OpenAI pilote la riposte face aux failles critiques de PHP

Résumé

OpenAI et ses partenaires ont coordonné la correction de vulnérabilités critiques dans PHP, avant leur divulgation, grâce à des agents d’IA.

Les faits

OpenAI indique avoir dirigé, pendant deux mois, une coalition de mainteneurs, de chercheurs et de fournisseurs de sécurité pour traiter des vulnérabilités critiques dans PHP, langage open source utilisé pour faire fonctionner des sites et des applications web. Calif a identifié une faille critique avec GPT‑5.6 Sol dans le cadre de l’initiative Patch the Planet, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités. Les mainteneurs de PHP ont piloté les corrections et leur publication, avec la contribution de Wiz, Cloudflare et d’autres partenaires. OpenAI recommande désormais aux organisations utilisant PHP d’appliquer les correctifs. L’entreprise met à disposition un vérificateur de version PHP et annonce le lancement prochain d’une compétence Codex destinée à aider les opérateurs à repérer les versions potentiellement vulnérables et à déterminer les mises à jour applicables, en s’appuyant sur les recommandations de PHP et des fournisseurs concernés. Selon OpenAI, ces vulnérabilités figurent parmi les problèmes de sécurité les plus lourds de mémoire en raison de la gravité des failles et de l’utilisation étendue de PHP. L’entreprise affirme que l’IA de pointe les a découvertes avant les attaquants, créant une « fenêtre de défense » permettant aux mainteneurs et aux fournisseurs de sécurité de préparer les correctifs et les protections avant la divulgation. Le dispositif proposé repose sur cinq étapes : valider et corriger la vulnérabilité en amont ; laisser aux organisations concernées le temps d’agir ; coordonner les partenaires gouvernementaux pour protéger les systèmes critiques ; préparer les mises à jour des produits affectés ; puis publier des recommandations et accompagner le déploiement du correctif. OpenAI annonce également un engagement de 1 milliard de dollars d’accès subventionné à Daybreak pour les organisations disposant de ressources de sécurité limitées et protégeant des services essentiels.

Pourquoi c’est important

L’initiative illustre un changement d’échelle dans la réponse aux vulnérabilités : l’IA peut examiner des logiciels largement utilisés et détecter des failles avant leur exploitation, mais ses capacités peuvent aussi aider des attaquants à développer rapidement des outils et des attaques. La coordination entre mainteneurs, chercheurs, fournisseurs, hébergeurs et autorités devient donc un élément central de la défense. Le cadre proposé cherche à transformer une découverte technique en protection opérationnelle. Il prévoit notamment l’adaptation des correctifs aux anciennes versions, la préparation de mesures d’atténuation par les fournisseurs et la diffusion de recommandations permettant aux opérateurs d’évaluer leur exposition et de vérifier l’installation des mises à jour. OpenAI estime que le nombre de découvertes similaires augmentera fortement dans les prochains mois.

Questions fréquentes

Quelle vulnérabilité est au cœur de l’initiative Patch the Planet ?

L’initiative porte sur des vulnérabilités critiques affectant PHP, un langage open source utilisé pour les sites et applications web.

Quels acteurs ont participé à la réponse ?

Les mainteneurs de PHP ont piloté les corrections, avec les contributions de Calif, OpenAI, Wiz, Cloudflare et d’autres partenaires.

Quel rôle GPT‑5.6 Sol a-t-il joué ?

Calif a identifié une faille critique avec GPT‑5.6 Sol dans le cadre de Patch the Planet.

Que doivent faire les organisations utilisant PHP ?

Elles doivent appliquer les correctifs et utiliser le vérificateur de version PHP pour identifier les versions potentiellement vulnérables.

Quel soutien OpenAI prévoit-il pour les défenseurs ?

OpenAI a annoncé 1 milliard de dollars d’accès subventionné à Daybreak pour les organisations protégeant des services essentiels avec des ressources limitées.

Source

Auteur

Rédaction spécialisée dans la veille et l'analyse de l'actualité de l'intelligence artificielle, des puces IA, des robots, des agents IA et de la recherche.