Lorsque trouver des vulnérabilités et générer des exploits ciblés est un travail de 21 minutes qui ne coûte que 3,61 $, il est temps d’abandonner les meilleures pratiques obsolètes et de « combattre au corps à corps avec les attaquants », prévient le responsable de la sécurité de l’IA de Redmond.
Selon un responsable de la sécurité chez Microsoft, les cyberdéfenseurs doivent abandonner les meilleures pratiques traditionnelles et passer des correctifs réactifs à la création de systèmes intrinsèquement résilients face à la découverte de vulnérabilités accélérée par l’IA.
David Weston, chef de groupe au sein de l’équipe Windows de Microsoft, a déclaré aux délégués de Black Hat USA que les approches traditionnelles de correction des vulnérabilités ne fonctionnent pas à une époque où les outils d’IA rendent la découverte des vulnérabilités et le développement d’exploitations moins coûteux, plus rapides et plus évolutifs.
Le discours d’ouverture de Weston, intitulé « La fin du rare : défendre quand l’offensive est bon marché » – a remis en question les meilleures pratiques de l’industrie en matière de vulnérabilité, qui, selon Weston, datent d’une époque où le développement d’exploits et le montage d’attaques prenaient du temps et coûtaient cher. Ce n’est plus le cas, dit-il.
Pour preuve, Weston a expliqué comment le Microsoft Security Response Center (MSRC) double le nombre de vulnérabilités qu’il traite et corrige toutes les six semaines. « C’est un chiffre incroyable », a-t-il déclaré. « Nous représentons neuf fois le volume de vulnérabilité qu’en mars. »
Le rythme accéléré de découverte de vulnérabilités est « fortement corrélé » à l’utilisation croissante d’outils d’IA de plus en plus performants et présente un problème intersectoriel, a-t-il déclaré.
« Il s’agit de vulnérabilités graves, du genre de celles pour lesquelles il me fallait un an pour créer des objets sur mesure », a souligné Weston. « Ils sont crachés à une vitesse industrielle, et il ne s’agit pas (seulement) de Windows. Si vous regardez Linux, vous regardez n’importe quel autre système d’exploitation, je pense que vous verrez une corrélation assez forte. »
Le MDASH de Microsoft, abréviation de Multi-model Agentic Scanning Harness, a découvert environ 200 vulnérabilités du noyau Linux dans la distribution Azure Linux interne de l’entreprise que Microsoft travaille avec la communauté pour corriger.
Microsoft a également ajouté un nouveau module à MDASH pour aider ses ingénieurs à trier les vulnérabilités. La technologie est capable de transformer un résultat d’analyse statique en code d’exploitation de validation de principe.
« Cela a fonctionné bien mieux que nous ne l’avions imaginé », a déclaré Weston, qui dirige la recherche sur la découverte des vulnérabilités de l’IA et les modèles frontières de Microsoft. « Sur les 200 vulnérabilités, nous pouvons générer automatiquement 182 POC de niveau crash. Beaucoup d’entre eux sont des exploits pleinement fonctionnels. Je parle d’exploits racine automatiquement générés par la vulnérabilité. »
Le coût informatique moyen pour détecter ces vulnérabilités et générer leurs exploits n’était que de 3,61 $, avec un temps de génération de 21 minutes.
Les travaux de Microsoft fournissent une preuve supplémentaire que le développement d’un exploit à partir d’une vulnérabilité de sécurité n’est probablement pas un facteur empêchant les attaquants d’accéder aux outils de sécurité avancés basés sur l’IA.
« D’ici la fin de l’année, nous verrons que la génération automatique d’exploits deviendra assez courante et assez courante », a prévenu Weston.
Échec des mesures d’atténuation traditionnelles
Les mesures d’atténuation non déterministes qui introduisent du caractère aléatoire ou imprévisible, telles que l’ASLR (Address Space Layout Randomization), peuvent continuer à être un obstacle pour les attaquants, mais ne sont pas susceptibles d’endiguer longtemps la vague croissante de découvertes de vulnérabilités médiées par l’IA.
Historiquement, les entreprises se sont fortement appuyées sur la détection des menaces pour se défendre, mais cette couche de protection suppose que les attaquants soient confrontés à des problèmes de coût et de temps pour modifier les outils et les techniques qu’ils utilisent. Ces hypothèses rassurantes sont également mises à mal par l’IA, a déclaré Weston.
L’idée était qu’il est « très coûteux de coder un framework ou un implant, donc les gens continuent à utiliser des packers et des outils d’obscurcissement sur les mêmes éléments, et ils continuent à utiliser le même TTP, donc nous allons travailler contre cela. Et cela va nous donner une durabilité dans la détection », a déclaré Weston.
