nous y voilà ! le premier zero-day connu développé avec l'IA vient d'être repéré par Google.

quelqu'un a utilisé un modèle de langage pour repérer une faille dans un outil d'administration open-source. puis a fait écrire au modèle un script python qui contourne la 2fa dessus. puis a commencé à l'utiliser sur de vraies cibles.
comment savons-nous que c'était de l'IA ? des docstrings propres partout. un score de gravité cvss que le modèle a littéralement halluciné. personne n'écrit du python aussi soigné à 3h du matin à chasser des bugs.
la faille elle-même était une erreur logique, une hypothèse de confiance que certains développeurs avaient codée en dur il y a des années. le genre d'erreur que les modèles de langage sont bons à repérer.
pendant des années, la question était « l'IA pourrait-elle aider les attaquants ? » beaucoup d'hésitations. « en théorie. » « éventuellement. » « avec assez de scaffolding. »
ce débat est terminé.
la nouvelle question est à quelle vitesse la fenêtre se ferme entre « vulnérabilité présente quelque part dans votre pile » et « vulnérabilité exploitée à grande échelle. » c'était des mois, c'est maintenant des jours.