Le 20 juillet 2026, le chercheur en sécurité Adam Kues a ouvert la console API de GPT-5.6 Sol Ultra. Il a dépensé 25 dollars de crédits API pour faire lire à l’IA le code source de WordPress. Quelques heures plus tard, l’IA avait trouvé une vulnérabilité permettant de prendre le contrôle à distance de n’importe quel site WordPress — sur le marché gris, une faille de ce niveau se négocie à 500 000 dollars.
L’histoire a rapidement suscité 209 commentaires sur Hacker News. Certains doutent que 500 000 $ soient réellement payés ; d’autres rappellent que Zerodium proposait déjà 300 000 $ pour un RCE WordPress en 2021. Mais tout le monde s’accorde sur un point : la structure de coût de la chasse aux vulnérabilités est en train d’être bouleversée par l’IA.
La question centrale : comment l’IA a-t-elle pu faire passer le coût de 500 000 $ à 25 $ ?
La chasse aux failles traditionnelle : un artisanat d’élite
Pour comprendre pourquoi 25 $ font l’effet d’une bombe, il faut d’abord comprendre pourquoi la chasse aux failles traditionnelle coûte si cher.
Avant l’IA, trouver une vulnérabilité zero-day de type WordPress exigeait trois choses : une maîtrise technique approfondie, des mois de travail, et une patience d’archiviste. Un chercheur en sécurité de haut niveau devait parcourir des centaines de milliers de lignes de code PHP, comprendre la pipeline de traitement des requêtes de WordPress, la couche d’interaction avec la base de données, le système de cache, l’architecture de l’API REST — chaque piste pouvait être une brèche, ou une impasse.
C’est essentiellement un métier d’artisan d’élite. Le nombre de chercheurs capables de produire régulièrement des vulnérabilités zero-day de grande valeur dans le monde ne dépasse probablement pas quelques milliers. Leur temps coûte cher — le salaire annuel d’un chercheur en sécurité à plein temps se situe généralement entre 150 000 et 400 000 dollars.
Il s’est ainsi formé un modèle économique stable : pénurie de failles → rareté des chercheurs → prix élevés. Zerodium proposait 300 000 $ pour un RCE WordPress en 2021 ; Crowdfense, dans son programme d’acquisition 2026, affiche toujours un prix maximal de 500 000 $ pour les vulnérabilités d’applications web.
La chasse par IA : de l’artisanat à l’expérimentation industrialisée
Adam Kues a complètement bouleversé ce modèle.
Il n’a pas lu le code manuellement. Il a fait trois choses : d’abord, télécharger le code source de la dernière version de WordPress, en supprimant le répertoire .git (pour empêcher l’IA de consulter l’historique des versions) ; ensuite, adapter les « invites multi-agents » qu’OpenAI utilise pour résoudre des problèmes mathématiques complexes à la chasse aux vulnérabilités — en demandant à l’IA de lancer jusqu’à 4 agents d’analyse en parallèle, chacun explorant une surface d’attaque différente (analyse d’entrée, jeux de caractères, téléchargement de fichiers, sérialisation, compétition de cache, etc.) ; enfin, laisser l’IA travailler pendant 6 heures.
Coût total : 50 % du quota hebdomadaire, soit environ 25 dollars en abonnement.
Résultat ? L’IA a découvert une chaîne de vulnérabilités en cascade : l’API batch de WordPress souffre d’un décalage entre la validation et l’exécution — la requête est validée, mais c’est le routage de la requête suivante qui est exécuté. Ce décalage permet de contourner toutes les vérifications de paramètres et d’injecter des requêtes SQL malveillantes. Plus stupéfiant encore : l’IA a elle-même trouvé la chaîne complète permettant de passer d’une injection SQL à une exécution de code à distance, exploitant le mécanisme de cache de WordPress et ses fonctions d’intégration (oEmbed) pour falsifier des lignes en base de données, et finalement obtenir les privilèges d’administrateur via le système de personnalisation des thèmes.
Entre les 25 $ de coût IA et les 500 000 $ du prix de marché, l’écart est de quatre ordres de grandeur. Cet écart doit se comprendre d’un point de vue économique.
Pourquoi le coût a-t-il chuté de quatre ordres de grandeur ?
Trois changements fondamentaux sont à l’œuvre :
Premièrement, la reproductibilité du travail. La chasse aux failles traditionnelle, c’est « une personne pendant des mois ». La version IA, c’est « quelques dollars pour faire tourner un modèle pendant 6 heures ». L’IA peut déployer simultanément 4 « chercheurs virtuels » explorant des directions différentes, et en relancer de nouveaux en cas d’échec, sans aucun coût marginal de main-d’œuvre. Cette capacité d’exploration parallèle est inaccessible à un humain.
