De grandes attentes en matière d’IA, mais une situation sombre pour la cybersécurité

C’est une vérité universellement reconnue qu’une seule technologie en possession de la bonne fortune doit avoir besoin d’une solution urgente de cybersécurité (c’est assez de références littéraires). Ainsi, huit mois après le début du cycle de battage médiatique autour de l’IA et des grands modèles linguistiques, l’industrie est en proie à des craintes quant aux implications en matière de sécurité.

Des rapports récents de diginomica ont examiné la nécessité pour des entreprises comme Private AI d’anonymiser et de masquer les données personnelles pour empêcher les utilisateurs de les transmettre aux fournisseurs sans réfléchir. Et sur les implications de l’IA sur l’identité numérique : une course aux armements de fausses pièces d’identité et d’algorithmes open source détournés pour frauder des clients imprudents.

Ce sont des questions importantes. La semaine dernière, sept fournisseurs, Amazon, Anthropic, Google, Inflection, Meta, Microsoft et OpenAI, ces derniers s’associant sur des produits comme l’époque ChatGPT, se sont tenus aux côtés du président américain Joe Biden et se sont engagés à gérer les risques associés à la technologie.

Plus tôt cette année, la Maison Blanche a publié une déclaration volontaire des droits de l’IA, à la suite de fournisseurs qui auraient recherché sur Internet des données pour former du contenu de modèles en grande langue (LLM) qui peut être publié dans un domaine public, le Web, mais pas toujours classés dans le domaine public en droit.

En conséquence, une vague de procès est en cours ou à venir, tandis qu’à Hollywood, les acteurs réfléchissent aux implications de l’IA utilisant leurs ressemblances. Les gens pourraient-ils commencer à faire valoir leurs droits numériques en tant qu’entités juridiques uniques ? Inévitablement, je pense.

Cela mis à part, l’un des objectifs de cette dernière initiative de la Maison Blanche et des fournisseurs est de garantir que le contenu généré par l’IA est clairement identifié, signalé ou filigrané comme une telle décision qui, à première vue, ne semblerait déraisonnable que pour les entreprises qui recherchent faire passer un tel contenu comme créé par des humains.

Cependant, Rusty Cumpston, PDG du fournisseur d’intelligence artificielle de confiance RKVST Inc, n’a pas été convaincu par cette décision (pourrait-elle éroder les marges bénéficiaires des fournisseurs spécialisés ?). Il a dit:

Les filigranes sur les images IA offrent une certaine aide aux personnes qui souhaitent savoir si les données sont dignes de confiance ou non, mais cela ressemble à un demi-bande de secours. Cela ne fait pas grand-chose pour résoudre le problème. Les consommateurs de données ont besoin d’un moyen simple de vérifier instantanément la provenance et l’intégrité des images et autres contenus numériques afin de pouvoir décider si les données peuvent être utilisées en toute sécurité ou non.

On se demande quelle entreprise pourrait proposer un tel service ? Mais il a ajouté :

Des normes émergent qui adoptent un modèle de confiance ouvert et interopérable qui fonctionne pour toutes les données, n’importe où, y compris la norme de métadonnées de provenance et d’authenticité C2PA et l’architecture d’intégrité, de transparence et de confiance de l’IETF SCITT.

RKVST utilise une API ouverte et des SDK open source, mais certains acteurs du secteur ont averti que l’IA open source elle-même présente un problème de sécurité : un cadeau pour les techniciens, mais aussi pour les fraudeurs, comme nous l’avons noté dans notre rapport précédent.

L’IA combat l’IA

Entre-temps, l’UE a élaboré la loi sur l’intelligence artificielle, une proposition de législation qui, à l’instar du RGPD, vise à protéger les citoyens européens contre les excès des entreprises. Les systèmes doivent être sûrs, transparents, non discriminatoires et durables, affirment les législateurs et régulateurs du bloc.

Mais dans quelle mesure les organisations sont-elles préoccupées par les risques de cybersécurité de l’IA, alors que beaucoup se précipitent pour l’adopter dans certains cas de manière tactique plutôt que stratégique (un risque en soi) ? Très bien, selon un nouveau rapport du fournisseur de sécurité RiverSafe, AI Unleashed: Navigating Cyber ​​Risks.

Selon une étude menée auprès de 250 leaders de la cybersécurité, 80 % des personnes interrogées pensent que l’IA est désormais la plus grande menace pour la cybersécurité de leur entreprise, tandis que 81 % la considèrent comme une menace plus importante qu’un avantage.

