Post by Gaël Lago

Je pense qu’il y aura un avant et un après le 21 octobre 2026.

Les failles critiques révélées dans PHP ce jour-là ont rendu très concret ce que l’IA, et particulièrement les LLM, change dans la sécurité de nos systèmes d’information. Et nous n’en avons pas encore tiré toutes les conséquences.

Des vulnérabilités présentes depuis des années, jusque-là difficiles à exploiter, deviennent accessibles avec beaucoup moins de temps, de compétences et de moyens. Les logiciels obsolètes sont particulièrement exposés, mais un logiciel récent et à jour peut lui aussi comporter des failles majeures encore inconnues.

Le code fermé ne nous met pas à l’abri. L’IA facilite également l’analyse et la rétro-ingénierie des logiciels compilés.

Dans ce contexte, l’open source nous donne un avantage concret : pouvoir auditer le code, le corriger et partager les corrections. Mais un code auditable doit être audité. Il faut donc financer ce travail et les personnes qui le réalisent.

Nous ne pouvons plus considérer que la sécurité informatique est un sujet trop technique ou trop complexe pour nous en saisir. La continuité de nos services publics, l’activité de nos entreprises et la protection de nos données en dépendent.

C’est un sujet d’importance critique. Et c’est également un sujet politique.
Nous devons dès maintenant lancer un grand plan d’acculturation à la sécurité informatique pour les agents publics et les salariés des entreprises françaises, dirigeants compris. Nous devons étendre ce plan aux étudiants et aux élèves, dès le collège, avec des contenus adaptés.

Mais former les utilisateurs ne corrigera pas une faille dans un logiciel. Il faut aussi donner aux équipes techniques les moyens d’agir et aux directions les connaissances nécessaires pour prendre leurs responsabilités.

Nous devons sécuriser nos chaînes d’approvisionnement numériques : connaître les logiciels et les dépendances que nous utilisons, vérifier leur provenance, leur construction et leur maintenance. Et être capables de déployer rapidement des correctifs.

Nous devons utiliser l’IA comme un bouclier proactif : rechercher les failles dans l’existant, analyser les modifications et préparer les corrections, avec des équipes capables de vérifier les résultats.

Cela suppose de financer l’audit et la maintenance des composants critiques, mais aussi d’accompagner les collectivités et les entreprises qui n’ont pas les moyens d’assurer seules ce travail.

Dans certains cas, développer une attaque complexe peut désormais prendre quelques heures. Nous devons organiser notre capacité de défense en conséquence.