Des agents OpenAI auditent Linux et chiffrent le prix d'une faille de sécurité
— ÉTHIQUE
OpenAI fait traquer par des agents 948 failles distinctes dans le noyau Linux, avec correctifs proposés en parallèle. Le coût tombe autour de 1280 dollars par faille, un ordre de grandeur qui dit où va l'automatisation de la sécurité logicielle.
Un agent qui lit 2,8 millions de lignes de code, repère une faille, la reproduit dans une machine isolée et rédige lui-même le correctif : voilà ce qu'OpenAI vient de faire tourner sur le noyau Linux. Le résultat tient en un chiffre qui parle à n'importe quel responsable de budget technique, 948 failles distinctes confirmées, chacune avec son programme de preuve et sa proposition de correction.
Personne dans un studio créatif ne va ouvrir ce rapport de sécurité. Mais les plateformes qui font tourner les générateurs d'images, les outils de montage cloud ou les moteurs de rendu reposent presque toutes sur des serveurs Linux. La vitesse et le coût avec lesquels leurs failles se détectent et se corrigent pèsent, in fine, sur la stabilité et le prix des abonnements que ces mêmes studios paient chaque mois.
Le détail qui mérite d'être retenu, c'est le coût. La campagne a consommé 1,2 million de dollars de crédits de calcul pour ces 948 failles, soit environ 1280 dollars pièce. Un audit de sécurité humain équivalent coûterait sans doute un multiple de ce montant, et c'est précisément ce type d'écart qui pousse les grandes plateformes à généraliser ce genre d'automatisation partout où du code tourne.
Un détail du rapport tempère l'enthousiasme. Lors d'un essai, 200 élévations de privilèges semblaient réussies, mais la vérification humaine a montré que 20 d'entre elles exploitaient en réalité une faille différente de celle visée. L'agent atteignait son objectif par un chemin faux. La supervision humaine reste donc la pièce qui garantit la fiabilité du résultat, pas un simple contrôle de forme.
Comparé à un audit de code classique, mené manuellement composant par composant, le gain d'échelle est réel et mesurable. Les correctifs générés automatiquement arrivaient d'abord incomplets, avec du code superflu ou des effets secondaires non anticipés, avant de s'améliorer au fil des itérations. L'automatisation accélère la détection, elle ne dispense pas de la relecture avant intégration dans un projet vivant.
Ce que ce rapport annonce, c'est la généralisation prochaine d'agents de sécurité sur l'ensemble de l'infrastructure logicielle, celle-là même qui héberge les outils de création utilisés chaque jour. Le jour où ce type d'audit tournera en routine sur les plateformes cloud grand public, son coût se répercutera, dans un sens ou dans l'autre, sur la facture des outils déjà en place.