L’intelligence artificielle a une liste croissante d’utilisations commerciales productives. Mais cela rend également les entreprises et les particuliers plus vulnérables aux cyberattaques.
La vitesse et le volume des menaces constituent le changement le plus important. L’IA « accélère les attaques de plusieurs mois à quelques heures », selon un rapport de Verizon sur les violations de données de mai. Et les récents progrès de l’IA ont déclenché une nouvelle panique autour des infrastructures numériques critiques utilisées par les grandes banques, les gouvernements et d’autres organisations.
Les modèles d’IA de pointe attisent de nouvelles craintes
Les craintes liées à la cybersécurité liées à l’IA ont atteint un point d’ébullition cette année. Tout a commencé avec le modèle Mythos AI d’Anthropic, qui a rapidement découvert et exploité les failles de sécurité dans des logiciels largement fiables après son lancement en avril. OpenAI a une capacité similaire. Tous deux se sont associés à des sociétés de sécurité telles que Cisco, Palo Alto Networks et CrowdStrike pour aider les entreprises à corriger leurs logiciels. Le gouvernement américain est très préoccupé et a récemment interdit aux ressortissants étrangers d’accéder à Mythos.
Quelques conseils pour les entreprises :
- Ne pas paniquer. La menace mérite attention, mais elle n’est pas totalement nouvelle.
- Concentrez-vous d’abord sur l’application de correctifs aux systèmes critiques et diffusez régulièrement des mises à jour logicielles.
- Assurez-vous que seules les personnes autorisées peuvent utiliser certains outils numériques en disposant de contrôles d’accès stricts.
- Utilisez l’authentification multifacteur – le processus consistant à combiner un nom d’utilisateur avec un mot de passe et un code PIN ou une biométrie pour les connexions.
- Les clés de sécurité physiques, telles que les YubiKeys de Yubico, constituent un autre moyen de se protéger contre les accès non autorisés.
- D’autres cyberprotections essentielles, telles que les pare-feu et les scanners antivirus, contribuent à renforcer les défenses.
Notez que l’IA aidera également à trouver et à corriger les défauts plus rapidement. « Les méchants peuvent utiliser l’IA pour trouver des vulnérabilités et créer rapidement des attaques, et les développeurs de logiciels devraient être capables d’utiliser la même technologie pour créer plus rapidement (comme avant de publier du mauvais code) des versions renforcées du code », a noté John Pescatore, directeur des tendances de sécurité émergentes à l’Institut SANS, dans un bulletin d’information d’avril.
Autres menaces majeures de l’IA qui nécessitent une attention urgente
Les risques de l’IA agentique
Agentic AI effectue des tâches complexes en plusieurs étapes, de la création d’une application à la gestion des stocks. « Les agents d’IA ne viennent pas, ils sont déjà là », a déclaré Saira Mohammed, conseillère en chef en sécurité de Microsoft, lors d’une récente conférence Gartner sur la cybersécurité dans le Maryland. 80 % des entreprises Fortune 500 déploient des agents IA, selon Microsoft.
Les agents risquent des fuites de données, des transactions non autorisées, des violations de conformité et d’autres préjudices. « Les agents peuvent exposer plus de données en cinq minutes qu’un employé imprudent ne le ferait en un mois », a déclaré Mohammed. Les entreprises peuvent mettre en place des garde-fous et un ensemble d’autorisations pour limiter ce qui est autorisé. Les outils peuvent suivre l’utilisation de l’IA, les actions risquées, les informations d’identification volées, l’utilisation en dehors des heures d’ouverture, l’accès aux données et bien plus encore. Ceux-ci incluent Microsoft Agent 365, qui suit les agents de Microsoft et de tiers, et ReliaQuest, qui dispose d’un outil pour suivre Claude d’Anthropic.
Menaces des chatbots IA
Les chatbots tels que ChatGPT d’OpenAI et Gemini de Google présentent des risques de sécurité difficiles à atténuer. Il s’agit notamment des utilisateurs qui créent des invites pour contourner les garde-corps ; les chatbots divulguant des secrets ou des données d’entreprise ; ou les systèmes d’IA sont corrompus par les données sur lesquelles ils sont formés. Les entreprises peuvent commencer par bloquer ou restreindre certaines invites (les employés saisissent du texte dans le chatbot). Des outils d’IA spécifiques peuvent être bloqués sur les appareils et les réseaux de l’entreprise, et les données sensibles de l’entreprise peuvent être bloquées sur les outils d’IA publics.
Il existe également un processus d’approbation pour les nouvelles utilisations de l’IA afin de garantir la sécurité, la confidentialité et la conformité réglementaire, a déclaré John Murphy, analyste chez Gartner, lors de la conférence.
Craintes concernant les deepfakes
L’IA facilite la création de vidéos et de photos de personnes réelles ou fausses. Les deepfakes peuvent infiltrer les vidéoconférences, passer des appels téléphoniques ou contourner l’authentification biométrique. Un exemple est celui des attaquants se faisant passer pour un cadre pour demander des transferts d’argent à un employé sans méfiance. Les outils de détection de fournisseurs tels que iProov, Pindrop et Reality Defender analysent l’audio et la vidéo à la recherche de contrefaçons, mais ils ne sont pas infaillibles.
Des études montrent que la détection des deepfakes par l’IA fonctionne mieux en laboratoire que dans le monde réel, a déclaré Christine Lee, analyste chez Gartner, lors de la conférence. Les entreprises doivent informer leurs employés sur les attaques, tout en utilisant une sécurité de connexion renforcée. Les approches low-tech devraient être combinées avec celles de haute technologie, comme poser des questions personnelles pour vérifier l’identité d’une personne.
Les employés abusent de l’IA
Des garde-fous d’entreprise doivent être intégrés aux chatbots et aux agents, ainsi que des directives claires à l’intention des employés. Spécifiez, par exemple, les données et les fichiers que les travailleurs sont autorisés à télécharger dans les outils d’IA. L’IA fantôme, l’utilisation d’IA non approuvée au travail, a augmenté au cours de l’année écoulée et constitue l’un des principaux moyens par lesquels les données de l’entreprise sont divulguées involontairement, selon le rapport de Verizon.
L’éducation est utile, comme une formation à l’IA sur les attaques possibles, les risques liés aux données et le fonctionnement de l’IA. Même les utilisateurs expérimentés de l’IA ont besoin d’une formation, car ils ne réalisent peut-être pas tous les cyber-risques. Suivez également les outils d’IA pour découvrir les activités suspectes, allant des fuites de données à l’IA fantôme.
Les meilleures pratiques en matière de cybersécurité restent la meilleure ligne de défense
En plus de ces menaces liées à l’IA, il existe toujours des ransomwares, des attaques de phishing, des risques liés à la chaîne d’approvisionnement logicielle et bien plus encore.
Les experts en sécurité conseillent de se concentrer sur l’essentiel. Inventoriez vos données et vos appareils. Cryptez les données et conservez des sauvegardes. Jetez les données et l’informatique inutilisées. Utilisez des correctifs automatisés. Utilisez des filtres de messagerie pour lutter contre le phishing. Modifiez les informations d’identification par défaut sur les systèmes informatiques et les applications. Gardez un plan de réponse aux incidents à jour pour les violations de données. Suivez régulièrement une cyber-formation.
Les ressources fiables pour les menaces liées à l’IA incluent MITRE Atlas et le cadre de gestion des risques liés à l’IA du NIST.
