Google stopped a zero-day hack that it says was developed with AI
Le bug du futur aura peut-être été écrit par l’IA qui va le corriger.
Google dit avoir stoppé une attaque zero-day développée avec de l’IA.
On peut lire ça comme une anecdote cyber de plus.
Ou comme le début d’un truc beaucoup plus bizarre.
Parce que si l’IA écrit du code, elle écrira aussi des bugs. Si elle audite du code, elle trouvera aussi des failles. Et si elle apprend à exploiter ces failles, elle forcera d’autres IA à les corriger plus vite qu’un humain ne peut ouvrir son backlog Jira.
Bienvenue dans la sécurité récursive.
Une IA génère. Une IA casse. Une IA corrige. Une IA vérifie que la correction n’a pas créé une nouvelle faille.
Et au milieu, il y a nous, avec notre vieux réflexe rassurant : demander à un seul modèle s’il a raison.
Spoiler : c’est une mauvaise idée.
La bonne approche, je l’applique déjà sur les sujets sensibles : challenger un LLM avec un autre.
Claude relit Codex. Codex challenge Gemini. Gemini voit parfois ce que Claude a raté. Et parfois, le deuxième modèle démonte une fausse alerte que le premier avait vendue comme critique.
Ce n’est pas du gadget.
C’est une méthode de travail.
Une faille n’est pas réelle parce qu’un modèle l’a affirmée avec aplomb. Une correction n’est pas propre parce qu’un modèle l’a générée avec un ton très sûr de lui. Un audit IA sérieux doit devenir contradictoire.
Comme en justice. Comme en science. Comme dans tout système où l’erreur coûte cher.
Le futur de la cybersécurité ne sera pas “les humains contre les hackers augmentés par l’IA”.
Ce sera surtout une guerre de validation entre modèles.
Celui qui attaque. Celui qui défend. Celui qui vérifie que les deux ne racontent pas n’importe quoi.
Et c’est probablement là que beaucoup d’entreprises vont se planter : elles vont acheter un copilote de sécurité, lui faire confiance, et appeler ça une stratégie.
Non.
La stratégie, ce n’est pas d’avoir un modèle.
C’est d’organiser le désaccord entre plusieurs modèles, puis de garder l’humain au bon endroit : l’arbitrage.
La vraie question n’est donc plus : “est-ce que l’IA peut trouver une faille ?”
La vraie question, c’est : “qui challenge l’IA qui vient de vous dire qu’il n’y en avait pas ?”
#cybersecurite #intelligenceartificielle #zeroday #llm #devsecops
Florent - CEO BubbleStone.ai L’IA sans bullshit : faire se contredire les machines avant qu’elles ne vous mettent d’accord sur une erreur.
Source
Notes de veille
- Signal veille : 0.0
- Sources : rss