Si vos sites tournent sous PHP, la première chose à faire à propos de cette affaire est d'appliquer les correctifs. OpenAI dit avoir mené pendant deux mois une coalition de mainteneurs, de chercheurs et de prestataires de sécurité pour corriger des vulnérabilités critiques dans le langage qui fait tourner une grande partie du web. L'une a été trouvée par la société de sécurité Calif avec GPT-5.6 Sol dans le cadre de l'initiative Patch the Planet d'OpenAI ; Wiz les a découvertes et signalées toutes deux de façon indépendante. Les mainteneurs de PHP ont piloté les correctifs et la publication, et OpenAI y voit l'un des problèmes de sécurité les plus graves de ces dernières années.
La contribution concrète d'OpenAI est un vérificateur de versions PHP publié sous forme de skill Codex, qui aide les exploitants à savoir si leurs versions sont touchées et quelles mises à jour s'appliquent. En coulisse, il dit avoir aidé à tester les correctifs, à coordonner les protections avec des hébergeurs et des fournisseurs d'infrastructure et à informer plusieurs services du gouvernement américain, dont l'Office of the National Cyber Director. Il s'est aussi engagé à consacrer 1 milliard de dollars à un accès subventionné à Daybreak, son programme de modèles à capacités cyber, destiné aux organisations aux moyens limités qui protègent des services essentiels.
L'essentiel de l'annonce est une proposition de cadre pour traiter les failles critiques trouvées par l'IA. Il compte cinq étapes : valider et corriger la faille à la source, avec des tests adverses du correctif par des modèles de pointe ; laisser aux organisations touchées le temps de se préparer ; se coordonner avec les partenaires publics ; préparer les mises à jour des produits concernés ; et publier des recommandations une fois le correctif disponible. Les mainteneurs choisissent qui est prévenu à l'avance, et le calendrier est revu en cas d'exploitation, de fuite ou de correctif public trop révélateur. OpenAI s'attend à ce que ce genre de découvertes augmente fortement dans les mois qui viennent.
La logique tient. Quand des modèles trouvent des failles graves plus vite que de petites équipes bénévoles ne peuvent les corriger, la divulgation a besoin de plus de structure, et cela rejoint ce qu'Anthropic et d'autres ont décrit dans leurs propres travaux récents de sécurité.
La question de la gouvernance est plus délicate. Une entreprise qui vend les modèles qui trouvent les failles propose désormais de coordonner qui en est informé et quand, tout en décidant qui obtient un accès subventionné à ces modèles. OpenAI sollicite des avis et reconnaît que ses propres classificateurs de blocage peuvent gêner un travail de sécurité légitime. Le cadre aurait plus de poids s'il était porté par un organisme neutre, comme un CERT ou une fondation open source, plutôt que par un éditeur, et la communauté de la sécurité a raison d'insister sur ce point avant de l'adopter.