Les chatbots IA facilitent grandement le travail en matière de cybersécurité, mais les modèles de base sont sur le point de le révolutionner

Lorsque l’IA générative a fait ses débuts, les entreprises se sont lancées dans une expérience d’IA. Ils ont adhéré à des innovations que beaucoup d’entre eux ne comprennent pas vraiment ou, peut-être, n’ont pas pleinement confiance. Cependant, pour les professionnels de la cybersécurité, exploiter le potentiel de l’IA est une vision depuis des années et une étape historique sera bientôt franchie : la capacité de prédire les attaques.

L’idée de tout prédire a toujours été le Saint Graal en matière de cybersécurité et suscite, à juste titre, un grand scepticisme. Toute affirmation concernant les capacités prédictives s’est avérée être soit un battage publicitaire, soit une aspiration prématurée. Cependant, l’IA se trouve désormais à un point d’inflexion où l’accès à davantage de données, à des modèles mieux optimisés et à des décennies d’expérience ont tracé une voie plus simple vers la réalisation de prédictions à grande échelle.

À présent, vous pourriez penser que je suis sur le point de suggérer que les chatbots se transformeront en cyber-oracles, mais non, vous pouvez soupirer de soulagement. L’IA générative n’a pas atteint son apogée avec les chatbots de nouvelle génération. Ils ne sont qu’un début, ouvrant la voie aux modèles de base et à leur capacité de raisonnement à évaluer avec une grande confiance la probabilité d’une cyberattaque, ainsi que la manière et le moment où elle se produira.

Modèles d’IA classiques

Pour comprendre l’avantage que les modèles de base peuvent apporter aux équipes de sécurité à court terme, nous devons d’abord comprendre l’état actuel de l’IA dans ce domaine. Les modèles d’IA classiques sont formés sur des ensembles de données spécifiques pour des cas d’utilisation spécifiques afin d’obtenir des résultats spécifiques avec rapidité et précision, les principaux avantages des applications d’IA en cybersécurité. Et à ce jour, ces innovations, associées à l’automatisation, continuent de jouer un rôle considérable dans la gestion des menaces et dans la protection de l’identité des utilisateurs et de la confidentialité des données.

Avec l’IA classique, si un modèle était formé sur le ransomware Clop (une variante qui a fait des ravages dans des centaines d’organisations), il serait capable d’identifier diverses signatures et subtilités suggérant que ce ransomware est dans votre environnement et de le signaler en priorité à la sécurité. équipe. Et cela avec une vitesse et une précision exceptionnelles qui surpassent l’analyse manuelle.

Aujourd’hui, le modèle de menace a changé. La surface d’attaque s’étend, les adversaires s’appuient autant sur l’IA que les entreprises et les compétences en matière de sécurité sont encore rares. L’IA classique ne peut pas, à elle seule, couvrir toutes les bases.

Modèles d’IA auto-formés

Le récent boom de l’IA générative a placé les grands modèles linguistiques (LLM) au centre du secteur de la cybersécurité en raison de leur capacité à récupérer et à résumer rapidement diverses formes d’informations pour les analystes de sécurité en utilisant le langage naturel. Ces modèles offrent une interaction de type humain aux équipes de sécurité, rendant la digestion et l’analyse d’informations complexes et hautement techniques beaucoup plus accessibles et beaucoup plus rapides.

Nous commençons à voir les LLM permettre aux équipes de prendre des décisions plus rapidement et avec plus de précision. Dans certains cas, des actions qui nécessitaient auparavant des semaines sont désormais réalisées en jours, voire en heures. Là encore, la vitesse et la précision restent les caractéristiques essentielles de ces innovations récentes. Les exemples les plus marquants sont les percées introduites avec IBM Watson Assistant, Microsoft Copilot ou les chatbots AI de Crowdstrikes Charlotte.

Sur le marché de la sécurité, c’est là que se situe actuellement l’innovation : matérialiser la valeur des LLM, principalement à travers des chatbots positionnés comme assistants artificiels des analystes en sécurité. Nous verrons bien cette innovation se transformer en adoption et générer un impact matériel au cours des 12 à 18 prochains mois.

