IA et cybersécurité : la menace d’un retour des backdoors

Si les logiciels deviennent vraiment plus durs à casser, le prochain round du débat sur les backdoors pourrait arriver plus vite que prévu. Et ça, pour votre vie privée, ce n’est pas un détail.

Le vieux compromis pourrait casser

Depuis 2014 et le fameux discours sur le going dark porté par James Comey, les autorités répètent que le chiffrement complique la lutte contre le crime et le terrorisme. Entre-temps, Signal, WhatsApp et Apple iMessage ont généralisé le chiffrement de bout en bout, pendant qu’Apple verrouillait davantage les données sur ses appareils.

Mais les enquêteurs n’ont pas été aveugles pour autant. Ils ont continué à accéder à certaines cibles en piratant directement les appareils, souvent via des outils offensifs ou des spywares. Pour Matthew Green, professeur de cryptographie, c’est une sorte de trêve bancale: pas de porte dérobée imposée partout, en échange d’un marché du hack financé par les Etats. Pas élégant, mais efficace.

Pourquoi l’IA change la donne ?

Ce qui inquiète Matthew Green, c’est l’étape d’après. Début août, il a expliqué sur X puis dans un billet très commenté que l’IA pourrait rendre les logiciels trop sûrs, tout simplement parce que les modèles deviennent meilleurs pour repérer des vulnérabilités à grande échelle.

Son idée est simple. Si les entreprises corrigent une quantité inédite de bugs, les services de renseignement et les forces de l’ordre pourraient perdre l’accès aux failles dont ils se servent aujourd’hui pour infiltrer des cibles. Résultat ? Une pression renouvelée pour exiger des backdoors intégrées d’office. Clairement, c’est le scénario qui fait tiquer.

Dans l’offensive, tout le monde n’achète pas le même futur

Sur ce point, le milieu cyber n’est pas aligné. Luna Tong, passée par deux sociétés connues pour chercher des bugs et développer des exploits destinés aux gouvernements, rejoint Green. Elle parle d’une ruée vers l’or des failles, mais temporaire.

Un autre chercheur offensif, avec plus de dix ans d’expérience, craint aussi que l’IA finisse par donner l’avantage aux défenseurs et rende les chercheurs humains moins utiles. Même son de cloche chez Paolo Stagno de Crowdfense, qui estime qu’aucun Etat n’abandonnera la surveillance et rappelle que l’exploitation de failles reste, selon lui, le système le plus démocratique disponible aujourd’hui.

Mais d’autres pros ne sont pas d’accord. Trois personnes encore actives dans l’offensive, plus une ancienne du secteur, pensent que les bugs faciles seront juste trouvés plus vite, tandis que les failles complexes, celles qui valent vraiment cher pour les gouvernements, ne disparaîtront pas. Hamid Kashfi, fondateur de DarkCell et employé chez Xbow, va même plus loin avec cette formule: « pour chaque bug trouvé et signalé par l’IA, il y en a probablement 20 qui ne le sont pas ».

Le vrai frein n’est peut-être pas celui qu’on croit

Deux chercheurs qui vivent de la chasse aux bugs pour des firmes de zero-day disent d’ailleurs être moins inquiets de la montée de l’IA que des nouvelles protections de sécurité intégrées aux appareils modernes. En gros, le hardware et les OS compliquent déjà sérieusement le boulot.

Chez Electronic Frontier Foundation, Eva Galperin note un paradoxe: l’offensive garde aujourd’hui l’avantage, à la fois parce que l’IA trouve des bugs et parce que le vibe-code en introduit aussi. Sauf que plus de failles ne veut pas dire des correctifs plus rapides, le patching restant un chantier parfois lent et compliqué. Elle pense malgré tout qu’il y aura un retour de la demande d’accès exceptionnel.

Même prudence chez Katie Moussouris, patronne de Luta Security. Selon elle, on est encore loin de téléphones et de laptops sans bugs, mais le jour où trouver une faille deviendra vraiment beaucoup plus dur, la pression pour des backdoors remontera. Son estimation laisse un peu d’air: pas avant après la prochaine présidentielle américaine pour un vrai tournant.