**GPT-4 : une nouvelle ère pour la création d’exploits de failles critiques**
Le 16 avril 2024, une vulnérabilité majeure a été découverte dans le protocole SSH d’Erlang/OTP, une technologie très utilisée pour le développement de systèmes robustes. Cette faille, référencée sous le code CVE-2025-32433, a reçu un score de criticité maximal de 10 sur l’échelle CVSS, mettant en lumière le risque élevé qu’elle représente. Elle permet une exécution de code à distance, ce qui pourrait, sans mesure de sécurité adéquate, ouvrir la porte à des attaques sévères.
**Une exploitation accélérée grâce à l’IA**
Quelques jours après la révélation de cette vulnérabilité, des chercheurs spécialisés en sécurité ont pu reproduire un proof of concept (PoC) de l’exploit, démontrant sa faisabilité. Cependant, le véritable tournant a été pris par Matt Keeley, un ingénieur en sécurité principal chez Platform Security, qui a utilisé l’intelligence artificielle GPT-4 pour concevoir un exploit fonctionnel entièrement généré par IA, avant même que le PoC ne soit public.
Matt Keeley a décrit un processus où GPT-4 a permis d’analyser la vulnérabilité en profondeur, de localiser précisément la faille dans plusieurs versions de code, puis de générer un code d’exploitation tout en déboguant et en corrigeant automatiquement le code. Ce travail, qui requérait auparavant des compétences pointues en Erlang et des heures de travail manuel, s’est vu réduit à un échange d’informations avec l’IA sur un après-midi grâce à des instructions précises, ou prompts.
**Implications pour la sécurité informatique**
Cette avancée soulève des questions majeures sur l’utilisation croissante de l’intelligence artificielle dans la recherche et l’exploitation de failles de sécurité. Si l’IA peut accélérer la découverte et la mise au point d’exploits, elle peut également faciliter leur diffusion rapide entre acteurs malveillants, rendant les réponses défensives plus complexes.
Face à ce constat, plusieurs experts appellent à une vigilance renforcée et à l’élaboration de stratégies adaptées pour contrer cette nouvelle menace. La facilité avec laquelle un exploit critique peut désormais être créé impose une réactivité accrue des équipes de sécurité.
**Mesures correctives et recommandations**
Les versions impactées d’Erlang/OTP concernent notamment OTP-27.3.2 et antérieures, OTP-26.2.5.10 et antérieures ainsi que OTP-25.3.2.19 et antérieures. Des correctifs ont déjà été déployés dans des versions plus récentes telles que OTP-27.3.3, OTP-26.2.5.11, et OTP-25.3.2.20.
Les entreprises utilisant ces serveurs sont fortement invitées à procéder rapidement à la mise à jour de leurs systèmes pour se prémunir contre cette faille critique. En parallèle, il est essentiel de surveiller les pratiques émergentes intégrant l’IA dans la sécurité informatique, tant pour bénéficier de ses potentialités que pour anticiper ses risques.
👉 **Source** ici
