Accès rapide (Sommaire) :
OpenAI o3 identifie une faille 0-day critique dans le noyau Linux
Le modèle d’IA avancé o3 d’OpenAI a récemment détecté une faille critique, jusqu’alors inconnue, dans le module ksmbd du noyau Linux.
Cette vulnérabilité de type use-after-free, référencée sous le nom CVE-2025-37899, est localisée dans le gestionnaire de la commande logoff du protocole SMB.
C’est le chercheur en sécurité Sean H. qui a relaté cette découverte dans un article de blog (assez technique, je préfère vous prévenir d’avance).
Ce dernier avait pour but initial d’auditer manuellement ksmbd, mais a fini par tester les capacités de o3.
Résultat : l’IA a identifié un scénario d’accès mémoire dangereux, mettant en lumière une faille sévère passée sous les radars humains.
Une compréhension fine des contextes concurrents
La force de o3 dans cette détection réside dans sa capacité à raisonner sur les chemins de contrôle complexes et les interactions asynchrones.
En analysant uniquement des blocs de code bien ciblés, le modèle a identifié une situation où deux threads peuvent accéder à un même objet de session SMB, l’un le libérant pendant que l’autre continue à l’utiliser.
Un cas typique de use-after-free, aux conséquences potentiellement catastrophiques : crash du système, élévation de privilèges, voire exécution de code arbitraire.
Comment la faille est-elle exploitée ?
- Deux connexions SMB partagent la même session (fonctionnalité standard du protocole SMB3).
- Un thread libère l’objet utilisateur avec
ksmbd_free_user(sess->user). - Un autre thread accède à
sess->useraprès sa libération, provoquant un comportement non défini.
Ce type d’erreur est d’autant plus difficile à identifier manuellement qu’il dépend du timing précis des exécutions concurrentes.
L’IA, elle, l’a repéré en quelques secondes.
o3 vs les autres IA : des performances déjà différenciantes
o3 a également été confrontée à une autre vulnérabilité, CVE-2025-37778, précédemment découverte manuellement par Sean.
Sur 100 exécutions :
- o3 l’a détectée dans 8 cas.
- Claude Sonnet 3.7 : 3 cas sur 100.
- Claude 3.5 : 0 détection.
Malgré un taux de faux positifs encore élevé (~28 %), o3 se distingue par sa capacité à raisonner comme un analyste humain expérimenté.
Mieux encore : dans certains cas, il a proposé des solutions plus pertinentes que celles imaginées par l’expert humain lui-même.
Quels impacts pour les professionnels de la cybersécurité ?
Pour les chercheurs en vulnérabilités, les RSSI ou encore les équipes de DevSecOps, cette avancée ouvre de nouvelles perspectives.
L’analyse automatisée de code n’est pas nouvelle, mais l’arrivée d’un LLM capable de comprendre des contextes multi-threads et de formuler des diagnostics exploitables change clairement la donne.
Quels cas d’usages concrets à envisager de modèles avancés comme o3 ?
- Audit de code ciblé avant mise en production : vérifier des segments critiques avec o3 en complément des revues humaines.
- Benchmark de détections manuelles : comparer les analyses IA avec celles des pentesters ou équipes internes.
- Formation des juniors : s’appuyer sur les rapports générés par o3 pour illustrer des bugs subtils difficilement détectables.
À court terme, o3 ne remplacera pas les chercheurs en cybersécurité humains. Mais il est clair qu’un binôme IA + humain est désormais plus performant qu’un expert seul.
Vers un nouveau standard d’audit logiciel ?
Cette démonstration de force pose une vraie question : allons-nous vers une ère où chaque dépôt Git, chaque livrable logiciel critique sera préalablement audité par un LLM comme o3 ?
Les limites actuelles (faux positifs, taille des contextes analysables, besoin de prompts sur mesure) freinent encore l’industrialisation.
Mais les progrès sont fulgurants.
Et contrairement aux outils statiques classiques, o3 ne se contente pas d’appliquer des règles : il comprend le sens, la logique, les intentions.
En tant que professionnel du digital, vous n’êtes peut-être pas expert en kernel Linux.
Mais cette avancée est un signal fort.
L’IA ne fait pas qu’accélérer les processus : elle commence à exceller là où la complexité humaine atteint ses limites.
Fondateur de LEPTIDIGITAL et SUPASST, je suis également consultant spécialisé en acquisition de leads B2B (SaaS). Passionné par le marketing digital, l’intelligence artificielle et le SEO. Avant de devenir indépendant, j’ai occupé des postes clés en tant que SEO Manager et responsable e-commerce pour plusieurs grandes entreprises (Altice Media, Infopro Digital, Voyage Privé et le Groupe ERAM). Sur le plan perso, je suis un curieux insatiable, également passionné par la photographie, le badminton et les voyages. Pour toute demande de partenariat, privilégiez LinkedIn ou email ([email protected]).