Deuxièmement, la couverture systématique de l’espace de recherche. L’invite d’Adam a fait explorer à l’IA au moins une douzaine de surfaces d’attaque — de l’injection SQL à la désérialisation, de la compétition de cache au téléchargement de fichiers. Un chercheur humain aurait besoin de plusieurs jours pour boucler un cycle complet de « deviner une entrée → confirmer la faisabilité ». L’IA le fait en quelques dizaines de minutes, puis décide automatiquement de la direction à explorer ensuite.
Troisièmement, l’étendue des connaissances. Le plus remarquable est que la faille trouvée par l’IA implique le défaut de synchronisation de validation de l’API batch de WordPress, la construction de requêtes MySQL, le mécanisme de cache d’objets PHP, l’écriture en base via oEmbed, et le modèle de permissions du système de personnalisation des thèmes WordPress — cinq piles technologiques indépendantes. Un chercheur en sécurité maîtrise rarement tous ces domaines à la fois, mais l’IA les a tous « rencontrés » dans ses données d’entraînement.
Il faut néanmoins ajouter un jugement d’ingénieur important : l’IA excelle dans la combinaison efficace de schémas de vulnérabilités existants. Ce qu’elle fait de mieux, c’est enchaîner des « petits problèmes » connus (défaut de synchronisation de validation, confusion de types, empoisonnement du cache) en une chaîne d’attaque. La découverte véritablement « de zéro à un » — l’identification d’une surface d’attaque entièrement nouvelle — reste pour l’instant le domaine de l’humain.
Débat : 500 000 $, est-ce un prix réel ?
L’article a suscité de nombreuses interrogations sur Hacker News. Un commentateur se présentant comme un initié du secteur écrit : « Rien ne prouve que quelqu’un paierait 500 000 $ pour une faille WordPress. Les failles iOS ou Android valent ce prix parce qu’elles contiennent des données sensibles. Un site WordPress n’a pas grand-chose de précieux. »
Mais un autre utilisateur, « kuroguro », fait remarquer que ce prix provient du programme d’acquisition de Crowdfense, et que Zerodium a effectivement proposé 300 000 $ pour un RCE WordPress en 2021. Il ajoute que les courtiers en failles utilisent généralement un paiement échelonné — versements réguliers tant que la faille est exploitée — pour empêcher les chercheurs de la revendre à d’autres.
Sur la réalité du prix, l’avis de l’auteur est que 500 000 $ constituent davantage un « prix d’affichage » qu’un « prix de vente effectif », mais cela reflète la valorisation stratégique de ce type de faille par les courtiers — d’autant que WordPress représente plus de 40 % des sites web mondiaux. Une vulnérabilité permettant une exécution de code à distance sur une configuration par défaut peut rapporter substantiellement à un courtier.
Quoi qu’il en soit, le cœur du débat est le suivant : le « coût de production » d’un produit valant des centaines de milliers de dollars s’effondre à une vitesse vertigineuse.
Ce que cela signifie pour le commun des mortels
Pour ceux qui n’écrivent pas de code, le message est simple :
La cybersécurité vit une « déflation par le haut ». Ce qui n’était accessible qu’aux pirates d’élite devient réalisable pour toute personne techniquement compétente ayant une bonne idée et sachant poser les bonnes questions à l’IA. Le nombre de vulnérabilités va exploser, la pression sur les éditeurs de logiciels pour les corriger va s’intensifier, et les correctifs vont se succéder à un rythme accéléré.
Mais l’autre face de la médaille est tout aussi importante : l’IA sera également utilisée par les attaquants. Si un chercheur en sécurité en trouve pour 25 $, un pirate aussi. Les règles du jeu de la cybersécurité sont en train d’être réécrites — les pare-feux et systèmes de détection d’intrusion ne peuvent arrêter que les menaces connues, tandis que l’IA peut générer de nouveaux vecteurs d’attaque chaque jour.
Quant aux courtiers qui vivent de la vente exclusive de failles ? Ils vont devoir repenser leur modèle de tarification. Quand le coût de production d’un bien chute de quatre ordres de grandeur, combien de temps son prix de marché peut-il tenir ? Un commentateur a livré une pique cinglante : « Puisque les invites sont traitées comme des écritures saintes, pourquoi ne pas vendre l’invite 500 000 $ ? »
Cette plaisanterie pointe un problème bien réel : à l’ère de l’IA, savoir quelle question poser à l’IA pourrait valoir plus cher que la faille elle-même.
Références :
- slcyber.io: Exploit brokers pay $500k for WordPress RCEs. I found one with GPT5.6 Sol Ultra and $25
- Hacker News discussion (item?id=48975665)
- Crowdfense: Exploit Acquisition Program
- SecurityWeek: Zerodium Offering $300,000 for WordPress Exploits
