Par John Knechtel
L'essor de l'intelligence artificielle générative (IAG) engendre de nouveaux défis en matière de cybersécurité, exigeant une réponse multicouche s'appuyant sur les défenses existantes. C'est ce qu'ont conclu des experts et des dirigeants du secteur de la cybersécurité lors d'une récente table ronde du Vector Institute sur les risques de cybersécurité et l'IA. Cette session visait à aider les entreprises à concilier l'innovation axée sur l'IA et des stratégies de cyberdéfense robustes.
L'innovation et la croissance rapides des technologies d'intelligence artificielle générale constituent un défi majeur, les attaquants accédant quotidiennement à de nouveaux outils et créant de nouvelles menaces. Pourtant, ces mêmes facteurs qui augmentent le volume et l'ampleur des cybermenaces permettent également aux entreprises de déployer des défenses plus robustes.
Cette technologie élargit simultanément la surface d'attaque – l'ensemble des points d'entrée potentiels d'un système numérique – tout en permettant aux cybercriminels de développer des attaques plus sophistiquées, ce qui accroît les enjeux de sécurité des entreprises. « Si l'IA devient le prochain Internet, la cybersécurité sera primordiale », a résumé un participant à un atelier.
L'ampleur des dommages potentiels s'accroît. Cybersecurity Ventures, une société d'études et de veille concurrentielle, estime que les cyberdommages à l'échelle mondiale dépasseront les 10 000 milliards de dollars d'ici 2025. « On va assister à des attaques plus fréquentes, plus coûteuses, avec une pénétration accrue et une plus grande facilité d'exécution », a prédit un participant. « Certaines violations de données importantes ont coûté des centaines de millions de dollars. Entre-temps, les coûts pour les cybercriminels diminuent. « L'accès est très peu coûteux, et combiné à l'apprentissage machine et à l'intelligence artificielle, le type d'attaque qui peut être conçu est terrifiant », a confié un autre participant.
L'intelligence artificielle de nouvelle génération (GenAI) élargit la surface des cyberattaques tout en permettant aux acteurs malveillants de développer des attaques plus sophistiquées, ce qui accroît les enjeux de sécurité des entreprises.
Face à cette situation, les entreprises devront identifier leurs points faibles et établir des priorités. « Les entreprises n'ont pas les ressources pour tout traiter. Elles devront se demander : quel est l'élément le plus important à protéger ? Le risque est qu'elles renoncent à examiner la situation parce que les réparations seront trop coûteuses. »
Alphabétisation
Grâce à son interface en langage naturel, l'IA générative n'est plus l'apanage des experts techniques : chaque employé peut désormais l'utiliser directement. Cette nouvelle réalité – l'accès universel via l'IA générative – exigera de tous les employés de l'organisation qu'ils intègrent, pour la première fois, les enjeux de cybersécurité, de confidentialité et d'éthique. Sachant que, souvent, les employés ne respectent pas les politiques de cybersécurité existantes, cela représente un véritable défi.
« Les gens ne respectent même plus les règles élémentaires de cybersécurité », a déclaré un participant. En observant les récentes violations de données, par exemple, « quand on voit comment ils ont réussi à s'introduire dans le système, on constate qu'on a encore des problèmes avec des éléments fondamentaux comme les mots de passe ». Plus inquiétant encore, certains employés contournent tout simplement les politiques et les systèmes de leur entreprise. Dans un cas précis, une entreprise a découvert que son code était publié publiquement : les développeurs avaient utilisé leurs ordinateurs personnels et des services infonuagiques pour contourner les canaux officiels.
Afin de sensibiliser les employés et d'assurer leur adhésion aux règles, un programme de tests et d'adaptation est nécessaire. Comme l'a décrit un participant : « Dans notre expérience au sein d'une banque, nous avons mis l'accent sur la formation, avec des séances annuelles rigoureuses et des tests. La banque envoie des courriels de test, etc., pour vérifier si les employés sont suffisamment vigilants et savent cliquer sur les liens. Nous analysons ensuite les résultats afin d'évaluer le niveau de sensibilisation. Si ce niveau est bas, nous organisons des formations complémentaires. Pour les organisations qui travaillent sur les comportements, la mise en place de protocoles de formation pour les équipes manipulant des données sensibles est très concrète. »
Gouvernance
Plusieurs entreprises se sentent vulnérables. Elles constatent que l'IA est « intégrée à tous les processus d'affaires, mais personne ne sait si elle est sécurisée ». Un participant à un atelier a rapporté que, selon KPMG, seulement 56 % des PDG canadiens se disent préparés aux cyberattaques et 93 % craignent que l'IA générative ne les rende plus vulnérables aux violations de données. « On aborde l'IA avec une extrême prudence », a dit un autre participant. « Chaque cas d'utilisation est soigneusement évalué, testé et fait l'objet d'un examen de sécurité approfondi avant d'être accepté. »
Seulement 56 % des PDG canadiens pensent être préparés aux cyberattaques et 93 % craignent que l'IA générative ne les rende plus vulnérables aux violations de données.
Les fonctions de contrôle interne et les équipes d'audit devront comprendre et atténuer les risques liés à l'IA ; il est donc essentiel d'intégrer l'expertise en IA au sein de ces équipes. « Quand j'observe l'écosystème de l'entreprise dans son ensemble, où chaque aspect de son fonctionnement est bouleversé », a déclaré un participant, « il est évident que la direction a besoin d'une expertise en IA. »
Pour être efficaces, les entreprises doivent « s'assurer que le conseil d'administration et la haute direction créent le contexte propice au développement de l'IA », a déclaré un participant. Cet engagement du leadership sera indispensable « pour obtenir l'adhésion de toute l'organisation et adopter des pratiques inédites ».
Modèles
L'expansion de l'infrastructure de cybersécurité nécessitera des ressources importantes (les besoins en puissance de calcul en cybersécurité augmentent de 4,2 fois par année, selon un participant) et un effort soutenu.
Les grands modèles de langage sont difficiles à évaluer et complexes à gérer, ce qui rend leur suivi particulièrement ardu. Comme l'a souligné un participant : « Tous les fournisseurs intègrent l'IA à leurs produits, ce qui la rend extrêmement invisible. Cela comporte de nombreux risques. »
La vérification et la réglementation des modèles constituent une tâche trop lourde pour qu'une seule entreprise puisse la mener à bien. Les participants ont proposé la création d'un organisme indépendant chargé de ce travail. « Nous avons besoin de plus de normalisation, d'une application plus rigoureuse des normes et d'une certification de qualité plus indépendante. Dans notre cas, déployer une IA sans certification dans des systèmes en production est tout simplement impensable », a commenté l'un d'eux.
Le potentiel des systèmes d'IA améliorés pour renforcer la cybersécurité et atténuer les risques est évident. « Grâce à une connexion en langage naturel avec un système en production, les modèles d'IA peuvent analyser la surface d'attaque mondiale, qui est très vaste, identifier les corrélations entre les attaques réussies, isoler les attaques les plus probables et corriger le système pour les prévenir. C'est extrêmement précieux. »
Mais les modèles d'IA ont besoin de données riches, comme des exemples d'attaques réussies. « Les bons exemples pour l'entraînement sont rares », a déclaré un participant. Les attaques de bots simulées peuvent être moins coûteuses à tester et ces données peuvent ensuite servir à entraîner la prochaine génération de systèmes de cybersécurité.
Bien que l'émergence de l'IA générative pose clairement des défis importants, les participants à l'atelier ont suggéré qu'avec les approches décrites ci-dessus, les entreprises seront en mesure de mettre en place une défense efficace et multicouche.
