Les aperçus IA de Google sont incorrects dans 10% des cas, selon une analyse

L’IA aurait aidé des pirates à développer un exploit zero-day, une première selon Google

Des chercheurs du Google Threat Intelligence Group (GITG) ont identifié ce qui serait le premier cas documenté d'un exploit de type zero-day développé avec l'aide d'une intelligence artificielle. L'acteur malveillant, dont l'identité n'a pas été révélée, prévoyait d'utiliser cette vulnérabilité dans le cadre d'une campagne d'exploitation à grande échelle. La faille ciblait un outil d'administration open-source très répandu et permettait de contourner l'authentification à double facteur (2FA), à condition que les pirates disposent déjà des identifiants et mots de passe de leurs victimes. L'exploit se présentait sous la forme d'un script Python. Google a procédé à une divulgation responsable auprès de l'éditeur concerné, dont le nom reste confidentiel, et la vulnérabilité a depuis été corrigée. Le GITG indique ne pas avoir observé de campagne active, mais ne peut exclure une exploitation à plus petite échelle. Cette découverte marque un tournant dans le paysage de la cybersécurité. Les grands modèles de langage se montrent désormais capables d'identifier des erreurs logiques de haut niveau, comme un contournement d'authentification intégré directement dans le code par un développeur, que les outils de détection traditionnels auraient probablement laissé passer. Contrairement aux bugs techniques classiques, ce type de faille repose sur une logique défaillante dans la conception du programme, une catégorie que les LLM abordent avec une efficacité croissante grâce à leur capacité de raisonnement contextuel. John Hultquist, chef analyste du GITG, a décrit cette découverte comme « un avant-goût de ce qui nous attend » et a prévenu le New York Times que le problème est « probablement bien plus vaste » : ce cas ne serait que la partie émergée de l'iceberg. Le GITG ne dévoile pas le modèle d'IA utilisé, précisant seulement que Gemini n'est probablement pas en cause. L'hypothèse IA repose sur plusieurs indices relevés dans le code : un volume inhabituellement élevé de texte explicatif, un style de code particulièrement propre et scolaire, et une mise en forme jugée caractéristique des données d'entraînement des LLM. Le laboratoire note par ailleurs que des acteurs liés à la Corée du Nord et à la Chine s'intéressent activement à l'utilisation de l'IA pour identifier des failles de sécurité. Cette découverte devrait renforcer les appels à un encadrement plus strict des modèles avancés, OpenAI et Anthropic réservent déjà leurs modèles spécialisés en cybersécurité à des organisations sélectionnées. La même capacité de raisonnement qui aide les attaquants est aussi entre les mains des défenseurs, mais l'équilibre de la menace vient de basculer.

💬 C'était dans l'air, mais ça fait quand même un effet quand c'est Google qui le documente pour la première fois. Ce qui frappe c'est pas le zero-day en soi, c'est que les LLM s'avèrent précisément bons sur les failles logiques, le genre que les scanners classiques ratent complètement. Et les indices qui ont permis de détecter l'IA dans le code (style trop propre, commentaires verbeux), ça va tenir encore combien de mois ?

Une IA soutenue par Apple et Google révèle des milliers de failles dans des logiciels très utilisés

