Menaces et opportunités émergentes dans la révolution de la cybersécurité de l’IA

Il ne fait aucun doute que la démocratisation rapide et l’accessibilité des ressources d’intelligence artificielle (IA) constituent une menace. La plupart des professionnels de la sécurité de l’information n’ont pas le temps de suivre les développements ultra-rapides de l’IA, c’est pourquoi dans cet article, mon objectif est de donner un avant-goût de la situation actuelle du domaine (janvier 2024) – et de la manière dont les outils d’IA pourraient être utilisés. exploité pour l’attaque et la défense.

Il y a près de cinq ans, j’ai décidé d’apprendre et de documenter le fonctionnement interne de l’IA. De cet ensemble de travaux, l’un des enseignements les plus essentiels est qu’à l’ère de l’IA, il existe un besoin d’apprentissage perpétuel. Nous vivons à une époque où les informations d’aujourd’hui seront presque certainement obsolètes le mois prochain. Voici quelques-unes des possibilités de l’IA qui ont changé au cours des 12 derniers mois.

Clonage de voix

Du point de vue d’un cybercriminel, le premier fruit à portée de main est que de nombreuses méthodes d’authentification biométrique deviennent extrêmement peu coûteuses à neutraliser. Prenez un clip audio de trois secondes de quelqu’un, peut-être à partir d’une vidéo, d’un appel téléphonique ou d’un podcast, transmettez-le via un service de clonage vocal d’IA gratuit ou peu coûteux et voilà – vous avez maintenant la possibilité de sembler l’obtenir. personne de dire n’importe quoi, en temps réel, dans n’importe quelle émotion, style ou langage.

Considérez ce que cela signifie. Par exemple, toute entité qui dépend encore de l’authentification vocale court un risque élevé. Certes, il devrait être relativement facile de prouver que l’argent ou d’autres objets extorqués via l’authentification vocale ne peuvent pas être imputés de manière fiable et solide au titulaire du compte. Cela signifie également que toute conversation téléphonique que vous pensez avoir avec quelqu’un que vous connaissez pourrait en réalité être avec un acteur néfaste.

Cette capacité de clonage vocal existe depuis plus d’un an maintenant et il y a eu de nombreux cas de personnes appelées par de fausses versions de parents proches exigeant de l’argent immédiat. Cela a été souligné dans un avertissement de la Federal Trade Commission (FTC) des États-Unis publié en mars 2023.

Il y a un an, cette forme de clonage vocal nécessitait un échantillon vocal plus long et un temps de traitement plus long. Au cours des derniers mois, les efforts requis pour une attaque vocale ont été réduits à peu près au même niveau que le temps nécessaire pour rédiger un e-mail de phishing décent.

Génération d’images

La situation est désormais similaire pour la reconnaissance faciale. Plus récemment, il a été démontré que les générateurs d’images IA sont capables de créer non seulement des visages, mais également des images de documents d’identité tels que des permis de conduire. Au cours des dernières semaines, ces générateurs d’images ont également montré leur capacité à générer des images tout à fait convaincantes, mais complètement fausses, de personnes réelles brandissant leur permis de conduire.

Les empreintes digitales sont plus difficiles à falsifier, principalement parce qu’elles sont moins facilement partagées ou disponibles (actuellement) en ligne. Cependant, même pour les empreintes digitales, si l’empreinte elle-même peut être imagée, alors les fausses empreintes peuvent être imprimées et passeront par la plupart des capteurs de base.

Tout cela signifie que les équipes de sécurité devront probablement améliorer rapidement l’authentification en exigeant des couches supplémentaires utilisant des informations capables d’authentifier plus en profondeur l’accès, l’emplacement géographique, l’adresse IP, l’heure de la journée, les modèles de comportement, les certificats de sécurité installés – et même le défi personnalisé. /réponses aux questions.

Création d’entités IA

D’un autre côté, il existe une capacité émergente qui peut potentiellement être exploitée à la fois par les équipes de sécurité et les cybercriminels : la capacité de créer et de former votre propre entité d’IA autonome. Alors qu’il y a seulement un an, exécuter une IA avec les compétences d’un grand modèle de langage aurait nécessité un centre de données de taille raisonnable, toute personne disposant d’un ordinateur personnel décent et d’une unité de traitement graphique (GPU) de grande taille peut désormais exécuter et entraîner sa propre IA.

Alors qu’une telle entreprise nécessitait jusqu’à récemment beaucoup d’efforts, le site Web jan.ai offre désormais la possibilité d’installer et d’exécuter des LLM sur un PC dans votre propre maison. D’un point de vue purement technique, je peux créer mon propre modèle de langage étendu d’IA et l’entraîner à faire tout ce que je veux, comme en faire un RSSI virtuel ou le former en tant que cybercriminel néfaste (même si je suis sûr que certaines utilisations peuvent enfreindre les termes). et conditions – sans parler des lois en vigueur dans de nombreux territoires).

Tirer parti des opportunités de l’IA dans la cybersécurité

Quel est l’avantage pour les équipes de sécurité ? Est-ce qu’il y a un? Bref – oui.

En 2024, alors que nous approfondissons de plus en plus les compétences et les possibilités de l’IA, la connaissance n’est plus difficile à atteindre. Les bons investissements dans des outils et des informations d’IA disponibles gratuitement peuvent fournir aux équipes de sécurité ce dont elles ont besoin pour garder une longueur d’avance sur les cybercriminels utilisant l’IA.

Vous n’avez pas besoin d’être un expert en IA pour naviguer dans les outils qui émergent – ​​vous avez simplement besoin de temps et d’envie de les connaître et de les exploiter. Même si les cybercriminels forment leurs propres LLM, rien (sauf du temps et de l’argent) n’empêche les entreprises passionnées par la sécurité de libérer des personnes et des ressources pour rassembler leur propre expertise et leurs propres outils en matière d’IA.

Pourtant, une récente enquête de l’ISACA montre que 54 % des organisations ne proposent pas de formation en IA, même aux équipes directement impactées par l’IA.

Dans le passé, seules les organisations présentant le plus de lacunes en matière de contrôle de sécurité pouvaient être supprimées. Ce qui va rapidement se produire, c’est que l’utilisation d’IA malveillantes permettra de détruire toutes sortes d’organisations autrefois sécurisées à travers les plus petites chaînes de failles. La solution pourrait être de permettre à votre équipe et à votre personnel de sécurité d’investir du temps et de la formation pour construire votre propre force de défense IA.

Il n’a jamais été aussi urgent d’investir dans la libération et la formation des ressources de sécurité pour comprendre et utiliser l’IA à des fins de contre-mesure. Cet effort est crucial à la fois pour comprendre les risques émergents rapidement et pour mettre en place les défenses basées sur l’IA les plus robustes.

À l’heure actuelle, la plupart de ces outils défensifs sont faciles d’accès – mais dans cette ère d’IA en évolution rapide, cette situation pourrait être différente d’ici quelques mois. Se tenir informé de ces changements n’est pas seulement une question de rester informé : c’est une stratégie essentielle pour maintenir la sécurité dans un paysage de plus en plus dominé par l’IA.