Quels points doivent être portés à l’attention du Comex pour adopter l’IA en toute sécurité ?

Un article proposé par Cohesity dans le cadre de « What’s Next, CIO ? », l’observatoire DSI d’Alliancy. Tout au long de l’année, les partenaires de l’observatoire s’engagent à faire progresser l’écosystème du numérique par le partage de pratiques et la confrontation d’avis. Ils se mettent au service de la communauté des CIO pour leur permettre d’anticiper et d’incarner le changement dans leurs organisations.

Les chatbots tels que ChatGPT ont incité les fournisseurs informatiques à mettre à niveau leurs propres systèmes en conséquence. Mais comment utiliser ces puissants modules d’IA sans ouvrir des portes dérobées qui permettraient à des informations sensibles de se retrouver dans des machines d’apprentissage externes ?

Par Laurent Garcia, responsable de la région Europe du Sud et des ventes SaaS Europe chez Cohesity

Les chatbots d’intelligence artificielle générative, tels que ChatGPT, traduisent en quelques secondes des données techniques complexes en langage lisible par l’homme. En tant que tel, il n’est pas surprenant que les PDG voient une grande opportunité dans cette technologie. C’est ce qu’a d’ailleurs montré une enquête mondiale conduite en 2023 par Fortune, en collaboration avec Deloitte. Selon elle, la plupart des 143 PDG interrogés souhaitent que des investissements soient consacrés à l’IA générative parce qu’ils en espèrent des gains d’efficacité. Chaque équipe informatique devra tôt ou tard trouver des réponses sur la manière dont elle peut utiliser des outils d’IA tels que ChatGPT, car il y aura des directives correspondantes de la part de la direction de l’entreprise.

Photo : Laurent Garcia, responsable de la région Europe du Sud et des ventes SaaS Europe chez Cohesity

Chaque équipe informatique est confrontée à une tâche complexe. Les cycles d’innovation dans le domaine de l’IA sont extrêmement courts, ce qui signifie que la jungle des nouvelles approches, des nouveaux concepts et des nouvelles solutions devient chaque jour plus dense. Presque tous les grands fournisseurs de matériel informatique et de logiciels ont ajouté des éléments d’IA à leurs solutions, et leur part ne cesse de croître.

Cependant, si les équipes informatiques utilisaient l’IA de manière trop ambitieuse et trop rapide, elles pourraient, sans le savoir, ouvrir de nouvelles failles de sécurité. Endor Labs a examiné les progiciels open source dans le domaine technologique de l’IA. Dans son rapport State of Dependency Management 2023, elle a ainsi constaté que plus de la moitié des références de projets présentaient des vulnérabilités dans leurs fichiers manifestes. Cinq mois seulement après sa publication en mars 2023, l’API de ChatGPT est utilisée par plus de 900 paquets npm (node package manager) et PyPI (Python package index) avec différents domaines de problèmes.

Comment les équipes informatiques peuvent-elles donc exploiter le potentiel de cette technologie sans créer de nouvelles failles de sécurité ? Le meilleur conseil : lentement, de manière contrôlée et les yeux grands ouverts.

Choisir les bons points de départ

Un bon point de départ pour l’IA est l’activité de l’entreprise, ainsi que tous les processus et les étapes de travail où les équipes informatiques doivent intervenir manuellement, et investir beaucoup de temps et d’efforts pour mener à bien lesdits processus. En d’autres termes, une approche lean automatisée.

Toute personne ayant identifié ces domaines d’application potentiels peut préciser quelles sont les solutions d’IA générative envisageables. Les potentiels « candidats » doivent ensuite être examinés : il s’agit de connaître en détail les données auxquelles ils accèdent, les sources de données internes et externes qu’ils contactent et les personnes avec lesquelles ils collaborent. En effet, certains modules d’IA sont conçus de manière globale et transmettent automatiquement les données internes à des serveurs externes. Certaines entreprises ont été surprises par cette évolution : elles ont douloureusement appris que leurs utilisateurs alimentaient en données internes ces machines d’apprentissage globales. En avril 2023, la presse a ainsi révélé que des ingénieurs de Samsung avaient saisi des données confidentielles sur ChatGPT et en avaient involontairement fait le sujet d’apprentissage d’une IA mondiale – le pire des scénarios du point de vue de la conformité et de la propriété intellectuelle.

