont-ils assez vite face à l’IA ?
En bref
- Une faille Ubuntu trouvée avec un modèle OpenAI
- OpenAI lance ChatGPT Cyber via Daybreak Red
- Les défenseurs manquent encore de temps et de moyens
Les modèles d’OpenAI corrigent des failles, mais ils rendent aussi leur découverte plus rapide. C’est tout le paradoxe du moment, et il devient très concret.
Une faille critique trouvée presque trop facilement
Max Justicz, CTO et cofondateur de Charge Robotics, a repéré une vulnérabilité sévère qui pouvait permettre à des attaquants de prendre le contrôle de serveurs sous Ubuntu. Le point marquant n’est pas seulement la faille. C’est la manière.
Il explique avoir utilisé GPT 5.6 Sol, lancé en juillet, via Daybreak Blue, le programme d’OpenAI réservé aux défenseurs. Son point de départ était simple : il avait déjà trouvé un bug dans la même base de code. Cette fois, il a demandé au modèle de dénicher quelque chose d’aussi grave, ou pire. Selon lui, « J’ai littéralement pointé ChatGPT vers le même corpus de code et dit : j’ai trouvé ce bug auparavant, corrigé il y a plusieurs années, merci de trouver des bugs aussi graves ou pires. Deux heures plus tard, il m’a ramené ça ». Et il ajoute que la faille est « extrêmement alambiquée et difficile à trouver pour un humain, mais elle fonctionne ».
Le bug a été signalé au Projet Debian, qui maintient le logiciel concerné et a publié un correctif. Aucune exploitation n’est connue à ce stade. Mais le signal est fort : si un chercheur motivé va aussi vite, la chasse aux vulnérabilités change clairement d’échelle.
ChatGPT Cyber élargit l’arsenal d’OpenAI
Dans ce contexte, OpenAI annonce ChatGPT Cyber, un modèle centré sur la cybersécurité, destiné aux utilisateurs les plus avancés de Daybreak Red. Cette branche du programme vise les chercheurs offensifs, donc la recherche de failles et le développement d’outils associés.
La veille, l’entreprise disait déjà avoir utilisé ce même modèle pour analyser le noyau Linux et préparer des correctifs, avec 948 problèmes potentiels repérés. Elle évoque aussi 81 vulnérabilités inédites dans Firefox. En gros, on n’est plus dans la démo. On parle d’un outillage qui entre dans la production du travail de sécurité.
Des moyens réels, mais un rapport de force encore bancal
OpenAI martèle qu’il existe une fenêtre de temps étroite avant que les modèles ne deviennent encore meilleurs pour pirater, et plus faciles d’accès. Le souci, c’est que côté défense, cette accélération crée aussi une montagne de travail.
Max Justicz dit avoir dépensé environ 4620 euros (5000$) en abonnements et en tokens pour trouver plusieurs exploits. En parallèle, OpenAI annonce une initiative de 925 millions d’euros (1 milliard de dollars) pour soutenir les professionnels du programme qui travaillent sur des infrastructures critiques, comme les réseaux électriques ou les systèmes d’eau.
Mais Justicz note aussi que OpenAI aurait récemment bridé Daybreak Blue, ce qui le rendrait moins utile pour trouver des failles. D’un côté, limiter l’accès a du sens. Il raconte d’ailleurs avoir simplement envoyé une photo de son permis pour rejoindre le programme. De l’autre, des chercheurs en cybersécurité estiment travailler avec une main attachée dans le dos pendant que des acteurs malveillants peuvent utiliser des modèles open-weight sans garde-fous.
Le vrai sujet, c’est l’urgence d’exécution
Il n’y a pour l’instant que des milliers de professionnels de la cybersécurité dans Daybreak, face à une population potentielle de pirates bien plus large. Résultat, la question n’est plus seulement technologique. Elle devient industrielle.
Eric Wallace, chercheur au sein du staff technique d’OpenAI, affirme : « Nous allouons désormais une quantité significative de notre compute frontier à la découverte et au correctif de vulnérabilités dans des bases de code open source, entièrement à titre gracieux ». Bon. La chasse aux bugs dans Linux a coûté environ 1,1 million d’euros (1,2 million de dollars). C’est loin des 5,5 millions d’euros (6 millions de dollars) consacrés par l’entreprise à la recherche d’une solution possible à un célèbre problème de dynamique des fluides. Le contraste est net, et il dit quelque chose : si la fenêtre est vraiment étroite, il faudra sans doute aller plus vite.