Aie. Ces préoccupations ralentissent le rythme de l’adoption de l’IA, ajoute le rapport, puisque 76 % des personnes interrogées arrêtent complètement les mises en œuvre pendant qu’elles évaluent les risques. Pendant ce temps, 22 % des responsables de la sécurité affirment que le personnel n’est pas autorisé à utiliser ChatGPT et des chatbots similaires dans certains cas, car les utilisateurs collent des données sensibles dans des outils basés sur le cloud.

Le rapport dit :

Certaines entreprises s’inquiètent des systèmes qu’elles ont mis en place pour gérer les menaces émergentes. Par exemple, 21 % nous ont déclaré que leur cyberstratégie était obsolète et devait être actualisée de toute urgence pour répondre aux nouvelles menaces telles que l’IA. Les responsables de la sécurité recrutent également de nouveaux talents en matière de cybersécurité.

Notre enquête dresse un tableau inquiétant du rôle que l’IA est appelée à jouer dans la cybercriminalité à l’avenir. Quatre-vingt-cinq pour cent des personnes interrogées nous ont déclaré que les progrès de l’IA dépasseraient les cyberdéfenses. En prévision de cette menace, 64 % ont vu cette année une augmentation de leur budget cyber.

Le volume et la sophistication croissants des attaques constituent également un problème majeur auquel sont confrontées les entreprises. Soixante et un pour cent ont constaté une augmentation de la complexité des cyberattaques grâce à l’IA, tandis que 33 % ont constaté peu de changement et seulement quatre pour cent ont constaté une diminution.

Selon l’enquête, l’écrasante majorité des professionnels de la sécurité, soit 95 %, estime que la réglementation de l’IA est donc essentielle. Pourtant, malgré ces tendances inquiétantes, RiverSafe conseille aux organisations d’adopter l’IA et de ne pas la laisser freiner leur activité.

Sans surprise, ce n’est pas le seul rapport en ville ce mois-ci. Un autre fournisseur, Censornet, estime que l’IA est la solution inévitable à la menace de sécurité posée par l’IA.

Son propre rapport, State of AI in Cybersecurity : Is AI the Answer to Cybersecurity Threat Overload ? dit:

À mesure que l’IA devient plus sophistiquée, les systèmes de cybersécurité traditionnels peuvent avoir du mal à lutter contre les menaces générées par l’IA. Et avec plus de la moitié (53 %) des décideurs informatiques mondiaux préoccupés par la capacité de ChatGPT à aider les pirates à créer des e-mails de phishing plus crédibles et légitimes, il n’est pas étonnant que l’IA soit en tête de l’agenda de la cybersécurité.

En effet. Mais selon Censornet, les organisations, en particulier les PME, combattront l’IA avec l’IA, avec 84 % des décideurs qui prévoient d’investir dans des solutions de sécurité automatisées par l’IA au cours des deux prochaines années, et 48 % cette année.

Soixante-seize pour cent investissent dans des alertes de sécurité automatisées par l’IA, tandis que 63 % ont réduit le nombre de fournisseurs de sécurité qu’ils utilisent, la plupart choisissant de se regrouper autour d’un seul ou d’un groupe central de fournisseurs.

Le PDG de Censornet, Ed Macnair, a déclaré :

La démocratisation de l’IA change la donne dans le monde des cyberattaques. Aujourd’hui plus que jamais, les acteurs malveillants peuvent facilement manipuler la puissance de l’IA pour automatiser et faire progresser les attaques.

L’IA générative aide les pirates à créer du contenu hautement convaincant pour les attaques de phishing ou de compromission de la messagerie professionnelle (BEC). Il est également beaucoup plus facile de créer des contrefaçons convaincantes dans des vidéos et des images manipulées.

La question pressante que toutes les équipes de cybersécurité doivent donc se poser est de savoir comment s’adapter à ces changements.

Mais il a ajouté :

Même si les outils basés sur l’IA constituent un élément essentiel de la solution, l’élément humain ne peut être ignoré. La formation, l’éducation et l’intégration d’une culture de sensibilisation à la sécurité dans l’ensemble de l’organisation sont tout aussi importantes que n’importe quel outil basé sur l’IA pour se protéger contre le nouveau paysage des menaces.

Mon avis

Des paroles sages.

Comme pour tous ces rapports, l’indépendance des répondants aux enquêtes auprès des fournisseurs n’est parfois pas claire : sont-ils des clients approchés par les enquêteurs au nom des fournisseurs ? Cela mis à part, les résultats restent un instantané utile de l’état des lieux.

Combattre la technologie par la technologie, une escalade de la complexité est un risque en soi. Ainsi, comme le conseille Macnair, ne négligez jamais l’élément humain crucial. C’est peut-être là que résident le danger et la solution.