Project Glasswing, une initiative de cybersécurité soutenue par douze géants technologiques dont Apple, Google, Microsoft, AWS, Cisco, NVIDIA et JPMorgan Chase, a été lancée pour détecter automatiquement des failles dans les logiciels les plus critiques au monde. Le projet s'appuie sur un système d'intelligence artificielle baptisé Mythos, capable d'analyser en profondeur des bases de code massives pour y repérer des vulnérabilités jusqu'alors inconnues. Plus de quarante organisations gérant des infrastructures logicielles mondiales participent également à l'initiative, coordonnée sous l'égide de la Linux Foundation. Aucun accès public, abonnement commercial ou lancement grand public n'est prévu : le projet fonctionne exclusivement en consortium fermé. L'enjeu est considérable. Les logiciels open source constituent la colonne vertébrale de l'infrastructure numérique mondiale, des serveurs bancaires aux systèmes industriels en passant par les plateformes cloud. Des failles non détectées dans ces composants peuvent exposer des millions d'organisations simultanément, comme l'avait illustré la vulnérabilité Log4Shell en 2021. En automatisant la détection à grande échelle, Mythos promet de réduire drastiquement la fenêtre d'exposition entre l'introduction d'une faille et sa correction, un délai qui se compte aujourd'hui souvent en mois, voire en années. Ce projet s'inscrit dans une tendance de fond : après des années à construire des IA génératives grand public, les grandes entreprises technologiques réorientent une partie de leurs investissements vers des usages à fort impact systémique. La sécurité logicielle, longtemps sous-financée malgré sa criticité, attire désormais des coalitions inédites. Project Glasswing illustre aussi une réponse collective aux pressions réglementaires croissantes en Europe et aux États-Unis, qui imposent aux éditeurs une responsabilité accrue sur la sécurité de leurs chaînes d'approvisionnement logicielles.

L’IA de Google produit « des dizaines de millions d’erreurs chaque heure »

Une enquête du New York Times révèle que les résumés générés automatiquement par Gemini, l'intelligence artificielle de Google, comportent des erreurs dans environ un cas sur dix. À l'échelle des milliards de requêtes traitées chaque jour par le moteur de recherche, ce taux d'échec représente des dizaines de millions d'informations incorrectes diffusées chaque heure auprès des utilisateurs. Ces erreurs peuvent prendre la forme de faits inventés, de dates erronées, de citations tronquées ou de conclusions déformées présentées comme des synthèses fiables. L'enjeu est considérable : contrairement à un lien classique que l'utilisateur peut ignorer ou croiser avec d'autres sources, les résumés IA s'affichent en tête de page dans un format qui inspire confiance et réduit l'incitation à vérifier. Pour des millions de personnes qui se fient désormais à ces encadrés pour obtenir une réponse rapide, chaque erreur peut se transformer en croyance erronée difficilement corrigeable. Les professionnels de santé, juristes, enseignants ou journalistes qui utilisent Google comme outil de travail sont directement exposés. Google a déployé ses résumés IA, baptisés AI Overviews, à grande échelle depuis mai 2024 aux États-Unis, puis progressivement dans le reste du monde, malgré plusieurs incidents embarrassants dès le lancement. La course à l'intégration de l'IA dans les moteurs de recherche, portée aussi par Microsoft Bing et Perplexity, pousse les acteurs à déployer vite plutôt qu'à déployer bien. Cette révélation relance le débat sur la responsabilité des plateformes face à la désinformation algorithmique et sur la nécessité d'une régulation plus stricte de ces fonctionnalités.

Google et le Pentagone concluent un accord pour un usage de l'IA sans restriction légale

Google a conclu un accord classifié avec le département américain de la Défense (DoD) autorisant ce dernier à utiliser ses modèles d'intelligence artificielle pour "tout usage gouvernemental légal", selon un rapport de The Information publié lundi. La révélation intervient moins de vingt-quatre heures après qu'une partie des employés de Google a adressé une pétition au PDG Sundar Pichai, exigeant qu'il bloque l'accès du Pentagone à ses technologies, par crainte que celles-ci soient employées à des fins "inhumaines ou extrêmement préjudiciables". Cet accord positionne Google aux côtés d'OpenAI et xAI, qui ont eux aussi signé des contrats classifiés avec le gouvernement américain. La décision illustre la tension croissante au sein des grandes entreprises tech entre impératifs commerciaux et éthique de déploiement : le DoD représente un client stratégique de premier plan, mais ses usages potentiels des systèmes d'IA restent opaques pour le grand public comme pour les salariés de ces entreprises. Le contexte récent éclaire la portée de ce choix. Anthropic a été récemment inscrit sur liste noire par le Pentagone après avoir refusé de supprimer ses garde-fous de sécurité sur demande du DoD. Google, en acceptant un accès étendu et sans restrictions explicites, prend le chemin inverse. La question des applications militaires de l'IA, qu'il s'agisse de ciblage, de surveillance ou d'automatisation de décisions, s'impose désormais comme un enjeu central pour l'ensemble du secteur.