L'IA trouve des bogues plus vite que les humains ne peuvent les traiter

Les outils fondés sur l'intelligence artificielle identifient des failles logicielles à un rythme supérieur à celui auquel les experts humains peuvent les examiner, selon l'OpenSSL Foundation. Cette organisation est chargée de la maintenance d'OpenSSL, une bibliothèque de chiffrement qui sécurise une part importante des connexions HTTPS sur Internet.

OpenSSL peine à faire face à l'augmentation des signalements de bogues

Les responsables de la maintenance de la fondation ont du mal à suivre le nombre croissant de signalements de bogues. Le problème touche aussi les utilisateurs de Mac, car macOS utilise LibreSSL, mais OpenSSL reste un composant courant dans les outils installés via Homebrew ainsi que dans de nombreux serveurs.

Les signalements de bogues ont explosé ces derniers mois

Selon Axios, OpenSSL a reçu en moyenne 71 signalements par mois de mai à juillet, contre seulement 9 un an plus tôt. Ce chiffre est passé à 108 en août. Au cours de l'année écoulée, la fondation a reçu environ 500 signalements de vulnérabilités, mais seuls 63 d'entre eux ont abouti à la confirmation de failles. De nombreux signalements sont des doublons ou concernent des bogues mineurs, et chacun doit néanmoins être examiné par un humain.

Davantage d'ingénieurs, mais pas assez de temps

Le nombre d'ingénieurs autorisés à examiner le code est passé de 18 à 30 en deux ans, mais le volume des contributions augmente plus vite que la capacité de révision des relecteurs. Il faut actuellement six à huit semaines entre l'examen d'un signalement et la publication d'un avis de sécurité. La fondation utilise l'IA pour aider à relire le code et à rédiger des tests, mais la validation humaine reste indispensable.

Les outils d'IA risquent de surévaluer les failles

La fondation n'attribue pas de scores CVSS aux failles qu'elle découvre. Un directeur technique a déclaré à Cyber Magazine que, dans un cas, une note « critique » de 9,1 avait été attribuée à une faille qui ne concerne qu'une configuration extrêmement improbable. Cela laisse penser que les outils d'IA peuvent signaler des problèmes qui ne sont pas aussi graves en pratique.

Appels à un meilleur financement des logiciels critiques

Matt Caswell, directeur général de la fondation, appelle à une évolution de la manière dont les logiciels libres critiques sont soutenus. Il soutient que ces projets constituent une infrastructure essentielle et qu'ils devraient être financés en conséquence. OpenSSL n'est pas seul face à ces difficultés : la PHP Foundation a également annoncé en mai la création d'une équipe de sécurité dédiée, en partie en raison de l'augmentation du nombre de signalements de vulnérabilités générés par l'IA.

Des mises à jour de PHP corrigent des failles critiques

PHP, un langage de programmation très répandu, a publié plusieurs versions mises à jour en août pour corriger des failles pouvant permettre l'exécution de code à distance. Bien que toutes ces failles n'aient pas été identifiées par des outils d'IA, il reste important de s'assurer que les serveurs utilisent les dernières versions, notamment après la découverte récente de vulnérabilités critiques.

L'IA réduit le coût de la recherche de bogues, mais pas celui de leur correction

L'IA a rendu la recherche de bogues logiciels presque gratuite, mais le coût de leur tri et de leur correction reste élevé. Ce fardeau retombe souvent sur des projets portés par des bénévoles, qui peuvent manquer de ressources pour traiter efficacement le volume croissant de signalements.