Les récents progrès en intelligence artificielle ont considérablement accéléré l’identification des vulnérabilités logicielles dangereuses, rendant ce domaine beaucoup plus accessible et changeant l’équilibre des forces dans le domaine de la cybersécurité. Le principal défi réside désormais dans la rapidité de la remédiation de ces vulnérabilités plutôt que dans leur découverte. Chang Che, chroniqueur pour The New Yorker, a souligné que le modèle de gouvernance centralisé de la Chine pourrait s’avérer moins efficace que l’approche collaborative observée aux États-Unis, où chercheurs et entreprises technologiques travaillent de concert, rapporte 24brussels.
En août, des chercheurs en cybersécurité d’une entreprise californienne ont utilisé le modèle d’OpenAI pour identifier une faille critique dans PHP, un langage de programmation utilisé par environ 70 % des sites web dans le monde, y compris Wikipedia et WordPress. Bien que les développeurs aient été avisés du problème et aient commencé à préparer un correctif, des tentatives d’exploitation de la vulnérabilité ont commencé avant la publication publique du correctif.
De la rareté des vulnérabilités à la surabondance
Historiquement, la recherche de bugs logiciels nécessitait des connaissances spécialisées, des ressources considérables et pouvait prendre des mois, voire des années. Un hacker découvrant une vulnérabilité inconnue pouvait maintenir un avantage significatif, d’autres n’étant pas au courant de son existence.
L’intelligence artificielle modifie cette dynamique, permettant à un large éventail d’experts et d’utilisateurs d’identifier les faiblesses des logiciels. Selon des données de l’équipe de réponse aux incidents cybernétiques de Google, les tentatives d’exploitation de nouvelles vulnérabilités commencent souvent avant la publication des correctifs officiels — en moyenne environ sept jours avant.
Ces failles non découvertes sont qualifiées de vulnérabilités zero-day. Tant qu’une entreprise n’a pas identifié le problème, préparé un correctif et garanti son installation par les utilisateurs, le logiciel reste vulnérable aux attaques.
Un exemple notable des réponses étatiques à de telles menaces est illustré par PHP. Les données de la plateforme Censys indiquent qu’une semaine après la divulgation publique de la vulnérabilité, les États-Unis avaient remédié à plus d’un quart d’environ 14 millions de services potentiellement vulnérables, tandis que la Chine n’en a réglé que 4 %.
Chang Che soutient que cette disparité met en lumière un problème dans le modèle de cybersécurité de la Chine. Bien que le pays ait mobilisé efficacement des ressources pour détecter et accumuler les vulnérabilités, il éprouve d’importantes difficultés dans la remédiation massive des failles.
Pourquoi le modèle américain fonctionne différemment
Aux États-Unis, le système de divulgation des vulnérabilités logicielles a évolué progressivement, facilité par l’interaction entre chercheurs indépendants et entreprises technologiques. Dans les années 1990, les hackers signalant leurs découvertes aux entreprises étaient souvent ignorés ou menacés de poursuites judiciaires, ce qui a conduit certains chercheurs à publier des informations de manière indépendante.
Au fil du temps, l’industrie a établi des règles pour la divulgation coordonnée des vulnérabilités : un chercheur informe d’abord l’entreprise, lui laissant le temps de préparer un correctif avant de rendre l’information publique. Par exemple, le projet Zero de Google accorde généralement aux développeurs 90 jours pour résoudre les problèmes.
Les programmes de récompense pour la découverte de bugs, initiés par Netscape en 1995, sont devenus des normes de l’industrie, où les entreprises compensent les chercheurs pour les vulnérabilités découvertes, offrant parfois des millions pour des failles critiques.
Une étude de 2026 a indiqué que neuf grandes entreprises technologiques américaines sur dix disposent de tels programmes, contre seulement six sur dix en Chine. De plus, des entreprises comme Apple et Google peuvent verser des millions pour des failles zero-day critiques, tandis qu’un des principaux programmes de la Chine n’offre qu’une récompense maximale de 15 000 $.
