Le système d'IA découvre 12 zero-days dans OpenSSL, Curl annule son programme de prime aux bogues à cause du spam généré par l'IA.

Le système d'IA automatisé d'AISLE pour la découverte de vulnérabilités en cybersécurité a trouvé les 12 vulnérabilités zero-day dans la dernière mise à jour de sécurité d'OpenSSL, tandis que curl a annulé son programme de prime aux bogues en raison des soumissions de spam générées par l'IA. Cela représente la première démonstration réelle de cybersécurité basée sur l'IA à cette échelle contre une infrastructure fortement audité.

Détails clés de la source

Le système d'IA a découvert des vulnérabilités dans OpenSSL, qui sous-tend le chiffrement d'au moins deux tiers du trafic internet mondial. Le système opère sous le pseudonyme "Giant Anteater" dans les programmes de prime aux bogues et vise à transformer la recherche de sécurité d'élite en un processus industriel reproductible.

Les résultats précédents de l'automne 2025 incluaient :

• CVE-2025-9230 : Lecture/écriture hors limites dans l'opération de déballage KEK RFC 3211 pour le chiffrement CMS basé sur mot de passe, pouvant entraîner une corruption de mémoire ou une exécution de code. Ce bogue était présent depuis 2009.
• CVE-2025-9231 : Canal auxiliaire temporel dans les signatures de courbe elliptique SM2 sur ARM 64 bits, où les variations de temps d'exécution pourraient permettre la récupération de clé privée par observation à distance.
• CVE-2025-9232 : Lecture hors limites dans la gestion no_proxy du client HTTP lors de l'analyse des hôtes IPv6, déclenchant un plantage contrôlé.

Le système gère la boucle complète incluant le balayage, l'analyse, le triage et la construction d'exploit. Les mainteneurs d'OpenSSL sont réputés conservateurs concernant l'émission de CVE, faisant de leur acceptation un critère externe rigoureux.

Pendant ce temps, curl a annulé son programme de prime aux bogues en raison d'un déluge de soumissions de spam générées par l'IA, même si AISLE leur a signalé 5 CVE authentiques. Cela illustre l'impact double de l'IA : faire s'effondrer la qualité médiane des soumissions tout en élevant le plafond pour découvrir de véritables zero-days dans les infrastructures critiques.

Le projet de prévision "Frontière de l'année 2025" a placé la découverte de vulnérabilités pilotée par l'IA dans les infrastructures critiques à la 3ème position globale par impact attendu, avec une probabilité de 0,9 de généralisation.