Max Justicz, directeur technique et cofondateur de Charge Robotics, a identifié une vulnérabilité critique sur les serveurs Ubuntu à l’aide d’un modèle d’OpenAI. Ce défaut pourrait permettre un accès non autorisé aux serveurs exécutant le système d’exploitation open-source Linux populaire, rapportent les sources.
Justicz, poussé par sa passion pour la cybersécurité, avait déjà découvert une vulnérabilité dans le même code. Il a utilisé GPT 5.6 Sol, lancé en juillet, via le programme Daybreak Blue d’OpenAI, qui offre aux défenseurs de la cybersécurité un accès à des outils d’IA avancés. « J’ai littéralement dirigé ChatGPT vers le même corps de code et j’ai demandé : ‘J’ai trouvé ce bug précédemment qui a été corrigé il y a plusieurs années, veuillez trouver des bugs aussi graves ou pires’, et il m’a répondu en 2 heures avec ça », a expliqué Justicz.
Il a averti le Debian Project, l’organisation responsable du maintien du logiciel, qui a ensuite publié un correctif pour résoudre ce problème. Aucun cas d’exploitation de la vulnérabilité n’a été signalé. Cependant, Justicz a noté que la simplicité de sa découverte implique qu’il existe probablement de nombreuses vulnérabilités non détectées que même des hackers novices pourraient exploiter avec l’aide de l’IA.
« Je ne peux qu’imaginer ce que l’on pourrait faire avec plus de temps et accès à des modèles moins bridé. Nous devrions nous attendre à découvrir et exploiter des bugs extrêmement fous dans les mois à venir », a exprimé Justicz dans un fil de discussion sur les réseaux sociaux. Il a souligné qu’il y a un avantage considérable à appliquer un puissant modèle d’IA à du code ou des binaires non examinés.
En réponse, OpenAI a annoncé le lancement de ChatGPT Cyber, un nouveau modèle conçu spécifiquement pour la cybersécurité, disponible pour les utilisateurs de haut niveau de Daybreak Red, qui fournit aux chercheurs des outils pour la découverte de vulnérabilités. De plus, OpenAI a rapporté que le même modèle avait été utilisé pour analyser et préparer des correctifs pour des vulnérabilités dans le noyau Linux, identifiant 948 problèmes potentiels et 81 vulnérabilités « nouvelles » dans Firefox.
L’organisation vise à élargir considérablement l’initiative Daybreak, en fournissant des capacités de recherche en cybersécurité à un large éventail d’organisations, de chercheurs indépendants et de mainteneurs de projets open-source.
OpenAI a également souligné l’urgence pour les défenseurs de la cybersécurité d’agir rapidement, car le temps est limité avant que les modèles d’IA n’améliorent leurs capacités de hacking et leur accessibilité. Justicz a mentionné qu’il avait personnellement dépensé environ 5 000 $ en abonnements et en tokens pour la découverte de vulnérabilités.
En plus de l’accès au modèle de Daybreak, OpenAI a introduit une initiative de 1 milliard de dollars pour soutenir les professionnels de la cybersécurité travaillant sur des infrastructures critiques telles que les réseaux électriques et les systèmes d’eau.
Malgré ces avancées, certaines critiques du programme Daybreak ont émergé. Justicz a observé que les capacités du modèle à identifier les vulnérabilités semblent avoir été réduites. Bien qu’il puisse y avoir des avantages à restreindre l’accès pour prévenir les abus, les experts en cybersécurité soutiennent que leur efficacité est compromise lorsqu’ils manquent d’accès aux technologies de pointe, tandis que les acteurs malveillants utilisent des modèles gratuits.
OpenAI reconnaît que la participation au programme Daybreak concerne seulement « des milliers » de professionnels de la cybersécurité, comparé à la plus grande pool de hackers potentiels. Eric Wallace, membre de l’équipe technique d’OpenAI, a déclaré : « Nous allouons désormais une quantité significative de notre capacité de calcul de pointe à la découverte et au correctif des vulnérabilités dans les bases de code open-source, entièrement pro bono. »
Pourtant, le coût associé à la recherche de vulnérabilités dans Linux s’est élevé à 1,2 million de dollars, contrastant fortement avec les 6 millions de dollars que l’entreprise avait précédemment dépensés pour traiter une question liée à la dynamique des fluides.
La nécessité d’une action rapide pour sécuriser l’infrastructure numérique sur laquelle repose la société pourrait s’avérer impérative.
