Alors que l’intelligence artificielle continue de faire parler d’elle, souvent davantage pour ses dérives que pour ses réussites, entre les chatbots ayant (mal) conseillé des personnes vulnérables ou aidé des utilisateurs mal intentionnés, elle démontre aussi son intérêt dans des domaines bien plus discrets. La dernière salve de mises à jour de sécurité publiée par Apple en est un bon exemple : un nombre important de vulnérabilités ont été découvertes grâce à des outils d’IA, et la firme ne s’en cache pas. Comme le relève 9to5Mac, les modèles de langage sont cités à de nombreuses reprises dans le bulletin de sécurité accompagnant les systèmes 26.6.
Ainsi, dans iOS, iPadOS et macOS, ce n’est pas moins de 9 vulnérabilités qui ont été trouvées par des labos directement liés à des IA avancées. Si Anthropic et OpenAI se tirent la bourre avec 3 failles chacun à leur actif, repérées grâce à Claude et Codex Security, la Nvidia Red Team n’est pas en reste avec 2 failles repérées et bouchées, et Z.AI ferme la marche avec une faille corrigée à son actif.
Comment une IA d’OpenAI a échappé à toute surveillance pendant une semaine
Le plus intéressant est sans doute la nature des composants concernés : pas de simples apps, ou d’obscures et récents ajouts. Au contraire, elles touchaient des briques fondamentales des systèmes d’Apple, avec WebKit, WebDAV, SMB, CUPS, HFS (oui, même le système de fichiers), ImageIO ou encore CoreAudio, CoreMedia ou Model I/O. On parle là de ce qui touche le cœur du système, avec des éléments comme le moteur de rendu web ou encore les accès aux volumes en réseau, encore récemment chasse gardée des meilleurs chercheurs en sécurité.
Ces failles ont été découvertes par des chercheurs indépendants ayant eu recours à de grands modèles de langage. De son côté, Apple ne cherche pas à dissimuler cette utilisation et la mentionne explicitement dans ses bulletins de sécurité. Rien n’indique toutefois depuis quand l’entreprise avait connaissance de ces vulnérabilités. Les correctifs sont néanmoins intervenus dans un délai très court : iOS 26.6 est ainsi sorti moins d’un mois après la précédente mise à jour de sécurité, publiée avec iOS 26.5.2.
Enfin, il est même possible qu’un nombre plus important de failles aient été découvertes grâce à l’IA qu’annoncé dans le bulletin officiel. En effet, Apple fait partie des quelques entreprises ayant accès au Project Glasswing, permettant à Cupertino d’accéder à Mythos aux côtés d’AWS, Broadcom, Cisco ou encore Microsoft et Google.
C’est pas du Mythos : l’IA d’Anthropic a trouvé 271 failles de sécurité dans Firefox
C’est une nouvelle preuve de la capacité des IA à trouver des failles relativement discrètes mais touchant à des éléments centraux des cathédrales que sont devenus les systèmes d’exploitation modernes avec leurs millions de ligne de code. Si l’humain est encore loin d’être remplacé, il est maintenant épaulé par des LLM capables de rechercher de fines fissures dans le code, qui auraient pu échapper aux chercheurs en sécurité. Une évolution qui pourrait bien transformer durablement la manière dont sont sécurisés les systèmes d’exploitation modernes.
