Patch the Planet : coordonner la réponse mondiale aux failles critiques détectées par les agents
Au cours des deux derniers mois, nous avons dirigé une coalition de responsables de maintenance, de chercheurs et de fournisseurs de sécurité pour corriger des vulnérabilités critiques dans PHP, un langage de programmation à code source ouvert utilisé pour les sites et applications Web. Calif a découvert une faille critique à l’aide de GPT‑5.6 Sol dans le cadre de notre initiative Patch the Planet(s'ouvre dans une nouvelle fenêtre). Wiz a aussi découvert et signalé les deux vulnérabilités de façon indépendante. Les responsables de PHP ont dirigé la correction et la publication, avec l’apport de nos équipes et de partenaires comme Wiz et Cloudflare en recherche, en soutien technique et en coordination pour préparer les protections avant la divulgation.
Pour les organisations qui utilisent PHP, la priorité est maintenant d’appliquer les correctifs. Nous proposons un vérificateur de version PHP sous forme de compétence Codex(s'ouvre dans une nouvelle fenêtre) pour aider les exploitants à repérer les versions potentiellement vulnérables et, avec les consignes de PHP et de leurs fournisseurs, à déterminer les mises à jour à appliquer.
Vu la gravité de ces failles et l’usage répandu de PHP, nous considérons qu’il s’agit d’un des problèmes de sécurité les plus importants des dernières années. Ce cas montre comment l’IA peut découvrir des failles de sécurité ayant des répercussions à l’échelle d’Internet. Mais ces mêmes capacités peuvent aussi aider les attaquants à créer rapidement des outils offensifs et des codes d’exploitation.
À notre connaissance, l’IA de pointe a découvert ces vulnérabilités avant les attaquants, ouvrant une fenêtre d’action pour les défenseurs afin que les responsables de maintenance et les fournisseurs de sécurité préparent des correctifs et des protections avant la divulgation.
Pour aider davantage de défenseurs à utiliser ces capacités, nous avons engagé un milliard de dollars en accès subventionné à Daybreak dans le cadre de Daybreak pour les défenseurs de première ligne, destiné aux organisations qui protègent des services essentiels avec des ressources de sécurité limitées.
Aussi graves soient-ils, ces bogues font partie des nombreuses vulnérabilités importantes que nous avons déjà découvertes et travaillons à corriger. Nous prévoyons une forte hausse de découvertes similaires dans les prochains mois. Forts de notre expérience, nous proposons une approche adaptée à l’ère de l’IA pour répondre aux vulnérabilités critiques des logiciels largement utilisés, et invitons la communauté de la sécurité à améliorer ce cadre. Cette approche réunit nos modèles, notre expertise en sécurité et les responsables de maintenance pour transformer les découvertes en protections et bâtir une réponse capable d’évoluer au rythme de l’IA.
Déployer un correctif peut exiger de l’adapter aux anciennes versions, de préparer des mesures d’atténuation chez les fournisseurs et de mettre à jour les systèmes de nombreuses organisations. Un processus reproductible aide ces équipes à agir vite à mesure que de nouvelles vulnérabilités sont découvertes.
Par l’intermédiaire de Patch the Planet, nous avons fourni une expertise en sécurité et un accès aux modèles pour soutenir la réponse de PHP, et collaboré avec les responsables de maintenance et les partenaires de recherche pour tester les correctifs et préparer des consignes. Nous avons aussi coordonné les protections des systèmes touchés avec les fournisseurs d’infrastructure et sollicité les organismes gouvernementaux de cybersécurité pour transmettre les consignes aux organisations essentielles. Cela a soutenu la réponse menée par les responsables de maintenance et aidé d’autres défenseurs à se préparer.
Pour certaines découvertes, les chercheurs peuvent travailler directement avec les responsables du logiciel pour examiner le problème et créer un correctif. D’autres exigent une réponse élargie, car elles touchent de nombreux produits ou parce que les distributeurs et fournisseurs de services ont besoin de temps pour préparer les mises à jour et les protections. Ce temps peut manquer si les capacités de pointe devancent peu celles accessibles à tous. Dans ces cas, le cadre proposé peut aider les responsables de maintenance à déterminer qui doit participer et à coordonner le travail. La réponse peut comprendre cinq étapes :
Valider et corriger la vulnérabilité en amont. Le responsable de maintenance, les chercheurs et les partenaires techniques essentiels confirment la découverte, évaluent ses répercussions, puis créent et testent un correctif. Ce processus comprend des tests adversariaux avec des modèles de pointe pour chercher des moyens de contourner le correctif et des variantes connexes de la vulnérabilité.
Donner aux organisations touchées le temps d’agir. Nous proposons un cadre pour évaluer quelles organisations doivent être informées à l’avance afin de préparer des protections, tout en laissant aux responsables de maintenance le choix des participants. Nous aidons à la prise de contact, aux ententes de partage d’information et à la coordination entre équipes. Un distributeur pourrait adapter un correctif à une ancienne version, un hébergeur tester une mesure d’atténuation, et un fournisseur de sécurité préparer des mesures de détection ou de prévention, dont des règles de pare-feu d’applications Web (WAF).
