Les opportunités et les risques de ChatGPT dans la cybersécurité
Beaucoup d’encre a coulé au cours des derniers mois sur l’impact que les plates-formes d’intelligence artificielle (IA) générative (IA) et les chatbots comme ChatGPT auront sur la cybersécurité. Beaucoup de gens, à juste titre, craignent que les outils permettent à toute personne disposant d’une connexion Internet et d’un motif malveillant de développer des menaces évasives à une échelle alarmante. Imaginez être capable de produire et de diffuser des milliers de logiciels malveillants, d’e-mails de phishing et d’autres menaces ciblés individuellement d’un simple clic sur un bouton et en quelques minutes. C’est vraiment une pensée effrayante.
Cependant, alors que les experts en cybersécurité ont raison d’avertir le monde du risque que ChatGPT représente pour les organisations et les individus du monde entier, ils passent à côté de l’aspect peut-être le plus terrifiant de ces plateformes d’IA génératives et chatbots et de leur impact réel sur la posture de sécurité des organisations : le la perte potentielle de données exclusives ou d’autres propriétés intellectuelles (PI).
Samsung perd des données top secrètes au profit de ChatGPT
Selon Tessian, il y a eu une augmentation de 47 % des pertes de données accidentelles et de l’exfiltration délibérée de données par des employés négligents ou mécontents au cours des dernières années. Comme ChatGPT et d’autres plates-formes d’IA génératives et chatbots facilitent plus que jamais l’exposition par inadvertance de données propriétaires et d’IP, les organisations vont devoir faire face au risque de sécurité croissant le plus tôt possible.
Certaines entreprises, dont Samsung, ont appris à leurs dépens. Il a été récemment signalé qu’un groupe d’ingénieurs du groupe de semi-conducteurs de l’entreprise avait saisi le code source dans ChatGPT pour voir si le code d’une nouvelle capacité que l’entreprise développait pouvait être rendu plus efficace. ChatGPT et d’autres outils d’IA génératifs fonctionnent en conservant les données d’entrée pour se former davantage, et le code source Samsung qui a été saisi peut désormais être utilisé pour formuler une réponse aux demandes d’autres utilisateurs. Cela inclut un acteur menaçant à la recherche de vulnérabilités ou un concurrent à la recherche d’informations exclusives.
Ce n’est pas seulement le code source auquel les entreprises doivent faire attention. Dans un autre cas, un dirigeant de Samsung a utilisé ChatGPT pour convertir les notes d’une réunion interne en présentation. Et si un dirigeant entreprenant d’une entreprise concurrente demandait plus tard à ChatGPT quelle était la stratégie commerciale de Samsung ? Les informations de ces notes de réunion internes pourraient être utilisées pour formuler une réponse mettant efficacement en danger les données de Samsung.
Et ce n’est pas seulement le matériel source qui est collé dans les champs de saisie qui crée un risque. La formulation même des demandes peut également révéler des informations sur la concurrence. Que se passe-t-il si un PDG demande à ChatGPT une liste de cibles d’acquisition potentielles ? Cela pourrait-il informer une autre question des utilisateurs sur la stratégie de croissance de l’entreprise ? Ou que se passe-t-il si un designer télécharge le logo de l’entreprise dans un générateur d’images IA pour avoir des idées pour une éventuelle refonte ? Techniquement, le logo peut ensuite être utilisé pour générer des logos pour d’autres utilisateurs.
Ce qui est fou, c’est que des milliers d’employés d’entreprises du monde entier ont saisi des informations exclusives dans ChatGPT et d’autres plates-formes d’IA génératives dans le but de rationaliser les tâches manuelles et fastidieuses. La possibilité d’utiliser l’IA et l’apprentissage automatique (ML) pour développer une première ébauche de code et de documents tels que du matériel marketing, des présentations commerciales et des plans d’affaires est extrêmement utile et tentante. Mais les entreprises ne peuvent pas simplement bloquer ChatGPT et d’autres plates-formes d’IA génératives. Ce sont des outils légitimes qui deviennent omniprésents dans l’environnement commercial d’aujourd’hui. Ne pas les utiliser pourrait être considéré comme un frein à l’agilité et un désavantage concurrentiel. En fait, le gouvernement italien a récemment dû revenir sur une interdiction à l’échelle nationale en raison des réactions négatives des utilisateurs professionnels qui estimaient que cela les désavantageait.