Compte tenu de la pénurie de talents dans le secteur et du nombre croissant de menaces auxquelles les professionnels de la sécurité sont confrontés quotidiennement, ils ont besoin de tous les coups de main possibles et les chatbots peuvent y agir comme un multiplicateur de force. Il suffit de penser que les cybercriminels ont réussi à réduire de 94 % le temps requis pour exécuter une attaque de ransomware : ils utilisent le temps comme une arme, ce qui rend essentiel pour les défenseurs d’optimiser leur propre temps dans la mesure du possible.

Cependant, les cyber-chatbots ne sont que des précurseurs de l’impact que les modèles de fondation peuvent avoir sur la cybersécurité.

Les modèles de fondations à l’épicentre de l’innovation

La maturation des LLM nous permettra d’exploiter tout le potentiel des modèles de fondation. Les modèles de base peuvent être formés sur des données multimodales (pas seulement du texte, mais aussi des images, de l’audio, de la vidéo, des données réseau, du comportement, etc.). Ils peuvent s’appuyer sur le traitement linguistique simple du LLM et augmenter ou remplacer considérablement le volume actuel de paramètres auxquels l’IA est liée. Combinés à leur nature auto-supervisée, ils deviennent naturellement intuitifs et adaptables.

Qu’est-ce que cela signifie? Dans notre précédent exemple de ransomware, un modèle de base n’aurait pas besoin d’avoir jamais vu le ransomware Clop ou tout autre ransomware d’ailleurs pour détecter un comportement anormal et suspect. Les modèles de base sont auto-apprenants. Ils n’ont pas besoin d’être formés pour un scénario spécifique. Par conséquent, dans ce cas, ils seraient capables de détecter une menace insaisissable et jamais vue auparavant. Cette capacité augmentera la productivité des analystes de sécurité et accélérera leurs enquêtes et leurs réponses.

Ces capacités sont sur le point de se matérialiser. Il y a environ un an, nous avons commencé à mener un projet d’essai chez IBM, pionnier d’un modèle de base de sécurité permettant de détecter les menaces inédites, de les prévoir et de permettre une communication et un raisonnement intuitifs au sein d’une pile de sécurité d’entreprise sans compromettre la confidentialité des données.

Lors d’un essai client, les capacités naissantes du modèle ont prédit 55 attaques plusieurs jours avant même qu’elles ne se produisent. Sur ces 55 prédictions, les analystes ont la preuve que 23 de ces tentatives ont eu lieu comme prévu, tandis que bon nombre des autres tentatives ont été bloquées avant d’atteindre le radar. Entre autres, cela comprenait plusieurs tentatives de déni de service distribué (DDoS) et des attaques de phishing visant à déployer différentes souches de logiciels malveillants. Connaître à l’avance les intentions de l’adversaire et se préparer à ces tentatives a donné aux défenseurs un surplus de temps qu’ils n’ont pas souvent.

Les données d’entraînement pour ce modèle de base proviennent de plusieurs sources de données qui peuvent interagir les unes avec les autres, depuis les flux API, les flux de renseignements et les indicateurs de compromission jusqu’aux indicateurs de comportement et de plateformes sociales, etc. Le modèle de base nous a permis de voir l’intention des adversaires d’exploiter ce qui est connu. vulnérabilités dans l’environnement client et leurs projets d’exfiltration de données en cas de compromission réussie. En outre, le modèle a émis l’hypothèse de plus de 300 nouveaux modèles d’attaque, informations que les organisations peuvent utiliser pour renforcer leur posture de sécurité.

L’importance du surplus de temps que ces connaissances ont donné aux défenseurs ne peut être surestimée. En sachant quelles attaques spécifiques allaient se produire, notre équipe de sécurité pouvait exécuter des mesures d’atténuation pour les empêcher d’avoir un impact (par exemple, corriger une vulnérabilité et corriger des erreurs de configuration) et préparer sa réponse à celles qui se manifestaient par des menaces actives.

Même si cela ne me procurerait pas plus de joie que de dire que les modèles de base stopperont les cybermenaces et rendront le monde cyber-sécurisé, ce n’est pas nécessairement le cas. Les prédictions ne sont pas des prophéties, ce sont des prévisions fondées.

Sridhar Muppidi est membre IBM et CTO d’IBM Security.

Plus de commentaires incontournables publiés parFortune:

Les opinions exprimées dans les commentaires de Fortune.com sont uniquement les opinions de leurs auteurs et ne reflètent pas nécessairement les opinions et les croyances deFortune.