Des mainteneurs bénévoles au bord de la rupture qui ferment purement et simplement leurs canaux de réception de vulnérabilités. Intervenant lors du DataTribe Challenge organisé à Washington dans le cadre de la Cyber Innovation Conference, Michael Aiello, expert en résidence pour la cybersécurité chez OpenAI, a sonné l’alarme face aux dérives de l’intelligence artificielle appliquée à la chasse aux bogues.
Comme le rapporte CyberScoop, le responsable exhorte les chercheurs en sécurité à cesser d’inonder les projets libres de rapports bruts rédigés par des modèles de langage et à privilégier des divulgations rigoureusement coordonnées.
💡 En résumé : la mise en garde d’OpenAI
- Saturation des dépôts : face à des centaines de signalements générés par l’IA difficiles à trier, plusieurs projets open source ont tout simplement cessé d’accepter les soumissions de failles.
- Moins de volume, plus de rigueur : OpenAI invite les chasseurs de bogues à vérifier eux-mêmes l’exploitabilité de leurs découvertes et à fournir des rapports exploitables par un seul humain.
- L’effet PHP2Shell : l’urgence récente sur le moteur PHP a démontré les limites d’un écosystème où l’IA industrialise la découverte de failles sans apporter les bras pour les colmater.
Le mirage du bug bounty automatisé face à des bénévoles isolés
« C’est un problème d’écosystème : le mainteneur ne va tout simplement pas répondre à des centaines et des centaines de vulnérabilités soumises par des IA », a tranché Michael Aiello devant l’assemblée d’experts. Si les modèles frontières identifient désormais de véritables anomalies logicielles en quelques secondes, ils génèrent également un volume étourdissant de faux positifs ou de faiblesses purement théoriques. Pour des artisans du code gérant des briques critiques sur leur temps libre, trier cette bouillie technique tourne au calvaire bureaucratique, provoquant un phénomène d’épuisement massif.
Cette asymétrie opérationnelle s’est révélée au grand jour lors de la crise planétaire PHP2Shell qui a provoqué des blackouts gouvernementaux. Détectées à l’origine avec l’appui du modèle GPT-5.6 Sol dans le cadre du programme Daybreak et de son volet Patch the Planet, ces failles critiques ont nécessité deux mois de mobilisation intensive entre éditeurs et développeurs pour accoucher d’un correctif. Une coordination chaotique qui a fini par fuiter sur les réseaux sociaux avant même la fin de l’embargo officiel, forçant les États à débrancher leurs serveurs.
Quand l’IA fragilise les fondations économiques du web
Cette posture d’OpenAI fait écho aux récentes alertes de la communauté du logiciel libre, à l’image du cri d’alarme lancé par l’EFF pour exiger que les entreprises financent enfin l’open source. L’ONG rappelait qu’en un seul mois d’octobre dopé aux outils génératifs, plus de treize mille nouvelles vulnérabilités ont été soumises au registre du NIST, asphyxiant des équipes qui ne disposent d’aucun soutien financier de la part des multinationales tirant profit de leurs bibliothèques.
Le message transmis aux chercheurs est sans équivoque : quiconque utilise l’intelligence artificielle pour auditer du code doit assumer la charge logistique de sa démarche. Déposer un rapport d’anomalie automatisé sur un dépôt GitHub ne constitue pas un acte de sécurité, mais un report de charge sur des bénévoles qui n’ont rien demandé. Sans une prise de conscience collective et une discipline d’ingénierie stricte, le déferlement de l’IA risque de pousser les derniers gardiens du logiciel libre à fermer définitivement leurs portes.
🌐 L’actualité de l’open source et des technologies éthiques dans votre flux
🐘 Fediverse / Mastodon : suivez notre profil officiel @ depuis votre application ou votre instance favorite.
🦋 Bluesky (AT Protocol) : retrouvez nos actualités condensées et abonnez-vous à @goodtech.info.
