if ( !emtpy($headline_subheadline ) ) : ?>
L’analyse assistée par l’IA a identifié des milliers de failles potentielles en quelques semaines, conduisant à 59 rapports de bogues validés, huit exploits racine fonctionnels et des vulnérabilités remontant à plus de 20 ans.
endif; ?>
Un projet de recherche Microsoft combinant des agents d’IA et des chercheurs en sécurité humaine a découvert 59 vulnérabilités du noyau Linux, y compris des bogues qui avaient survécu dans le code de production pendant plus de 20 ans.
Alors que l’IA accélérait considérablement le processus de découverte, les chercheurs ont constaté que la validation des failles, le développement de correctifs et la collaboration avec les responsables restaient extrêmement à forte intensité humaine.
La recherche, menée par le FORGE Lab de Microsoft sous le nom de code MDASH, a généré 26 502 découvertes potentielles en environ deux semaines d’analyse de sous-systèmes sélectionnés du noyau Linux. Le criblage automatisé, les tests de validation de principe et la validation humaine ont réduit ces rapports à 59 rapports publics en amont, a déclaré Microsoft dans un article de blog.
« Nous avons développé des exploits fonctionnels d’élévation des privilèges root pour huit de ces CVE, et les correctifs pour 38 de nos rapports ont été fusionnés dans la ligne principale », ont déclaré les chercheurs dans le billet de blog.
De milliers de résultats à 59 rapports
Microsoft a déclaré avoir analysé certains composants du noyau couvrant les réseaux, les systèmes de fichiers et les modules de sécurité. Les résultats initiaux ont été réduits à 11 769 candidats grâce à la sélection automatisée. Les agents d’IA ont ensuite tenté de reproduire des vulnérabilités potentielles à l’aide de QEMU, un émulateur de machine open source.
Cela a produit 621 cas avec des preuves de concept. Des chercheurs humains ont examiné ces cas pour identifier les causes profondes, fusionner les doublons et préparer les soumissions en amont, ajoute le billet de blog.
Sur les 621 cas, 59 ont donné lieu à des rapports publics en amont. Microsoft a déclaré que 266 autres causes profondes partagées avec d’autres résultats pourraient être résolues via le même correctif. 163 autres problèmes n’ont pas été signalés après examen, principalement en raison de leur impact limité sur la sécurité, tandis que 133 avaient déjà été signalés ou corrigés en amont.
Microsoft a déclaré que son premier rapport public avait été soumis le 27 juin 2026. Au 1er septembre, 55 des 59 rapports avaient été publiés sur des listes de diffusion publiques. Les quatre autres ont été signalés en privé au cours de la même période et transférés sur des listes publiques à la mi-octobre.
Sur les 33 CVE attribués aux résultats, 24 portent un indice de gravité élevé ou supérieur, basé sur des scores CVSS v3.1 d’au moins 7,0, selon Microsoft.
Huit vulnérabilités avaient des exploits fonctionnels
Les huit vulnérabilités pour lesquelles Microsoft a développé des exploits d’élévation de privilèges locaux affectent plusieurs composants du noyau, notamment les réseaux IPv4 et IPv6, le routage IPsec, la gestion des clés chiffrées et l’implémentation de la table de hachage redimensionnable. Certaines démonstrations nécessitaient des paramètres autres que ceux par défaut ou des mesures d’atténuation des exploits désactivées, ont indiqué les chercheurs.
Une découverte, CVE-2026-64563, implique l’implémentation rhashtable du noyau, une bibliothèque de tables de hachage redimensionnable partagée utilisée par différents sous-systèmes du noyau.
Microsoft a attribué la faille à un changement de code de 2018 qui permettait à une opération de parcours de table de conserver un pointeur en cas de pause. Dans des conditions spécifiques impliquant le redimensionnement de la table et la suppression d’une entrée, le noyau pourrait ensuite accéder à la mémoire libérée via ce pointeur obsolète.
Les chercheurs ont identifié un chemin exploitable grâce aux diagnostics de socket Netlink, accessibles aux utilisateurs non privilégiés. En manipulant la mémoire, un attaquant pourrait transformer la faille en une primitive d’écriture mémoire contrainte du noyau qui, combinée à d’autres techniques d’exploitation, pourrait permettre une élévation de privilèges locale, a expliqué Microsoft.
La société a déclaré que cette vulnérabilité était exploitable sur les configurations Linux standard sans nécessiter de configurations de noyau ou d’espaces de noms d’utilisateur spéciaux. Cela a également affecté les appareils Android avec application SELinux.
Sur l’ensemble des 59 rapports, l’âge moyen d’un bug était de 8,1 ans lorsque Microsoft l’a signalé publiquement pour la première fois. Une vulnérabilité, CVE-2026-74544, était présente dans le noyau depuis au moins 21 ans, ont indiqué les chercheurs.
L’application de correctifs reste un long processus
Alors que les agents d’IA ont aidé à identifier les vulnérabilités potentielles, à générer des démonstrations de validation de principe et à rédiger les premiers correctifs, Microsoft a déclaré qu’une enquête humaine restait nécessaire pour valider les résultats et travailler avec les responsables du noyau Linux.
« Linux en amont exige généralement que les rapports de vulnérabilité soient accompagnés d’un correctif fonctionnel. Les agents ont aidé à rédiger les correctifs initiaux, mais la validation humaine, la compréhension du sous-système et l’itération avec les responsables pendant l’examen sont restées essentielles », ont écrit les chercheurs.
Les correctifs de 38 des 59 rapports avaient été fusionnés dans la ligne principale Linux en amont au moment de la publication. La moitié a été acceptée lors de la soumission initiale, tandis que les autres ont nécessité entre une et quatre révisions. Le délai médian entre la soumission du premier correctif public et la version principale était de 41 jours, le plus long prenant 108 jours, a indiqué Microsoft. Le travail avec les responsables sur les rapports restants se poursuivait.
Microsoft a déclaré que les analyses initiales ont pris environ deux semaines, mais que la conversion des résultats en rapports et correctifs validés a nécessité plus de quatre mois de travail.
« Trouver des bugs et les corriger sont radicalement déséquilibrés », ont écrit les chercheurs. « Pour une infrastructure complexe comme le noyau Linux, il est toujours nécessaire de garder les humains informés, ce qui fait de l’effort humain le goulot d’étranglement. »
Les chercheurs ont déclaré que le projet ne couvrait qu’une petite fraction du noyau Linux et qu’un réglage plus approfondi de l’approche assistée par l’IA pourrait révéler des bogues supplémentaires. Cependant, ils ont averti que la découverte de plus de vulnérabilités ne rendrait pas nécessairement les systèmes plus sécurisés.
« Plus de jetons peuvent générer plus de bugs, mais pas un système sécurisé », conclut le billet de blog.