Coordonner la protection des systèmes critiques avec les partenaires gouvernementaux. Les organismes gouvernementaux jouent un rôle essentiel pour coordonner une réponse élargie et transmettre les consignes de sécurité aux organisations responsables des infrastructures critiques et d’autres services essentiels. Pour PHP, nous avons travaillé avec nos partenaires à mobiliser plusieurs entités du gouvernement américain, dont la Super Intelligence Force de la Maison-Blanche, le Bureau du directeur national de la cybersécurité (ONCD) et l’Agence de cybersécurité et de sécurité des infrastructures (CISA), ainsi que des partenaires internationaux pour soutenir cet effort.
Préparer les mises à jour des produits touchés. Une fois le correctif, les consignes et les plans de divulgation stabilisés, les responsables de maintenance peuvent mobiliser d’autres distributeurs, hébergeurs, fournisseurs de services, équipes d’intervention et exploitants pour préparer les mises à jour et combler les lacunes de couverture.
Dès qu’un correctif est disponible, publier des consignes et soutenir son déploiement. Les consignes publiques aident à évaluer l’exposition, à trouver des mises à jour officielles ou des mesures d’atténuation provisoires et à vérifier qu’un correctif est actif. La réponse se poursuit pendant que les exploitants déploient les mises à jour et signalent leurs besoins d’aide.
Le cadre proposé tient compte du rôle protecteur d’une organisation, notamment envers ses propres systèmes et clients, du temps nécessaire pour agir et de sa capacité à gérer des renseignements sensibles. Les mêmes critères s’appliqueraient aux organisations comparables, les responsables de maintenance décidant qui mobiliser avant la divulgation.
Chaque participant reçoit l’information nécessaire à son travail de protection, des journaux réseau contenant des indicateurs de compromission aux preuves de concept d’exploitation fonctionnelles, plus sensibles. Même des détails limités peuvent révéler une vulnérabilité. Nous soupesons donc le risque de les partager par rapport à la protection qu’ils permettent.
Les équipes suivant ce cadre travailleraient avec les responsables de maintenance pour laisser aux défenseurs le temps de se préparer et réévaluer le calendrier en cas d’exploitation active, de fuite, de correctif public révélateur ou de risque accru pour les utilisateurs dû à une correction qui tarde.
Le site Web de Patch the Planet(s'ouvre dans une nouvelle fenêtre) rassemble les divulgations publiques et les consignes pour aider les exploitants à repérer les systèmes touchés, à trouver la bonne mise à jour et à vérifier que le logiciel mis à jour fonctionne correctement. Pour PHP, il renvoie au correctif officiel et aux instructions de mise à niveau des responsables de maintenance, ainsi qu’aux recherches techniques de nos partenaires. Les consignes couvrent aussi les mesures d’atténuation provisoires, le recours à un fournisseur ou à un expert, ainsi que la sauvegarde et la récupération. Les protections provisoires peuvent réduire les risques, mais nous préciserons leurs limites et leurs compromis opérationnels.
Les exploitants peuvent utiliser les consignes de la CISA sur la priorisation et la correction(s'ouvre dans une nouvelle fenêtre) pour évaluer l’urgence d’agir selon l’exposition, l’exploitation et les répercussions possibles. Cela peut exiger un correctif d’urgence, une atténuation immédiate ou une mise à jour planifiée, avec au besoin un triage d’investigation numérique pour déterminer si les systèmes sont déjà compromis. Les priorités doivent être réévaluées selon l’évolution de la situation, avec une voie claire vers une correction durable.
La coordination mondiale repose sur les personnes qui assurent la maintenance des logiciels. De nombreux projets sont gérés par de petites équipes qui examinent les signalements de sécurité tout en poursuivant le développement courant. Ces équipes ont besoin d’aide pour distinguer les nouveaux problèmes des doublons, évaluer les répercussions et tester les correctifs sur les versions prises en charge. Nous soutenons ce travail par du financement, un accès à des modèles performants et une aide technique concrète.
Les capacités avancées de l’IA progressent dans tout le secteur. Nous prévoyons qu’elle aidera de plus en plus les défenseurs à trouver des vulnérabilités, à surveiller les systèmes et à répondre aux menaces. Nous investissons dans des modèles, des outils et des partenariats pour aider les défenseurs à exploiter ces capacités.
Nos investissements comprennent des abonnements pour tous les responsables de maintenance par l’intermédiaire de Codex pour les logiciels libres, ainsi que le soutien financier direct à des projets comme la Fondation Rust(s'ouvre dans une nouvelle fenêtre) pour la maintenance et les travaux techniques. Chaque projet établit ses propres priorités. Des tests et des processus de sécurité réutilisables peuvent réduire l’effort nécessaire pour traiter les découvertes futures. Les projets à code source ouvert peuvent présenter une demande à Patch the Planet(s'ouvre dans une nouvelle fenêtre) pour obtenir un soutien concret.
