OpenAI et Trail of Bits lancent Patch the Planet, un dispositif destiné à coordonner la correction de failles critiques découvertes avec des agents d’intelligence artificielle. L’initiative s’appuie sur une opération menée autour de deux vulnérabilités de PHP et propose un cadre en cinq étapes pour faire circuler les correctifs avant leur divulgation publique.
Selon l’annonce d’OpenAI publiée le 21 octobre, l’une des failles a été identifiée par un chercheur utilisant GPT-5.6 Sol, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités. Les mainteneurs de PHP ont piloté les corrections. OpenAI cite aussi la participation de Wiz, Cloudflare et d’autres partenaires à la recherche et à la préparation des protections.
Une fenêtre courte entre découverte et exploitation
Le point central n’est pas seulement la capacité d’un modèle à repérer une faiblesse. OpenAI estime que les mêmes outils peuvent accélérer la création d’exploits. L’entreprise parle d’une « fenêtre des défenseurs » : une période pendant laquelle les mainteneurs et fournisseurs peuvent corriger un logiciel avant que des attaquants ne reproduisent la découverte.
Pour les utilisateurs de PHP, la priorité reste l’application des mises à jour publiées par le projet et les hébergeurs. OpenAI diffuse aussi un vérificateur de version sous forme de skill Codex. Cet outil doit aider à repérer les versions potentiellement concernées, mais il ne remplace pas les consignes officielles de PHP ni l’analyse d’un système exposé.
Cinq étapes pour coordonner les correctifs
Le cadre proposé commence par la validation de la faille et le développement d’un correctif en amont. Il prévoit ensuite un délai pour les organisations qui doivent adapter une mise à jour, préparer une règle de pare-feu applicatif ou protéger une version ancienne. Les autorités publiques peuvent être associées lorsque des infrastructures critiques sont concernées.
La quatrième étape consiste à préparer les mises à jour dans les produits dépendants. Une fois le correctif disponible, la dernière phase rend publiques les recommandations et accompagne le déploiement. Le calendrier doit pouvoir changer si une exploitation active, une fuite ou un correctif trop révélateur augmente le risque.
Cette organisation répond à un problème connu du logiciel libre : les équipes de maintenance sont souvent petites, alors que le volume de rapports générés avec des modèles peut croître rapidement. Trail of Bits propose ainsi aux projets sélectionnés une semaine de revue par un ingénieur, avec triage et correctifs, ainsi que six mois d’accès à ChatGPT Pro fournis par OpenAI.
Un milliard de dollars d’accès subventionné
OpenAI annonce également un milliard de dollars d’accès subventionné à Daybreak pour des organisations disposant de moyens de sécurité limités mais chargées de services essentiels. L’entreprise dit calibrer des filtres supplémentaires afin de réduire les usages offensifs, tout en reconnaissant qu’un blocage trop large peut gêner les chercheurs légitimes.
La proposition ouvre plusieurs questions : combien de temps garder une faille confidentielle, qui prévenir en avance et dans quelles conditions une autorité peut intervenir sur un système qu’elle est autorisée à administrer. OpenAI sollicite des retours de mainteneurs, chercheurs et équipes de réponse.
Notre analyse
Patch the Planet formalise une chaîne de réponse qui dépasse la simple démonstration d’un agent de code. Son intérêt dépendra du nombre de projets réellement accompagnés, de la transparence des résultats et de la capacité à éviter une avalanche de signalements peu utiles. L’épisode PHP montre toutefois que la découverte assistée par IA change déjà l’échelle du problème : le correctif, la coordination et le déploiement deviennent aussi importants que la détection elle-même.
