Suivez les points

Hier, je me suis mis à lire quelque chose que presque personne ne lit : les notes de version (release notes) de la dernière mise à jour d'iOS. Et ce que j'ai trouvé m'a laissé sans voix, non pas à cause des nouvelles fonctionnalités ou des émojis, mais à cause de ce qui se cache dans la section sécurité.

J'ai personnellement examiné les bulletins de sécurité officiels d'Apple (support.apple.com) des cinq dernières mises à jour mineures du système d'exploitation, CVE par CVE. La moyenne des vulnérabilités corrigées augmentait déjà de manière soutenue, oscillant entre 40 et 60 par version. Cependant, cette dernière mise à jour rompt la tendance avec un total de 87 corrections de sécurité critiques - soit près de 75 % de plus que cette moyenne déjà élevée.

Pour mettre cela en perspective, j'ai préparé ce graphique comparant le volume de correctifs des six dernières versions :

De quels types de correctifs parlons-nous ? En résumant le rapport, il ne s'agit pas d'erreurs superficielles. Nous voyons des corrections profondes de corruption de mémoire dans le noyau, des vulnérabilités d'exécution de code arbitraire dans WebKit, des défaillances d'escalade de privilèges dans CoreBluetooth et des failles dans le Sandbox. Des erreurs complexes, labyrinthiques, du type que une équipe d'ingénieurs humains mettrait des mois à auditer et à découvrir.

Et c'est là que commence ma spéculation.

Spéculation : le facteur Fable 5

Je veux être extrêmement clair : je n'ai aucune information interne d'Apple ni de documents divulgués pour le prouver. Il s'agit de pure spéculation basée sur l'observation du marché. Mais comme disent les Américains : « follow the dots » (relions les points).

Nous savons, grâce à des communiqués de presse récents, qu'Apple intègre massivement l'IA dans ses processus de développement internes. Nous savons également qu'ils ont des partenariats stratégiques et des discussions avancées avec des géants de l'intelligence artificielle, y compris Anthropic.

Si nous nous souvenons de ma colonne précédente, où je vous ai raconté comment le modèle Fable a trouvé de manière autonome des vulnérabilités dans notre GitLab en quelques minutes (nous facturant une fortune dans le processus), le saut dans les correctifs de sécurité d'iOS d'une version à l'autre cesse de ressembler à un effort purement humain.

Ma hypothèse est la suivante : Apple a lâché Fable 5 (ou un agent d'IA de capacités similaires) sur son propre code source. Ils utilisent des agents autonomes d'IA de dernière génération pour auditer des millions de lignes de code legacy, en trouvant des vulnérabilités qui dormaient depuis des années dans le système d'exploitation.

Le problème des « gros portefeuilles »

Si j'ai raison, devrions-nous nous réjouir en tant qu'utilisateurs d'iPhone, n'est-ce pas ? Notre téléphone est maintenant beaucoup plus sécurisé. Oui, mais en tant qu'analyste de l'industrie, cela me préoccupe profondément.

Si Fable 5 est responsable de ce nettoyage massif de code, nous assistons à la naissance d'un écart technologique insurmontable. Comme je l'ai documenté il y a quelques jours, utiliser ces modèles de pointe pour auditer des systèmes est brutalement coûteux.

Le coût de l'audit avec une IA de pointe : mon équipe a dépensé 845 USD pour que l'IA trouve seulement deux problèmes sans importance, en quelques heures. Auditer un système d'exploitation mobile complet impliquerait, selon cette logique, des millions de dollars en jetons et en consommation d'API.

Imaginons le coût computationnel de l'audit du système d'exploitation mobile le plus utilisé au monde. Nous parlons de millions de dollars en jetons et en consommation d'API.

Apple, Microsoft, Google et la banque internationale ont les « gros portefeuilles » pour payer cela. Ils ont un accès sans restriction - et des accords préférentiels de volume - aux modèles les plus avancés du monde. Ils peuvent se permettre d'avoir Fable 5 en cours d'exécution 24 heures sur 24, 7 jours sur 7, en protégeant leurs systèmes contre les zero-days.

Mais qu'en est-il des PME ? Qu'en est-il de la startup qui développe un logiciel de comptabilité au Mexique ? Qu'en est-il de l'hôpital régional qui a un système de gestion propriétaire ?

Ils ne peuvent pas payer la facture de Fable. Ils devront continuer à dépendre d'audits humains annuels ou de scanneurs de vulnérabilités traditionnels qui sont à des années-lumière de la capacité de raisonnement d'un modèle de pointe.

La nouvelle ère de l'insécurité asymétrique

Je ne pense pas que cet écart se refermera bientôt. Tant que le coût d'inférence des modèles vraiment avancés restera prohibitif, la cybersécurité deviendra un luxe corporatif.

Les grandes entreprises seront des forteresses numériques impénétrables auditées par l'IA, tandis que le reste du marché sera un champ ouvert de vulnérabilités legacy attendant d'être exploitées (ironiquement, par des cyberdélinquants qui utiliseront également l'IA pour les trouver).

Voyons ce que l'avenir nous réserve. Sans doute, dans les prochains mois, cette tendance se confirmera, il y aura des fuites et nous saurons si je me trompe ou si, en effet, Apple vient d'inaugurer l'ère de la « cybersécurité d'élite automatisée ».

Qu'en pensez-vous ? Voyez-vous cet écart de sécurité s'élargir dans vos industries ?