« Au lieu de devoir recycler l’opérateur, ce qui aurait été coûteux pour les cyberopérations, nous pouvons simplement recourir à des opérations autonomes », a-t-il souligné à propos de l’évolution de la mentalité des attaquants. « Au lieu de brouiller les pistes, nous pouvons créer un ensemble d’outils ou de cadres sur mesure par cible. »
Comment renverser la situation face aux attaquants
En réponse à l’évolution de l’économie de la sécurité, l’industrie doit adopter des langages de programmation informatiques sécurisés en mémoire tels que Rust, parallèlement à l’utilisation d’outils basés sur l’IA pour améliorer la résilience des bases de code existantes.
« Nous ne voulons pas utiliser la vulnérabilité pour obtenir un correctif », a soutenu Weston. « Nous ne voulons pas utiliser l’exploitation pour la détection, l’évasion pour la détection. Un combat au corps à corps avec des attaquants nous fera perdre en défense. »
Environ 70 % des vulnérabilités corrigées aujourd’hui, du moins par les principaux fournisseurs, concernent la sécurité de la mémoire. Des langages de programmation informatique plus sûrs, tels que Rust et Golang, « les éliminent », selon Weston. Par exemple, Google a réduit les failles de sécurité de la mémoire de 76 % des vulnérabilités Android en 2019 à moins de 20 % en 2025 après être passé à Rust.
Plus récemment, Microsoft a réécrit l’hyperviseur Azure, le logiciel qui isole les machines virtuelles les unes des autres, à l’aide de Rust, et l’a étendu à 1,5 million de machines virtuelles sans aucun incident indésirable.
Un projet de la Defense Advanced Research Projects Agency, appelé Tractor, automatise la conversion du code C existant en Rust. Le projet basé sur l’IA de Microsoft Research, RustAssistant, lancé l’année dernière, utilise une technologie basée sur l’IA pour détecter et suggérer des solutions aux erreurs de compilation Rust.
Weston a ajouté : « Nous pouvons nous déplacer vers la gauche et créer des logiciels plus sécurisés. Cela limitera la vulnérabilité. »
La détection des attaques est toujours importante mais ne suffit plus. Les entreprises et les fournisseurs devraient investir dans la durabilité.
« Nous pouvons passer à davantage de mécanismes de prévention », a déclaré Weston. « Et nous pouvons utiliser des méthodes sécurisées par construction et même formelles pour obtenir une sécurité déterministe. Si nous pouvons le faire dans un délai réaliste, nous pouvons alors renverser la situation et diriger ce problème vers les attaquants. »
La recherche sur les vulnérabilités à l’ère de l’IA
Yan Shoshitaishvili, professeur agrégé à l’Arizona State University et chercheur renommé en matière de vulnérabilités, a présenté un discours chez Black Hat USA sur la manière dont l’IA agentique réduit considérablement le coût et le temps nécessaires à la découverte et à l’exploitation des vulnérabilités.
La conférence – « La recherche sur la vulnérabilité à l’ère de l’agent » – constituait un complément à la présentation de Weston. Les outils d’IA ont réorienté les compétences humaines en matière de recherche de bogues vers le développement de meilleures stratégies de recherche, de pipelines de validation et de contrôles d’exploitabilité.
« Passer de la demande à GPT de trouver des bogues à un pipeline agent prenant en compte les vulnérabilités nécessite une innovation humaine, une compréhension humaine des modèles de menace et de l’espace de vulnérabilité », a déclaré Shoshitaishvili.
Lui et son étudiant de recherche Hong Kai Chen ont appliqué ces techniques à une étude sur OpenHarmony, la fondation open source derrière certaines parties de l’écosystème commercial HarmonyOS de Huawei pour les appareils mobiles.
« Nous avons trouvé des dizaines de failles, allant du Bluetooth, aux prises de contrôle d’appareils, aux fuites de confidentialité, à la localisation, tout cela, des choses très amusantes, dans Open Harmony, car nous sommes partis des propriétés de vulnérabilité que nous avons extraites des bugs Android », a déclaré Shoshitaishvili. « Maintenant, nous le faisons de manière agentive et les résultats sont incroyables. »
Grâce aux pipelines agentiques, l’équipe de Shoshitaishvili découvre les vulnérabilités bien plus rapidement qu’elle ne peut les divulguer de manière responsable avec la documentation qui les accompagne et les correctifs proposés.
Shoshitaishvili a testé l’idée « il suffit de tout réécrire dans Rust » en utilisant la génération de code agent sur une réécriture Rust de coreutils livré avec Ubuntu. Son équipe a constaté que les bogues de sécurité de la mémoire (débordements de tampon, utilisation après libération) avaient en grande partie disparu, mais que les vulnérabilités logiques, telles que les courses entre temps de vérification et temps d’utilisation (TOCTOU) et cryptographiques, réapparaissaient.
La réécriture dans un langage plus sûr supprime certaines classes de bogues, mais pas les faiblesses sous-jacentes au niveau de la conception, à moins que des mesures actives pour réécrire le code problématique ne soient entreprises, a conclu Shoshitaishvili.