Laisser à l’IA le temps d’apprendre

Lorsque les modules d’IA sont activés, leur fonctionnement et leurs suggestions doivent être surveillés par un membre de l’équipe informatique pendant une période prolongée , c’est la phase d’apprentissage. L’IA agira toujours mieux et avec plus de précision, plus elle travaillera longtemps et plus elle collectera de données et de modèles dans l’environnement individuel de l’entreprise.  Les données sont donc essentielles : plus il y en a, mieux c’est. La génération augmentée de récupération (ou RAG ) – processus consistant à optimiser le résultat d’un grand modèle de langage (LLM) – est recommandée, ici, pour augmenter les données d’apprentissage.

Toutefois, les modules peuvent rapidement suggérer de bonnes mesures, en particulier pour les tâches standard. Si, par exemple, les adresses IP provenant de régions géographiques suspectes étaient bloquées par un pare-feu en tant que tel, l’IA pourrait proposer des règles appropriées et un membre du service informatique n’aurait plus qu’à les approuver. L’IA ne fait que suggérer, tandis que les humains prennent la décision finale.

Ces situations claires, dans lesquelles les utilisateurs devraient autrement créer eux-mêmes les règles et intervenir manuellement, se retrouvent dans de nombreuses autres applications. Dans de tels cas, l’IA peut très rapidement réduire la charge de travail.

Plus l’IA devient intelligente, plus elle peut préparer des décisions critiques et aider massivement les équipes à gagner du temps, en faisant un tri préalable des informations quotidiennes dans les opérations commerciales. Les environnements actuels génèrent chaque jour des pétaoctets de métadonnées, qui contiennent des indications sur diverses questions liées à la sécurité ou aux performances. Dans la plupart des environnements, 80 % de ces informations ne sont pas évaluées du tout, car le volume est trop important.

L’IA peut traiter ces données quotidiennement et les rendre accessibles pour des requêtes vocales. Vous pouvez poser des questions aux données telles que « montrez-moi tous les systèmes avec ce niveau de correctif et cette vulnérabilité ? » sans avoir désormais à écrire un seul script. Les équipes seront mieux informées et prendront donc de meilleures décisions.

Ouvrir la porte vers l’extérieur

Les modules d’IA du segment de la sécurité, en particulier, sont souvent chargés d’effectuer des mises à jour à l’extérieur de l’entreprise sur les nouvelles méthodes d’attaque, les vulnérabilités, les correctifs, etc. Dans ce cas, il convient d’examiner de près les données qui sortent et celles qui entrent. Aucun responsable de la sécurité des systèmes d’information n’acceptera que des détails sur la structure de son propre réseau, ou sur les vulnérabilités et les correctifs actuels, soient introduits dans un moteur d’IA externe.

Cela vaut la peine d’analyser, dans le cadre d’un essai pilote, les données qui sont effectivement introduites dans l’IA. Les fabricants dont les approches en matière d’IA sont matures peuvent montrer à leurs clients en détail les informations qu’ils saisissent et s’il existe des moyens de filtrer certains éléments dès le départ. Il sera probablement impossible d’examiner chaque entrée, au jour le jour, en raison du volume de mises à jour des modules d’IA. À moins que quelqu’un ne développe une autorité de contrôle de l’IA qui, à son tour, contrôle les entrées et les sorties des IA du point de vue de la sécurité.

Cependant, les équipes informatiques devraient s’engager dans cette voie, car le potentiel de l’IA autonome dans leur propre réseau est immense. Chaque domaine d’activité en bénéficiera et des synergies se créeront automatiquement. Imaginez que l’IA des RH échange des informations avec l’IA de sécurité et l’IA d’inventaire sur le fait qu’un utilisateur travaillant à distance au sein du département financier accède aux serveurs de recherche via son smartphone. Un message d’avertissement correspondant pourrait alors être envoyé à l’équipe de sécurité.

L’IA peut réduire considérablement le fardeau qui pèse sur les équipes informatiques et de sécurité en effectuant elle-même un grand nombre de tâches importantes mais fastidieuses. Elle fournit des rapports complets et des étapes suivantes claires et concises, donnant une vue exhaustive aux groupes opérationnels, qui sont sous-dimensionnés pour les tâches difficiles à accomplir. De cette manière, l’IA peut contribuer massivement à accroître la cyber-résilience contre les attaques qui, ironiquement, sont de plus en plus souvent menées par l’IA.

Un article proposé par Cohesity