L’IA accélère la course aux armements dans le domaine de la cybersécurité
La prolifération de l’intelligence artificielle avancée au cours des dernières années a peut-être amené la course aux armements entre les cybercriminels et ceux qui s’efforcent de les arrêter dans une toute nouvelle phase, car les programmes d’IA sont désormais suffisamment avancés pour produire de nouveaux codes malveillants à la volée.
Cela a été démontré récemment par des chercheurs expérimentant le langage génératif AI ChatGPT (voir notre histoire) qui a découvert que le programme est capable de produire des logiciels malveillants entièrement nouveaux sur demande, à condition que la demande soit formulée de manière à pouvoir contourner les contrôles de contenu. De plus, les chercheurs ont pu utiliser le programme pour créer spécifiquement des logiciels malveillants polymorphes, un type avancé de programme malveillant qui peut réellement modifier son propre code pour échapper à la détection et résister à la suppression.
L’idée que l’IA peut générer de nouveaux logiciels malveillants à la demande représente une évolution majeure dans le monde de la cybersécurité, en raison de la rapidité et de l’adaptabilité qu’elle offrira aux cybercriminels dans le déploiement de nouveaux logiciels. Cependant, Sreekar Krishna, le leader national américain de l’intelligence artificielle au sein de la société Big Four KPMG, a déclaré que si ChatGPT et les dernières IA de ce type sont les plus importantes en ce moment, l’intelligence artificielle est depuis longtemps un outil utilisé à la fois dans les cyberattaques et la cyberdéfense. .
« Les vecteurs d’attaque se sont toujours appuyés sur une forme d’IA pour [make better attacks] que ce qu’ils faisaient un mois auparavant ou même deux semaines auparavant. Les vecteurs de menace pour l’IA se sont adaptés bien plus rapidement que les institutions essayant de se protéger contre la menace. Il a simplement fallu beaucoup d’efforts pour l’appliquer comme ChatGPT l’a fait », a-t-il déclaré.
Des IA hautement spécialisées sont déjà utilisées dans les institutions aujourd’hui. Krishna a noté qu’il avait déjà travaillé chez Microsoft et que cette entreprise utilise l’IA depuis au moins une décennie. Ce qui est différent, c’est qu’un seul modèle, ChatGPT, est capable de faire ce qui nécessitait auparavant plusieurs modèles liés entre eux. Un humain mettrait une entrée dans l’un des systèmes d’IA; la sortie serait ensuite introduite comme entrée dans un autre système d’IA, qui à son tour alimenterait sa propre sortie dans un autre système d’IA jusqu’à ce que les humains aient ce dont ils avaient besoin. Désormais, un modèle peut faire ce qu’il fallait faire auparavant par plusieurs modèles liés.
« Si vous regardez la pile de certaines des grandes entreprises technologiques comme Amazon ou Google ou Netflix, elles enchaînent un tas de modèles d’IA pour faire quelque chose ensemble. Un modèle produit, qui alimente le modèle suivant. Généralement, les technologies d’IA ont été réalisées en enchaînant des modèles ensemble. Ce que l’IA générative commence à montrer, c’est que vous pourrez peut-être effectuer certaines de ces tâches en utilisant un modèle ou peut-être deux ou trois, très peu, qui fonctionnent en tandem pour obtenir de meilleurs résultats », a-t-il déclaré. « Vous pouvez donc considérer la cybersécurité comme une tâche spécifique que nous effectuons et nous pouvons désormais utiliser ChatGPT, des modèles d’IA génératifs, pour l’ajuster, pour faire quelque chose d’intéressant dans le cyber-arène. »
Même si OpenAI, la société à l’origine de ChatGPT, trouve un moyen de bloquer toutes les tentatives de création de code malveillant, il est probable que d’autres programmes similaires seront éventuellement codés sans disposer de tels contrôles. À cet égard, la barrière à l’entrée a effectivement été abaissée pour les cybercriminels, selon Mark Burnette, responsable de la pratique des services de conseil et actionnaire responsable de la pratique de la sécurité de l’information du Top 100 Firm LBMC. Les personnes intéressées par les activités malveillantes trouveront plus facile de les mettre en œuvre.
Jakub Porzycki/NurPhoto/Photographe : Jakub Porzycki/Nur
« La barrière à l’entrée est en effet [already] très faible et ChatGPT et des outils similaires soulignent vraiment la facilité avec laquelle ces types de fonctionnalités sont disponibles même pour les personnes qui ne sont pas sophistiquées et qui n’ont peut-être pas le niveau de perspicacité technique dont le vol aurait besoin », a-t-il déclaré.
