Mozilla et Anthropic : l'IA révolutionne la sécurité logicielle

L'impact de l'IA sur la sécurité des entreprises

L'introduction de l'intelligence artificielle dans la découverte de vulnérabilités modifie profondément le paysage de la sécurité des entreprises. Traditionnellement, les entreprises cherchaient à rendre les attaques si coûteuses que seuls les adversaires avec des ressources quasi illimitées pouvaient se permettre de les mener. Cette approche visait à décourager les attaques opportunistes.

Cependant, une évaluation récente par l'équipe d'ingénierie de Mozilla Firefox, utilisant Claude Mythos Preview d'Anthropic, a remis en question cette stratégie. Lors de cette évaluation, l'équipe a pu identifier et corriger 271 vulnérabilités dans la version 150 de Firefox. Cette avancée suit une collaboration antérieure avec Anthropic, qui avait permis de corriger 22 vulnérabilités dans la version 148 grâce à Opus 4.6.

Une pression sur les ressources mais des économies à long terme

La découverte simultanée de centaines de vulnérabilités exerce une pression considérable sur les ressources d'une équipe. Toutefois, dans le climat réglementaire strict actuel, effectuer le travail nécessaire pour prévenir une violation de données ou une attaque par ransomware s'avère rapidement rentable. Le scannage automatisé réduit également les coûts, car le système vérifie en continu le code par rapport aux bases de données de menaces connues, permettant aux entreprises de réduire le recours à des consultants externes coûteux.

Les défis de l'intégration de l'IA dans les systèmes existants

L'intégration de modèles d'IA de pointe dans les pipelines d'intégration continue existants entraîne des considérations de coûts informatiques élevés. Faire passer des millions de tokens de code propriétaire à travers un modèle comme Claude Mythos Preview nécessite des dépenses en capital dédiées. Les entreprises doivent établir des environnements de bases de données vectorielles sécurisées pour gérer les fenêtres de contexte nécessaires pour de vastes bases de code, garantissant que la logique d'entreprise propriétaire reste strictement partitionnée et protégée.

L'évaluation des résultats exige également une atténuation rigoureuse des hallucinations. Un modèle générant de fausses vulnérabilités de sécurité gaspille des heures d'ingénierie humaine coûteuses. Par conséquent, le pipeline de déploiement doit recouper les résultats du modèle avec les outils d'analyse statique existants et les résultats de fuzzing pour valider les découvertes.

L'importance des tests de sécurité automatisés

Les tests de sécurité automatisés reposent fortement sur des techniques d'analyse dynamique, en particulier le fuzzing, réalisé par des équipes internes de red teams. Bien que le fuzzing soit très efficace, il rencontre des difficultés avec certaines parties de la base de code. Les chercheurs en sécurité d'élite surmontent ces limitations en raisonnant manuellement à travers le code source pour identifier des défauts logiques. Ce processus manuel est chronophage et limité par la rareté de l'expertise humaine d'élite.

L'intégration de modèles avancés élimine cette contrainte humaine. Les ordinateurs, totalement incapables de cette tâche il y a quelques mois, excellent désormais dans le raisonnement à travers le code. Mythos Preview démontre une parité avec les meilleurs chercheurs en sécurité au monde. L'équipe d'ingénierie a noté qu'elle n'a trouvé aucune catégorie ou complexité de défaut que les humains peuvent identifier et que le modèle ne peut pas. De plus, ils n'ont pas observé de bugs qui n'auraient pas pu être découverts par un chercheur humain d'élite.

La transition vers des langages de programmation plus sûrs

Bien que la migration vers des langages sûrs pour la mémoire comme Rust offre une atténuation pour certaines classes de vulnérabilités courantes, arrêter le développement pour remplacer des décennies de code C++ hérité est financièrement inviable pour la plupart des entreprises. Les outils de raisonnement automatisés offrent une méthode très rentable pour sécuriser les bases de code héritées sans encourir les coûts exorbitants d'une refonte complète du système.

Vers une nouvelle norme de sécurité logicielle

Un grand écart entre ce que les machines peuvent découvrir et ce que les humains peuvent découvrir favorise fortement l'attaquant. Les acteurs hostiles peuvent concentrer des mois d'efforts humains coûteux pour découvrir une seule exploitation. Réduire cet écart de découverte rend l'identification des vulnérabilités peu coûteuse, érodant l'avantage à long terme de l'attaquant. Bien que la première vague de défauts identifiés semble terrifiante à court terme, elle constitue une excellente nouvelle pour la défense des entreprises.

Les fournisseurs de logiciels exposés à Internet ont des équipes dédiées visant à protéger les utilisateurs. À mesure que d'autres entreprises technologiques adoptent des méthodes d'évaluation similaires, la norme de base en matière de responsabilité logicielle changera. Si les modèles peuvent trouver de manière fiable des défauts logiques dans une base de code, ne pas utiliser de tels outils pourrait bientôt être considéré comme de la négligence d'entreprise.

Il est important de noter qu'il n'y a aucune indication que ces systèmes inventent des catégories entièrement nouvelles d'attaques qui défient la compréhension actuelle. Les applications logicielles comme Firefox sont conçues de manière modulaire pour permettre un raisonnement humain sur la correction. Le logiciel est complexe, mais pas arbitrairement complexe. Les défauts logiciels sont finis.

En adoptant des audits automatisés avancés, les leaders technologiques peuvent activement vaincre les menaces persistantes. L'afflux initial de données exige une intense concentration d'ingénierie et une re-priorisation. Cependant, les équipes qui s'engagent dans le travail de remédiation requis trouveront une conclusion positive à ce processus. L'industrie se tourne vers un avenir proche où les équipes de défense possèdent un avantage décisif.