Contexte historique
En 2014, le terme « going dark » a été popularisé lorsque le directeur du FBI de l’époque, James Comey, a alerté sur le risque que le chiffrement empêche les autorités d’intercepter les communications. Cette crainte a coïncidé avec le déploiement massif d’applications de messagerie chiffrée de bout en bout – Signal, WhatsApp et iMessage – ainsi que la décision d’Apple de chiffrer par défaut les données stockées sur les appareils. Depuis, les forces de l’ordre ont continué à exploiter des zero‑days et des outils de spyware pour contourner ces protections, établissant une « trêve » fragile entre chiffrement et surveillance.
Impact de l’IA sur la découverte de vulnérabilités
Les modèles de langage large (LLM) sont désormais capables d’analyser du code source et de générer des exploits avec une vitesse inédite. Matthew Green cite un « gold rush of bugs » où l’IA accélère la détection de failles, mais il prédit que ce phénomène sera temporaire. Hamid Kashfi, fondateur de DarkCell, estime que « pour chaque bug trouvé et signalé par l’IA, il y en a probablement vingt qui restent non signalés », illustrant un ratio de 1 : 20 qui montre la persistance d’une marge d’erreur importante. Les pipelines automatisés combinent fuzzing dynamique, analyse statique et génération de code, réduisant le temps moyen entre la découverte d’une faille et son correctif, ce qui rend les logiciels globalement « moins bug‑ridden ».
Conséquences pour les outils de surveillance étatiques
Si les vulnérabilités deviennent plus rares, les gouvernements pourraient réactiver la demande de backdoors intégrés dès la conception. Paolo Stagno, CTO de Crowdfense, décrit le modèle actuel de vente de zero‑days aux États comme le « système le plus démocratique » de surveillance, mais il reconnaît que la rareté des bugs pourrait le rendre obsolète. Katie Moussouris, fondatrice de Luta Security, prévoit que la pression pour imposer des accès exceptionnels pourrait émerger « après la prochaine élection présidentielle », lorsque les agences d’intelligence seront suffisamment limitées par le manque de points d’entrée. Les acteurs du marché noir – vendeurs de zero‑days – pourraient voir leurs prix augmenter, tandis que les équipes de renseignement devront investir davantage dans la recherche humaine ou dans des solutions d’IA assistée pour maintenir leur capacité d’intrusion.
Limites et perspectives
Le simple fait d’identifier plus de bugs ne garantit pas leur correction rapide. Eva Galperin de l’EFF souligne que le processus de patching reste complexe, notamment avec l’émergence du « vibe‑code », du code généré par IA qui introduit de nouvelles vulnérabilités. De plus, les experts interrogés notent que les failles complexes, les plus précieuses pour les gouvernements, restent difficiles à automatiser. Ainsi, l’IA ne supprime pas la nécessité d’experts humains, mais elle modifie la répartition des efforts entre recherche automatisée et exploitation ciblée. En l’absence de données chiffrées précises sur le taux de correction post‑AI, l’hypothèse d’une « pénurie de bugs » demeure partiellement spéculative, mais les indicateurs qualitatifs – ratio 1 : 20, hausse du volume de correctifs, discours des acteurs du marché – suggèrent une évolution notable du paysage de la cybersécurité.
