La Maison Blanche devrait mettre à jour sa stratégie de cybersécurité pour tenir compte de l’impact de l’IA
La Maison Blanche a publié cette semaine son plan de mise en œuvre de la stratégie nationale de cybersécurité, un plan pluriannuel sur la manière dont l’administration Biden prévoit d’exécuter sa stratégie de cybersécurité. Dans l’ensemble, la stratégie et le plan de mise en œuvre reflètent un effort cohérent pour améliorer la cybersécurité aux États-Unis. Cependant, il y a un problème flagrant : la stratégie est pratiquement silencieuse sur l’impact que l’intelligence artificielle (IA) aura sur la cybersécurité.
La stratégie nationale de cybersécurité, publiée en mars 2023, décrit la vision des administrations Biden pour améliorer la cybersécurité dans l’écosystème numérique. La stratégie est ambitieuse et tournée vers l’avenir, couvrant une pléthore de problèmes, tels que les infrastructures critiques, les ransomwares, la cyber main-d’œuvre et les chaînes d’approvisionnement sécurisées, et elle propose une collaboration et une coordination plus étroites entre les parties prenantes des secteurs public et privé. Mais malgré son approche globale de la cybersécurité, il mentionne à peine l’IA.
En effet, il n’y a que cinq mentions d’IA dans l’ensemble de la stratégie de 35 pages, et chacune d’entre elles est triviale. La première mention est utilisée comme un exemple de la façon dont les logiciels et les systèmes deviennent de plus en plus complexes. La seconde fait référence à d’autres efforts de l’administration pour sécuriser les technologies de nouvelle génération. Et les trois dernières références s’inscrivent dans le contexte de la façon dont le changement révolutionnaire dans notre paysage technologique nécessite davantage d’investissements dans la cybersécurité. Dans ces derniers cas, l’IA n’est qu’une des nombreuses technologies répertoriées, notamment les systèmes de contrôle industriels, le cloud, le cryptage, l’analyse de données, la biotechnologie, la microélectronique, l’informatique quantique et les technologies d’énergie propre. Malheureusement, le plan de mise en œuvre publié cette semaine néglige encore plus l’IA. Dans ses 57 pages d’initiatives détaillées, il n’y a pas une seule mention de l’IA.
Cette omission est un oubli flagrant car l’IA devrait être au premier plan de la stratégie nationale de cybersécurité compte tenu de toutes ses utilisations potentielles. Non seulement il existe des applications immédiates des outils d’IA, comme pour mieux détecter les logiciels malveillants, les intrusions dans les réseaux et les systèmes, et la fraude, mais il existe également de nombreuses applications émergentes de l’IA générative qu’une stratégie nationale devrait envisager, comme l’utilisation de l’IA générative pour écrire plus sécuriser le code, rechercher les vulnérabilités, fournir une formation à la cybersécurité et automatiser les flux de travail pour les professionnels de la cybersécurité. Bien que le secteur privé puisse entreprendre lui-même certaines de ces activités, comme la commercialisation de certains de ces outils, le gouvernement devrait également jouer un rôle important dans le financement et la coordination de la recherche, le développement d’ensembles de données de formation et la surveillance des menaces.
À court terme, les attaquants sont susceptibles d’adopter rapidement des outils d’IA à des fins néfastes. Par exemple, les cybercriminels ont déjà commencé à vendre des outils comme WormGPT, un clone ChatGPT conçu pour mener des activités en ligne illégales comme l’écriture de logiciels malveillants ou des campagnes de phishing. La doublure argentée est que si l’IA peut faciliter la conduite d’attaques, elle facilitera également la défense contre elles. Par exemple, OpenAI Codex, une version du modèle OpenAIs GPT-3 qui a été affinée pour l’écriture de code, peut être utilisée pour analyser et réparer les vulnérabilités dans le code logiciel. Il est peu probable que de nombreuses organisations, en particulier celles qui manquent traditionnellement de ressources de cybersécurité suffisantes comme les petites entreprises, les gouvernements locaux et les écoles publiques, agissent aussi rapidement que les attaquants pour renforcer leurs défenses contre cette nouvelle menace. Il n’est peut-être pas possible d’éliminer cette fenêtre où les attaquants auront probablement l’avantage, mais le gouvernement devrait au moins essayer de la minimiser.
Malheureusement, l’administration Biden s’est principalement concentrée sur les risques de l’IA et sur la manière d’atténuer ces risques, plutôt que sur la manière d’accélérer l’adoption et le déploiement de cette technologie. Une IA sûre et sécurisée est importante, mais il est au moins tout aussi important d’utiliser l’IA pour rendre d’autres systèmes informatiques aussi sûrs que possible. Compte tenu de l’importance croissante de l’IA, la Maison Blanche devrait publier un addendum à la Stratégie nationale de cybersécurité avant la fin de l’année décrivant sa vision et les mesures qu’elle prévoit de prendre pour utiliser l’IA afin d’améliorer la cyber-résilience.
Crédits image : Midjourney