La fermeture de la « fenêtre des défenseurs » est imminente
Une coalition menée par OpenAI travaille depuis août à corriger des vulnérabilités critiques dans PHP, le langage open source sur lequel repose une grande partie du web. Un correctif est désormais en route, mais l'épisode a surtout servi de test grandeur nature à la toute nouvelle Super Intelligence Force (SI Force), l'organisation créée par l'administration Trump pour coordonner la politique d'IA. Dirigée notamment par Jay Clayton, directeur du renseignement national, et Emil Michael, haut responsable du Pentagone, elle a reçu la semaine dernière un briefing d'OpenAI. L'entreprise avait déjà informé plusieurs agences, dont la CISA, l'agence américaine de cybersécurité. Un porte-parole d'OpenAI parle d'un premier « engagement majeur » avec la SI Force, qui a servi de point central pour coordonner la communication au sein du gouvernement. Selon un responsable de la Maison-Blanche, elle a aidé à faire pression sur les « parties concernées » pour déployer le correctif.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de The Information AI. Lire l'article original →
L'enjeu dépasse le cas de PHP. OpenAI martèle depuis des mois la notion de « fenêtre des défenseurs », ce laps de temps pendant lequel des experts équipés de modèles d'IA avancés peuvent détecter et corriger des failles avant que des attaquants ne les exploitent. Cette fenêtre se referme vite. L'écart se réduit entre les modèles cyber-capables des grands laboratoires américains, bridés par des restrictions, et les modèles open source chinois, qui n'en ont pas. Dans un billet de fin septembre, Anthropic estimait que le GLM-5.3 du laboratoire chinois Z.ai n'accuse qu'environ quatre mois de retard sur la frontière américaine. Pour PHP, les défenseurs ont disposé d'environ deux mois. Le prochain grand bug d'internet n'offrira sans doute pas un tel délai, et des organisations qui dépendent de logiciels ouverts pourraient se retrouver exposées avant même qu'un correctif existe.
Cet épisode s'inscrit dans une série de chocs qui ont forcé Washington à réagir. La Maison-Blanche avait dû réorienter toute sa politique d'IA en avril, à l'annonce de Mythos. L'arrivée de modèles ouverts chinois capables d'opérations cyber pourrait constituer un « moment Mythos 2.0 ». Un ancien responsable de la Maison-Blanche estime même que des dispositifs vieux de quelques mois, comme la plateforme Gold Eagle lancée en juillet pour partager et corriger les vulnérabilités logicielles entre organisations et agences, sont peut-être déjà dépassés. L'industrie réclame surtout coordination et clarté de la part de l'exécutif, et la SI Force, dont le rôle reste modeste pour l'instant, devra prouver qu'elle sait tracer une voie. Dans le même temps, côté entreprises, Meta a annoncé des résultats trimestriels salués par les investisseurs, avec un chiffre d'affaires en hausse de 26 % à 64,6 milliards de dollars. Le groupe a aussi créé une nouvelle catégorie d'actions ordinaires pour lever des capitaux destinés à ses lourds investissements dans l'IA, sans que Mark Zuckerberg perde le contrôle.
Les organisations européennes qui dépendent de PHP et de logiciels open source pourraient être exposées plus vite aux failles si les défenseurs perdent leur avance sur les attaquants.