Chang Che compare le développement du système américain au concept de « commande spontanée » proposé par l’économiste Friedrich Hayek. Cela n’a pas été réalisé par la planification étatique mais grâce aux interactions des participants du marché motivés par des incitations individuelles : les chercheurs recherchaient des récompenses et une reconnaissance professionnelle, tandis que les entreprises désiraient du temps pour corriger les problèmes.
Comment la Chine a transformé les vulnérabilités en ressources de renseignement
Le paysage a changé après les révélations d’Edward Snowden en 2013, qui ont dévoilé que la National Security Agency (NSA) des États-Unis achetait secrètement des informations sur les vulnérabilités logicielles provenant de hackers à des fins d’espionnage. Cela a sapé la confiance des chercheurs chinois envers les programmes de récompense occidentaux et a accéléré l’établissement du système de cybersécurité de Pékin.
En 2021, la Chine a promulgué une législation interdisant aux chercheurs locaux de divulguer publiquement des vulnérabilités zero-day ou de partager des informations avec des intermédiaires étrangers. Ils peuvent notifier les développeurs de logiciels ou le ministère chinois de l’Industrie et des Technologies de l’information, les entreprises étant tenues de transmettre ces informations au ministère dans un délai de 48 heures.
Cette réglementation place effectivement l’État au contrôle des informations concernant les menaces cybernétiques potentielles qui peuvent être utilisées pour des opérations de renseignements. Parallèlement, le système limite les opportunités pour les chercheurs de tirer parti de leurs découvertes et d’obtenir une reconnaissance professionnelle.
Un incident impliquant un chercheur d’Alibaba en 2021 illustre ce problème. Après avoir identifié une faille sérieuse dans le code source open-source de l’Apache Software Foundation et l’avoir signalée aux développeurs, le ministère chinois a suspendu son partenariat avec Alibaba, malgré le fait que le chercheur ait respecté les normes de divulgation internationales.
Un rapport de 2024 sur l’écosystème cybernétique de la Chine a noté que les programmes de récompense locaux offrent des incitations limitées aux hackers, les paiements restant souvent faibles ou peu clairs. L’auteur soutient que, dans sa quête d’accumulation d’armement cybernétique, la Chine a sapé son propre système de défense.
Nicole Perlroth, ancienne journaliste pour le New York Times et chercheuse sur le marché des armes cybernétiques, estime que depuis l’introduction de la loi chinoise, le nombre d’exploits zero-day liés aux hackers chinois a considérablement augmenté. Elle a déclaré à Chang Che : « La Chine a utilisé son autoritarisme et ces nouvelles lois à son avantage. Cela a été un incroyable bond en avant. »
L’IA pourrait perturber la stratégie d’accumulation d’armes cybernétiques
Avant l’avènement des modèles modernes d’intelligence artificielle, les États pouvaient détenir des informations sur des vulnérabilités inconnues pendant des années, les utilisant pour l’espionnage. Aux États-Unis, cette approche était qualifiée de NOBUS — « personne d’autre que nous », la NSA pouvant laisser certaines failles non corrigées si elle croyait que seule la part américaine était au courant et capable de les exploiter.
La Chine a effectivement adopté cette stratégie, considérant les vulnérabilités comme une question de sécurité nationale. Cependant, comme le souligne Chang Che, l’intelligence artificielle sape cette rationale : des failles secrètes peuvent désormais être identifiées indépendamment par d’autres chercheurs ou acteurs malveillants, rendant la confidentialité de plus en plus précaire.
Perlroth soutient que ce développement érode progressivement le marché des intermédiaires qui achetaient auparavant des informations sur des vulnérabilités aux hackers et les revendaient aux gouvernements. Elle a noté : « Pourquoi un gouvernement paierait-il des millions pour quelque chose qu’il peut simplement trouver en utilisant un modèle coûtant 450 $ ? »
« C’est la mort du NOBUS, » a affirmé Perlroth, expliquant que toute vulnérabilité découverte doit désormais être corrigée le plus rapidement possible, car elle peut être révélée par d’autres modèles.
Chang Che avance que les États-Unis ont une plus grande capacité d’adaptation face à ces changements, renforcée par des chercheurs indépendants, la concurrence entre entreprises et des mécanismes de contrôle public. Les entreprises américaines risquent des poursuites collectives
