Oubliez le ralentissement de l’IA : l’explosion des vulnérabilités est déjà en cours
wired ·
L’article soutient qu’un éventuel ralentissement général du secteur dans le développement de l’IA de pointe n’arrêterait pas la flambée des vulnérabilités déjà alimentée par des outils d’IA largement accessibles, notamment les modèles à poids ouverts. Des chercheurs utilisant l’IA découvrent des failles logicielles à un rythme qui augmente rapidement, ce qui accroît la pression sur les équipes informatiques et de sécurité en sous-effectif ainsi que sur les mainteneurs de logiciels open source. L’article cite 974 CVE corrigées par Microsoft jusqu’à présent en septembre, 1 448 correctifs publiés par Oracle en juillet contre 309 un an plus tôt, et 1 072 correctifs dans deux versions de Chrome publiées en juin ; Mozilla a également découvert 271 vulnérabilités de Firefox lors d’une session de recherche de bogues assistée par l’IA. Le projet cve.icu avait recensé 66 401 CVE au 16 septembre, contre 33 512 à la même date l’année précédente et 25 000 sur l’ensemble de 2022. Les experts ne s’accordent pas sur le fait que cette hausse constitue une catastrophe, Jerry Gamblin soulignant que davantage de CVE signifie davantage de vulnérabilités connues, et pas nécessairement davantage de vulnérabilités. La principale inquiétude est que l’IA permette à la découverte de failles de dépasser le rythme des correctifs et aide les attaquants à trouver des failles inédites, même si les chercheurs observent actuellement un équilibre fragile entre l’offensive et la défense assistées par l’IA. Quelle que soit la réglementation ou l’accord sectoriel qui émergera, conclut l’article, cela ne pourra pas annuler la vague de vulnérabilités déjà rendue possible par les capacités existantes de l’IA.
wired