SQLite : Fausse faille critique démasquée par l'IA

Une faille critique désignée sous le code CVE-2026-51302 dans le système SQLite a été révélée comme une pure invention, notée initialement à 10/10 en termes de gravité. Cette alarme, signalée par le NIST, la CISA et le centre de cybersécurité néerlandais, a été levée sans preuve tangible de vulnérabilité. L’erreur a mis en lumière les risques liés à la validation automatique de contenus générés par l’intelligence artificielle.

Début de l’alerte et confusion, la CVE-2026-51302 a été introduite par un compte GitHub créé récemment, attirant ainsi une attention significative des autorités de cybersécurité telles que le NIST et le centre néerlandais NCSC. Le moteur de base de données SQLite, largement utilisé dans le monde, a été central dans cette alerte qui s’est propagée rapidement. Les intervenants officiels ont ensuite constaté le caractère non fondé de la faille rapportée.

Retrait de la CVE après vérification

Après plusieurs vérifications, le développeur principal de SQLite, Richard Hipp, a insisté sur le retrait de la faille, une décision qui a finalement été acceptée. Cette situation a mis en avant les lacunes des systèmes automatisés et la nécessité d’une validation humaine. Selon JFrog Security, les preuves de concept fournies ne correspondaient pas à la réalité, soulignant la fragilité du processus automatisé.

Le rôle de l’intelligence artificielle a été pointé du doigt dans l’émission de ces rapports erronés. JFrog Security a trouvé que sur 55 avis de sécurité publiés par la même source, 54 étaient fictifs, trahissant une tendance inquiétante vers une automatisation excessive sans contrôles humains renforcés. Le NIST, confronté à des difficultés de ressources depuis 2024, a accepté ces failles sans suffisamment d’examens préalables.

Conséquences et recommandations

Les actions suivantes ont vu les entités concernées retirer leurs alertes, admettant l’erreur créée par des systèmes d’IA avancés mais non infaillibles. Le NCSC a qualifié cet événement comme un incident issu d’un