Les modèles d'IA trouvent des failles plus vite que les mainteneurs ne peuvent les corriger

Le bug derrière PHP2Shell dormait depuis 2024, classé peu dangereux. Fin octobre, l'équipe Calif, aidée d'outils d'IA lors d'un audit financé par OpenAI, en a tiré une exécution de code à distance critique en moins de deux semaines. PHP a livré un correctif avant toute exploitation connue.

OpenAI pousse la même logique avec GPT-6 Cyber, lancé le 5 novembre pour des équipes de sécurité approuvées. Lors d'une campagne sur Firefox, le modèle a signalé 81 failles inconnues jugées graves par Mozilla, qui en a déjà corrigé beaucoup. L'accès reste limité aux clients vérifiés du programme Daybreak Red.

Le goulot se déplace donc vers la correction. Il faut des mainteneurs pour trier et tester : le patch de PHP a mobilisé quatre ingénieurs pendant deux mois. Pour les équipes qui dépendent de code ancien, planifier les mises à jour devient plus urgent que chercher les failles.