Google Big Sleep débusque une faille SQLite 0-day – vos données sont en danger !
Big Sleep : l’agent IA de Google qui traque les failles avant les pirates
Google vient de dévoiler les premières retombées du projet Big Sleep, une initiative conjointe de Google DeepMind et de Google Project Zero. Cet agent d’intelligence artificielle exploite des modèles de langage avancés (LLM) pour analyser automatiquement le code des logiciels et détecter des vulnérabilités potentielles. Sa dernière « prise » ? Un bug critique dans SQLite, l’un des moteurs de base de données relationnelles les plus répandus au monde, utilisé dans d’innombrables applications, systèmes embarqués et navigateurs web.
Genèse et objectifs de Big Sleep
Annoncé le 1er novembre 2024, Big Sleep s’inscrit dans la volonté de Google de renforcer la cybersécurité des projets open source. Au lieu de se contenter d’outils de fuzzing traditionnels, l’agent IA parcourt le code de manière sémantique, comprend les chaînes d’appels et repère les scénarios à risque. Plusieurs étapes clés composent son processus :
En combinant la puissance d’un LLM avec des algorithmes de validation formelle, Big Sleep ambitionne d’anticiper les attaques avant même que des exploits ne se répandent sur le Dark Web.
Première découverte : un stack buffer overflow en octobre 2024
La toute première vulnérabilité détectée par Big Sleep remonte à début octobre 2024. L’agent a identifié un cas de dépassement de tampon dans SQLite, lié à la gestion d’une fonction de formatage de chaînes. Plus précisément :
Le bug a été rapidement corrigé par l’équipe SQLite, qui a publié la version 3.47 quelques jours seulement après la remontée du problème. Cette réactivité souligne l’intérêt majeur d’un système automatique : il réduit le “time-to-patch” en signalant précisément la faille avec un contexte exploit direct.
Le CVE-2025-6965 : injection et integer overflow
Fin juin 2025, Big Sleep a mis au jour une seconde vulnérabilité, référencée CVE-2025-6965, cette fois plus complexe :
Concrètement, un attaquant pouvait envoyer une requête apparemment légitime, mais dont la structure manipulée forçait SQLite à lire au-delà de la zone allouée. Le pirate obtenait alors un accès à des données sensibles ou déstabilisait complètement l’exécution du moteur de base de données.
Google souligne que cette vulnérabilité était déjà exploitée « en sauvage » : des outils malveillants l’intégraient dans des chaînes d’attaque ciblées. Grâce à Big Sleep, l’équipe de sécurité a pu verrouiller la faille dans la version 6.50.2 de SQLite avant qu’un patch officiel ne soit mis sous pression par un exploit public.
Avantages et limites d’un agent IA en sécurité
Big Sleep démontre le potentiel de l’IA pour renforcer la sécurité des logiciels, mais cette approche n’est pas sans défis :
Ces garde-fous permettent de tirer le meilleur de l’automatisation, tout en limitant les risques d’abus ou d’erreurs impactant la stabilité des systèmes.
Perspectives : Timesketch et FACADE à Black Hat et DEF CON
Pour illustrer le potentiel de l’IA dans la sécurité, Google annoncera lors des conférences Black Hat USA et DEF CON 33 deux nouveaux outils :
Ces démonstrations permettront de comprendre comment l’intelligence artificielle peut accompagner les analystes et accélérer les cycles de détection et de remédiation, dans un contexte de cybermenaces croissantes et de complexité grandissante des infrastructures.
Enjeux pour les projets open source
La communauté open source, souvent dépendante de petites équipes de maintenance, peut bénéficier directement de ces avancées :
En multipliant ces interventions, Google encourage un « cercle vertueux » de la sécurité logicielle, où l’IA complète l’expertise humaine pour rendre Internet et les applications plus fiables pour tous les utilisateurs.