Nous calibrons aussi des classificateurs de blocage supplémentaires pour Daybreak afin de réduire les risques d’utilisation abusive. Cela exige des compromis difficiles : les protections contre les abus peuvent aussi bloquer des travaux de sécurité légitimes. Un large accès à des modèles performants et des protections efficaces contre les abus sont tous deux essentiels. Notre objectif est de préserver les capacités dont les défenseurs ont besoin pour trouver et corriger les vulnérabilités, tout en limitant les usages nuisibles. Nous continuerons d’affiner cet équilibre à mesure que les capacités progressent et que nous apprenons comment ces outils sont utilisés.
À mesure que les modèles deviennent plus performants, les possibilités vont au-delà de la découverte et de la correction de vulnérabilités individuelles. Nous voulons aider les ingénieurs à créer des logiciels plus sécuritaires dès le départ. Améliorer un composant largement utilisé peut prévenir des bogues ou limiter leurs répercussions sur de nombreux produits et services.
L’IA peut aider les ingénieurs à comprendre le code existant, à préparer des modifications et à créer des tests, tandis que les responsables de maintenance et les experts en sécurité vérifient que ces changements préservent le comportement attendu par les utilisateurs. Nous voyons des possibilités dans plusieurs domaines :
Du code sécurisé dès le départ. Les modèles de programmation peuvent aider les développeurs à choisir des paramètres par défaut plus sûrs, à bien utiliser les bibliothèques de sécurité et à repérer les pratiques risquées pendant l’écriture du code. Prévenir les vulnérabilités pendant le développement réduit les correctifs d’urgence pour les responsables de maintenance et les utilisateurs.
Des logiciels à sécurité mémoire. Migrer les composants critiques vers des langages à sécurité mémoire peut éliminer des catégories courantes d’erreurs de mémoire. L’IA peut faciliter les migrations, avec des tests et une révision par des experts pour vérifier le comportement et la compatibilité.
La vérification formelle. Des preuves mathématiques peuvent montrer que des composants critiques respectent des propriétés de sécurité précises selon des hypothèses définies. Appliquer ces méthodes à des composants largement utilisés pourrait éliminer des catégories de vulnérabilités dans les services et les infrastructures critiques qui en dépendent.
Une isolation renforcée. Les systèmes doivent être protégés contre les vulnérabilités qui n’ont pas encore été découvertes ou corrigées. Exécuter les logiciels qui traitent des fichiers, des images ou des médias non fiables dans des bacs à sable strictement limités peut réduire les dommages en cas de compromission. L’IA peut aider les ingénieurs à tester et à renforcer les technologies courantes de mise en bac à sable, améliorant ainsi la protection de nombreuses applications.
Nous présentons notre approche pour que les responsables de maintenance, les chercheurs, les équipes d’intervention, les fournisseurs et les exploitants contribuent à la rendre applicable. Nous voulons comprendre où elle serait utile, où elle pourrait ajouter des délais ou du travail, et ce qui nous a échappé. Des exemples de divulgations passées seraient particulièrement utiles.
Nous nous intéressons particulièrement aux points suivants :
Les délais de divulgation. De combien de temps les responsables de maintenance, les exploitants et les défenseurs ont-ils besoin pour préparer et déployer des correctifs fiables? Quels éléments devraient déclencher une divulgation anticipée, surtout lorsque certains utilisateurs peuvent être protégés avant d’autres?
L’application de correctifs d’urgence. Dans quels cas, s’il y en a, les gouvernements ou d’autres exploitants devraient-ils exploiter une vulnérabilité pour corriger des systèmes qu’ils possèdent ou sont autorisés à gérer, après avoir perdu l’accès administratif? Quels garde-fous devraient s’appliquer? Nous pouvons imaginer, à terme, une analyse continue de tout Internet pour détecter les vulnérabilités connues, puis avertir les propriétaires des sites touchés ou corriger les systèmes.
Les avis préalables. Qui doit être averti à l’avance pour prendre une mesure de protection utile, y compris parmi les défenseurs que nous pourrions oublier? Quand vaut-il mieux transmettre les avis par étapes plutôt qu’à un groupe élargi d’un seul coup, et comment soupeser la couverture par rapport au risque de fuite?
Les paquets logiciels sécurisés par défaut. Comment aider à repérer et à corriger les vulnérabilités des paquets en aval en attendant les correctifs en amont, ou à rétroporter les correctifs vers d’anciennes versions qui ne reçoivent plus de mises à jour de sécurité? Quels tests et quelle maintenance rendraient ces paquets fiables lorsqu’une mise à niveau rapide n’est pas possible?
Nous accueillons aussi les recommandations d’experts indépendants en sécurité pouvant examiner l’approche, remettre en question ses hypothèses et repérer ses lacunes. Vos commentaires nous aideront à affiner la réponse et à prioriser le soutien. Faites-nous part de vos commentaires ici(s'ouvre dans une nouvelle fenêtre).