Les entreprises vont devoir trouver un moyen de permettre aux employés d’utiliser le nombre croissant de plates-formes d’IA génératives et de chatbots d’une manière sûre qui ne met pas l’organisation en danger.
Un manque de contrôles de sécurité
Malheureusement, les solutions existantes de prévention des pertes de données (DLP), de courtier de sécurité d’accès au cloud (CASB) et d’autres solutions de menaces internes sont mal équipées pour faire face aux nuances de cette nouvelle technologie. Adoptant toujours une approche de détection et de réponse, ces solutions recherchent des mots-clés ou des expressions parmi l’énorme quantité de trafic circulant à l’extérieur de l’organisation. Ceux-ci doivent souvent être saisis manuellement par les professionnels de la sécurité et les propriétaires de produits, ce qui rend presque impossible de tout attraper. Même si une solution détecte une exfiltration de données, il peut déjà être trop tard. L’information a été saisie et aucun bouton de rétablissement ne peut la reprendre. Vos informations vivent à l’intérieur de la plate-forme d’IA générative pour toujours et continueront d’éclairer les réponses.
Les organisations doivent empêcher la saisie d’informations dans ces plates-formes d’IA génératives et ces chatbots, mais d’une manière qui n’empêche pas les employés d’utiliser ces outils utiles. Les organisations peuvent le faire en limitant ce qui peut être collé dans les champs de saisie, soit en limitant le nombre de caractères, soit en bloquant le code connu, par exemple. Personne ne va taper manuellement des milliers de lignes de code source, donc limiter les fonctions de collage empêche efficacement ce type de perte de données. Cela obligerait également les utilisateurs à réfléchir à deux fois aux informations qu’ils essayaient de saisir.
Plus important encore, cependant, les organisations doivent limiter l’interaction avec ChatGPT et d’autres plates-formes d’IA génératives loin du navigateur final. L’exécution de commandes d’application dans un navigateur distant dans le cloud ajoute une couche de protection supplémentaire entre l’utilisateur et Internet, donnant à l’organisation la possibilité d’arrêter les activités malveillantes (qu’elles soient intentionnelles ou non) avant que l’exfiltration de données ne se produise. Vous pouvez également appliquer des stratégies de sécurité qui déclenchent des contrôles de sécurité supplémentaires tels que la journalisation des événements ou le lancement d’un enregistrement du navigateur pour faciliter la résolution et l’analyse post-événement. Il est important de se rappeler que les enquêtes sur les violations causées par des initiés doivent fournir une preuve d’intention. L’enregistrement des événements et des sessions de navigation pourrait fournir une visibilité et un aperçu de la nature malveillante ou simplement négligente des utilisateurs.
Activez ChatGPT sans mettre l’organisation en danger
ChatGPT et la myriade d’autres plates-formes d’IA génératives sont de puissants outils commerciaux que les utilisateurs peuvent utiliser pour rationaliser les processus commerciaux, automatiser les tâches fastidieuses ou prendre une longueur d’avance sur un projet d’écriture, de conception ou de codage. Malheureusement, les informations que les utilisateurs mettent sur ces plates-formes et les demandes elles-mêmes peuvent être utilisées pour informer les demandes futures, y compris les acteurs de la menace et les concurrents. Une approche préventive qui isole les utilisateurs d’Internet peut augmenter les capacités de détection existantes et fournir une première ligne de défense contre ce type de perte de données à grande échelle. Sachant qu’ils sont protégés, cela donnerait presque carte blanche à vos employés pour tirer parti des avantages de ces nouveaux outils innovants, améliorer la productivité et gagner en agilité commerciale.
Le poste Les opportunités et les risques de ChatGPT dans la cybersécurité sont apparus en premier sur Menlo Security.
*** Il s’agit d’un blog syndiqué du Security Bloggers Network de Menlo Security rédigé par Mark Guntrip. Lisez le message original sur : https://www.menlosecurity.com/blog/opportunities-risks-of-chatgpt-cybersecurity/