Enfournez des jetons, récoltez des failles : c’est en substance la promesse d’Intruder. La société de cybersécurité a présenté ce qu’elle baptise une « vulnerability vending machine », un pipeline qui marie découpage de code et grands modèles de langage pour dénicher automatiquement des failles logicielles. Dans sa démonstration publique, l’outil a repéré puis exploité une zero-day inconnue dans un plugin WordPress, d’autres découvertes étant déjà passées en divulgation responsable.
Points clés
- Intruder combine découpage de code et LLM pour repérer automatiquement des failles logicielles
- L’outil a trouvé et exploité une zero-day inconnue dans un plugin WordPress
- Un autre système IA a déniché plus de 300 zero-days WordPress en 72 heures pour environ 20 dollars par faille
- L’automatisation raccourcit le délai entre publication d’un bug et sa première exploitation
Découper le code avant d’interroger l’IA
Le principe tient en deux temps. D’abord le code est fragmenté en morceaux ciblés pour réduire le bruit. Ensuite les modèles de langage passent ces blocs au crible afin de repérer les chemins d’exécution susceptibles de dissimuler une vulnérabilité. Intruder vend cette chaîne comme un moyen d’élargir la couverture sans se taper une inspection manuelle exhaustive.
La sortie ne surgit pas de nulle part. Depuis quelques semaines, plusieurs acteurs publient des travaux sur l’automatisation de la chasse aux bugs dans l’univers WordPress. Un article technique relayé en juin décrivait un système assisté par IA ayant déniché plus de 300 zero-days sur des plugins WordPress en 72 heures, pour environ 20 dollars par faille vérifiée. L’IA sert désormais autant à écrire du code qu’à le casser plus vite.
WordPress, cible de choix
Dans sa démonstration, Intruder affirme avoir trouvé une vulnérabilité jusque-là inconnue dans un plugin WordPress, puis en avoir construit l’exploitation. La société dit aussi avoir mis au jour d’autres failles, déjà entrées en divulgation responsable. Le nom du plugin n’est pas dévoilé, l’exemple servant surtout de vitrine pour une automatisation de bout en bout.
Le choix de WordPress n’a rien d’un hasard. L’écosystème des extensions reste une cible récurrente : plugins ultra-diffusés, mises à jour irrégulières et surface d’attaque éparpillée. Un terrain de jeu idéal pour des découvertes rapides, qu’elles viennent d’analystes humains ou de pipelines automatisés.
Industrialiser la recherche de failles, à double tranchant
Intruder mise sur le rendement. Sa formule « tokens in, zero-days out » résume une recherche pensée comme un flux : plus les modèles avalent de contexte, plus ils crachent d’hypothèses à tester. Toute la valeur de l’approche dépend alors de la qualité du découpage, de la validation humaine derrière les résultats et de la capacité à trier une vraie faiblesse exploitable d’un faux positif.
Le revers guette les défenseurs. Si ces outils accélèrent la découverte, ils raccourcissent aussi le délai entre la publication d’un bug et sa première exploitation. Les équipes de sécurité ne surveillent plus seulement les preuves de concept diffusées par des chercheurs ou des attaquants : elles doivent désormais composer avec des systèmes capables de générer des pistes d’exploitation à grande échelle, sur des bases de code toujours plus nombreuses. La course à l’armement automatisé ne fait que commencer.
