⏱️Un exploit en 27 minutes, une faille de 9 ans : la semaine où l'IA a changé de camp

La semaine où l’agent est passé de l’autre côté

Salut, Il y a des semaines où l’actualité cyber est un empilement d’incidents sans lien. Et il y a des semaines où, en reculant d’un pas, on voit que cinq histoires différentes racontent exactement la même chose. Celle qui commence est de la deuxième sorte.

En quelques jours : un agent IA a mené une reconnaissance et une élévation de privilèges tout seul dans le réseau d’un ministère. D’autres agents ont trouvé des failles dans Redis et écrit un exploit fonctionnel en vingt-sept minutes. Une IA a débusqué une faille du noyau Linux vieille de neuf ans que personne n’avait vue. Et des agents de pentest ont sorti huit vulnérabilités d’un logiciel en six heures de lecture de code. Je ne vous raconte pas les détails aujourd’hui (c’est le travail de la semaine). Mais je voulais poser le décor tout de suite.

Le fil rouge

L’IA agentique vient de franchir une ligne, et dans les deux sens à la fois. Côté attaque, elle industrialise la partie mécanique du métier : trouver un motif vulnérable, écrire le payload, remonter la chaîne. Ce qui prenait des semaines à un chercheur se compte maintenant en minutes. Côté défense et recherche, la même capacité fait tomber une croyance confortable « ce code tourne depuis des années sans incident, donc il est sûr ». Non. Il n’avait juste jamais été regardé au bon endroit.

Ce que j’ai envie de creuser avec vous cette semaine, ce n’est pas la panique habituelle du « l’IA va nous remplacer ». C’est l’inverse : dans un monde où la machine fait la partie facile, qu’est-ce qui devient rare et précieux ? Le jugement. Comprendre pourquoi une faille compte dans un contexte donné, décider laquelle des dix-neuf trouvées va vraiment couler la boîte. Ça ne se télécharge pas, et c’est exactement le terrain d’un profil qui a les mains dans le code.

Concrètement, ça déplace la ligne de front. Hier, on vous demandait de connaître les catégories de failles ; demain, on vous demandera de savoir quoi faire quand un agent en trouve trente d’un coup. La compétence qui monte, ce n’est pas la mémorisation, c’est le tri, la priorisation, la capacité à relier une vulnérabilité à une architecture réelle. Et il y a un versant très pratique que je ne veux pas éluder : ces agents autonomes, il faut aussi les sécuriser eux-mêmes. Un agent qui exécute des commandes, c’est une identité non-humaine de plus dans votre système (souvent la plus mal surveillée). On en reparle dès aujourd’hui.

Le programme

Voici ce qui sort d’ici dimanche, sans rien déflorer :

Lundi - une histoire d’audit : l’identité la plus dangereuse que j’ai trouvée chez un client cette année n’était pas un humain.

Mardi - un geste concret pour durcir Redis en trois minutes, et le décryptage d’un zeroday qui lit vos mails sans que vous cliquiez sur quoi que ce soit.

Mercredi - un parcours de reconversion qui donne raison à ceux qui doutent d’eux, et le cas d’école d’une faille trouvée par IA en six heures. Côté newsletter, l’édition dense de mercredi ira au fond de l’affaire de l’agent lâché dans un ministère.

Jeudi - un défi gratuit pour arrêter de lire la sécurité des LLM et commencer à la faire, plus un malware qui se cache dans votre propre navigateur.

Vendredi - une opinion qui va faire réagir sur les certifications, et une technique d’attaque qui fait de vos utilisateurs des complices involontaires.

Week-end - mes coulisses de tri de l’actu, ma boîte à outils d’audit, et dimanche, une histoire : le tout premier ver de l’Internet, en 1988, qui résonne étrangement avec aujourd’hui.

Pour aller plus loin

Si vous voulez prendre de l’avance sur le fil rouge, trois lectures de fond, à la source : L’enquête Hunt.io sur l’agent Hermes détourné : à lire pour voir jusqu’où va une postexploitation autonome quand on coupe le garde-fou d’approbation.

L’analyse des chercheurs ayant lancé des agents Kimi K3 sur Redis : le moment où l’on comprend que « trouver et exploiter » est devenu une commodité.

L’avis sur RefluXFS, la faille noyau de neuf ans trouvée par une IA à qui on a simplement demandé « trouve une faille comme Dirty COW ».

On se retrouve toute la semaine Le programme est dense, le fil est clair, et tout est vérifié à la source (pas de reprise de reprise). Si cette édition vous a donné envie de suivre le fil, transférez-la à la personne de votre équipe qui gère les agents IA ou les comptes de service : elle a une semaine chargée qui l’attend.

Et si on vous a transféré ce mail, l’abonnement se fait sur zerodaycyberacademy.com (une lecture par semaine, du concret, et zéro bruit).

À demain,

Naïm

Répondez à ce mail : dites-moi lequel de ces sujets vous parle le plus, je peux ajuster la profondeur en cours de semaine.