Cybersécurité par chat : l’IA promet beaucoup, mais peut-elle tenir ses promesses ?
L’intelligence artificielle a capturé l’imagination humaine depuis l’invention du premier ordinateur moderne au milieu du XXe siècle. Et le dernier jalon de l’intelligence artificielle, ChatGPT, a revigoré notre intérêt généralisé pour la capacité de l’IA à simplifier notre façon de travailler.
Les progrès de ChatGPT en matière d’apprentissage automatique sont impressionnants : ses résultats de haute qualité sont proches de l’humain. Les progrès que cela représente pour les systèmes d’IA indiquent que des réalisations encore plus remarquables sont proches de la réalité. Mais alors que ChatGPT suggère que le plein potentiel de l’IA se rapproche, la réalité est qu’il n’est toujours pas tout à fait là. À l’heure actuelle, l’apprentissage automatique offre de grandes opportunités pour augmenter l’intelligence humaine, mais il ne peut toujours pas remplacer les experts humains.
Les obstacles entre ChatGPT et l’avenir qu’il promet
Une dépendance totale à l’IA ne peut se produire que si une technologie d’IA donnée s’avère plus efficace que tous les autres outils utilisés pour servir le même objectif. Et l’IA n’a pas encore été développée pour fonctionner de manière entièrement autonome. L’IA étroite (ANI) décrit souvent l’IA que nous voyons aujourd’hui : une IA conçue pour une seule tâche, comme un chatbot ou un générateur d’images. ANI nécessite toujours une supervision humaine et une configuration manuelle pour fonctionner et n’est pas toujours exécuté et formé sur les dernières données et informations. Dans ce cas, Reinforcement Learning from Human Feedback (RLHF), qui permet au modèle d’apprendre à partir de réponses correctes et incorrectes aux requêtes, a aidé à former ChatGPT.
Nos apports humains dans les systèmes d’IA posent également un défi important. Les modèles d’apprentissage automatique peuvent être colorés par nos opinions personnelles, notre culture, notre éducation et nos perspectives mondiales, ce qui limite notre capacité à créer des modèles qui éliminent entièrement les préjugés. S’il est mal utilisé et formé, l’ANI peut ancrer davantage nos préjugés dans notre travail, nos systèmes et notre culture. Nous avons même vu des primes de bogue dédiées à la suppression des biais de l’IA, soulignant ces défis. Une dépendance complète serait problématique à moins que nous ne puissions identifier comment construire des systèmes d’IA plus robustes qui atténuent les préjugés humains.
Il est insensé de se fier entièrement à l’IA pour la cybersécurité
Le paysage croissant des menaces, la diversification des vecteurs d’attaque et les groupes de cybercriminels aux ressources élevées nécessitent une approche à plusieurs volets qui tire parti des atouts de l’intelligence humaine et de l’intelligence artificielle. Une enquête menée en 2020 a révélé que 90 % des professionnels de la cybersécurité pensaient que la technologie de cybersécurité n’était pas aussi efficace qu’elle le devrait et qu’elle était en partie responsable du succès continu des attaquants. Faire pleinement confiance à l’IA ne fera qu’exacerber la dépendance excessive déjà importante de nombreuses organisations à l’égard de ces outils d’automatisation et d’analyse inefficaces, et les rapports de vulnérabilité générés par l’IA avec des faux positifs « faux avec confiance » peuvent même ajouter de la friction aux efforts de remédiation.
La technologie a sa place, mais rien ne se compare à ce qu’un humain qualifié avec un état d’esprit de hacker peut produire. Le type de vulnérabilités de haute gravité détectées par de nombreux pirates informatiques nécessite de la créativité et une compréhension contextuelle du système affecté. Un rapport de vulnérabilité rédigé par ChatGPT comparé à un rapport développé de bout en bout par un pirate informatique démontre ce manque de compétence. Lorsqu’il a été testé, le rapport du premier était répétitif, manquait de spécificité et ne fournissait pas d’informations précises, tandis que le second offrait un contexte complet et des conseils d’atténuation détaillés.
L’IA peut booster votre équipe de sécurité
Il y a un milieu stable. Intelligence artificielle peut accomplir des tâches plus rapidement et plus efficacement que n’importe qui d’autre. Cela signifie que l’IA peut faciliter le travail des professionnels de la cybersécurité.
Les pirates éthiques utilisent déjà les outils d’IA existants pour aider à rédiger des rapports de vulnérabilité, générer des échantillons de code et identifier les tendances dans de grands ensembles de données. La diversité des compétences de la communauté des hackers comble les lacunes en matière de capacités de l’IA. Là où l’IA aide vraiment, c’est de fournir aux pirates et aux équipes de sécurité le composant le plus critique pour la gestion des vulnérabilités : la vitesse.
Avec près de la moitié des organisations qui manquent de confiance pour combler leurs failles de sécurité, l’IA peut jouer un rôle déterminant dans l’intelligence des vulnérabilités. La capacité de l’IA à réduire le temps de correction en aidant les équipes à traiter plus rapidement de grands ensembles de données pourrait accélérer la rapidité avec laquelle les équipes internes analysent et catégorisent de vastes pans de leur surface d’attaque inconnue.
L’IA étroite pourrait aider à relever les principaux défis de l’industrie
Nous voyons déjà les gouvernements reconnaître le potentiel de l’IA étroite : la Cybersecurity and Infrastructure Security Agency (CISA) répertorie l’IA comme une solution possible de renseignement sur les vulnérabilités pour la sécurité de la chaîne d’approvisionnement logicielle. Lorsque les minuties quotidiennes du travail important de cybersécurité sont éliminées, les humains derrière la technologie sont libérés pour prêter une plus grande attention à leur surface d’attaque, mieux remédier aux vulnérabilités et élaborer des stratégies plus solides pour se défendre contre les cyberattaques.
Bientôt, ANI pourrait libérer encore plus de potentiel des pirates et des professionnels de la cybersécurité qui l’utilisent. Au lieu de s’inquiéter que l’IA prenne leur emploi, les professionnels de la sécurité devraient cultiver un ensemble de compétences diversifiées qui complètent les outils d’IA tout en gardant une conscience aiguë de ses limites actuelles. L’IA est loin de remplacer la pensée humaine, mais cela ne signifie pas qu’elle ne peut pas aider à créer un avenir meilleur. Pour une industrie avec un déficit de compétences important, l’IA pourrait faire toute la différence dans la construction d’un Internet plus sûr.