Dans le même temps, cependant, la barrière à l’entrée a également été abaissée pour ceux qui s’intéressent à la cybersécurité. David Cieslak, directeur du cloud et vice-président exécutif de RKL eSolutions, a noté que l’IA facilite en fait les choses pour la cybersécurité depuis des années, même aussi loin que les filtres anti-spam et les antivirus, qui pourraient être considérés comme une forme rudimentaire du technologie. Ainsi, bien qu’une IA plus avancée puisse théoriquement permettre des activités criminelles, elle peut également renforcer la cybersécurité pour se défendre contre elles.
« Est-ce que l’IA est utilisée pour des attaques ? Oui. Pour la défense ? Oui. Et les deux continuent de s’intensifier. C’est similaire à la conversation que j’entends sur l’informatique avancée en général. [codes] qui a mis des années à se fissurer peut être craqué en un instant. Mais encore une fois, l’informatique quantique peut également nous rendre potentiellement inviolables. Les deux équipes jouent donc avec les mêmes munitions », a-t-il déclaré.
Implications pour les cabinets comptables
En raison des données sensibles dont ils disposent sur leurs clients, les cabinets comptables se sont particulièrement intéressés à la cybersécurité et aux implications que l’IA pourrait avoir pour elle. Cieslak a cependant noté que si l’IA permet la création de solutions à la demande, ce n’est généralement pas ce que font les professionnels de la cybersécurité.
« Ils n’essaient pas de créer des outils ponctuels et des mesures préventives, mais de les examiner systématiquement, et je pense que les organisations sont mieux servies lorsque vous avez quelque chose où ce n’est pas seulement un public de quelqu’un qui le crée, parce que vous voulez que quelque chose soit essayé , vrai et testé et soutenu par des organisations disposant des ressources nécessaires pour se spécialiser dans ce domaine, donc je ne considère pas que ChatGPT ou similaire soit utilisé pour créer des solutions de boutique ou ponctuelles », a-t-il déclaré.
Burnette de LBMC a fait un point similaire, notant que, pour une entreprise de CPA proposant des offres de cyberservices, la valeur que leurs professionnels apportent au client ne réside pas dans l’exécution d’outils ou la programmation d’une IA, mais plutôt dans l’interprétation des données pour les clients et leur mise en place. contexte de risque. Les clients, a-t-il dit, n’ont pas besoin que les cabinets comptables leur disent où se trouvent leurs vulnérabilités et ce qu’ils peuvent faire ; ils peuvent acheter des programmes pour cela. Ce dont les clients ont besoin, c’est d’une aide pour comprendre le contexte de leurs vulnérabilités et la manière dont les ressources peuvent être mobilisées pour gérer ces risques.
« C’est ce que les vrais cyberprofessionnels apportent à la table qu’une IA ne peut toujours pas reproduire », a-t-il déclaré.
Burnett n’a cependant pas entièrement écarté l’idée que les cabinets comptables pourraient commencer à offrir des solutions personnalisées en tant que service à valeur ajoutée. Il a noté que c’est certainement la marque de fabrique du professionnel de la cybersécurité de tirer parti de la technologie pour analyser et répondre aux cybermenaces et donc, à l’avenir, il pourrait voir des organisations créer de tels programmes pour un avantage concurrentiel. Cependant, il a noté que le défi pour les cabinets de CPA en particulier est que de tels systèmes représentent des investissements importants, parfois bien au-delà de ce qu’ils peuvent se permettre.
« Il est donc moins probable que vous voyiez des entreprises se concentrer sur cela. Plus probablement [we’d see] les cyber-boutiques ne sont pas nécessairement des cabinets d’experts-comptables, car ils ont accès aux capitaux propres. [But] pour les entreprises de CPA qui prennent des investissements en capital-investissement, il est certainement possible qu’elles puissent en orienter une partie vers une technologie sophistiquée comme celle-là », a-t-il déclaré.
En termes de clients et de ce que tout cela signifie pour eux, Cieslak a déclaré que les conseils standard en matière de cybersécurité s’appliquent toujours, il est encore plus urgent que les gens les suivent.
« Les recommandations ne changent pas, cela crée simplement plus d’urgence pour s’assurer que [security] est dans notre état d’esprit. Donc, authentification multifactorielle, FIDO [Fast Identity Online Authentication], en veillant à les considérer comme une référence pour la connectivité et l’accès. Ce n’est pas seulement agréable à avoir », a-t-il déclaré.