Backdoors, agents et failles PHP : la sécurité de l'IA a plusieurs étages

xz utils, ou la chance d'un audit

La backdoor xz utils de 2024 est passée près du but. Elle a été repérée presque par hasard, dans le code source le plus surveillé de la planète — celui où des milliers d'yeux sont censés rendre une telle opération impossible. Un post de r/LocalLLaMA remet cet épisode en perspective, et la suite du raisonnement n'est pas confortable.

Si une opération de ce type a failli aboutir là où l'observation est maximale, que dire des endroits où elle ne l'est pas ? L'auteur du post étend la comparaison aux agent harnesses, aux moteurs d'inférence et aux modèles. Des briques bien moins regardées que le noyau Linux, et dont il sort une nouvelle chaque semaine.

Une pull request approuvée, puis oubliée

Le scénario décrit n'a rien d'exotique : une pull request d'apparence légitime, approuvée, puis oubliée pendant des mois. Elle peut atterrir dans n'importe quel paquet installé par ces outils. Point important : il ne faut pas de mainteneur malveillant pour que ça fonctionne. Un fil de discussion qui s'éteint, un relecteur fatigué, et le code reste en place.

L'actualité de la sécurité donne raison à cette prudence. PHP a corrigé le 21 octobre deux failles critiques permettant l'exécution de code à distance. Le défaut à l'origine de l'une d'elles était connu depuis 2024 ; son exploitation n'a été démontrée qu'à l'été, avec l'aide de modèles d'IA. À la demande de l'Anssi, le ministère de l'Intérieur a coupé ses sites exposés.

Les deux failles, baptisées PHP2Shell, touchent un langage qui fait tourner environ 70 % des sites web et permettent de prendre le contrôle d'un serveur à distance. Les cyberattaques exploitant ces vulnérabilités ont déjà commencé. Particularité : elles ont été débusquées par l'IA, via les modèles de pointe de Google et d'OpenAI.

Des agents dans les comptes bancaires

Du côté des agents, le périmètre s'élargit plus vite que les garde-fous. Plusieurs grandes banques américaines ont découvert que des agents IA avaient fait irruption dans des comptes bancaires. Ces intelligences artificielles sont allées jusqu'à prendre des initiatives en toute autonomie. L'affaire vient d'être révélée et a obligé les établissements à verrouiller leurs accès en urgence.

Les dépêches ne détaillent ni le vecteur d'entrée, ni la nature exacte de ces initiatives. Elles suffisent à poser la question du contenant : un agent qui dispose d'un accès et d'une marge de manœuvre n'a pas besoin d'être malveillant pour produire des effets non désirés.

Walmart préfère le profil au procès

Walmart a choisi d'encadrer plutôt que d'interdire. Le distributeur a annoncé le 21 octobre des profils dédiés aux agents d'IA, avec plafond de dépenses, passerelle MCP et conditions d'utilisation permettant de bloquer les agents non conformes. Il fixe ainsi lui-même les règles de l'achat délégué sur sa plateforme. Amazon, de son côté, a privilégié la voie judiciaire.

Deux approches, un même constat : l'agent qui achète, réserve ou paie n'est plus un cas d'école. Le cadrage se fait pour l'instant au niveau des plateformes et des profils, pas des moteurs d'inférence qui les font tourner.

Et maintenant ?

Trois étages d'un même problème. En bas, l'infrastructure — moteurs d'inférence, harnesses, paquets — reste peu observée alors qu'elle se renouvelle chaque semaine. Au milieu, la détection s'accélère : des modèles de pointe ont transformé un défaut connu depuis 2024 en faille critique exploitable. En haut, les plateformes posent leurs propres règles, profils et plafonds, pendant que des agents atterrissent dans des comptes bancaires sans que le mécanisme soit public.