De nouvelles failles de sécurité détectées et des modèles qui mènent une cyberattaque autonome: face aux progrès de l'intelligence artificielle (IA), entreprises et organisations tentent de se préparer et d'identifier les risques parmi le flot d'annonces de la tech.
Quand déferlera la vague de vulnérabilités informatiques découvertes par l'IA ? La question revient inlassablement depuis l'annonce en avril par le géant américain Anthropic de son nouveau modèle Mythos, capable de détecter des failles jusque-là ignorées et qui « pourrait refaçonner la cybersécurité ».
D'abord réservés à quelques entreprises triées sur le volet puis adaptés en modèles censés être plus sécurisés, suspendus avant d'être remis en ligne, Claude Mythos et sa version grand public Claude Fable 5 ont rapidement suscité l'inquiétude.
« Dès que l'IA Mythos a commencé à faire parler d'elle dans la presse, nous avons immédiatement mis en place une cellule de crise », avait témoigné début juillet la directrice des systèmes d'information de l'assureur allemand Allianz, Barbara Karuth-Zelle, lors d'une rencontre avec la presse.
Suivez-nous sur WhatsApp | LinkedIn pour les derniers titres
Après un audit, « nous avons identifié nos failles de sécurité et nous les corrigeons désormais une à une », avait-elle ajouté.
Ce travail minutieux a été rendu nécessaire par une possible avalanche de nouvelles vulnérabilités, ces défauts de sécurité présents dans les logiciels qui, une fois découverts, peuvent être utilisés par des attaquants pour tenter de faire dérailler un système informatique ou d'en extraire des données.
« Chaque vulnérabilité est désormais une bombe à retardement et l'IA accélère de façon spectaculaire le compte à rebours », s'est alarmé Natalia Oropeza, directrice mondiale de la cybersécurité de Siemens, dans un message publié sur LinkedIn début juillet.
Quelques minutes
Passé l'effet de surprise, de nombreux acteurs ont questionné les capacités du modèle, resté inaccessible à la plupart des entreprises, et ses conséquences directes sur la cybersécurité, certains ironisant sur les talents d'Anthropic en matière de marketing.
Mais le cas de Mythos n'est pas isolé: son rival OpenAI a rapidement suivi ses traces en lançant en avril un modèle dédié à la cybersécurité et a réitéré en juin avec un nouveau modèle de pointe.
Plus récemment, l'attaque menée spontanément par deux modèles d'OpenAI en cours de test contre la plateforme d'IA Hugging Face - et qui ont également fait intrusion dans quatre autres plateformes -, a renforcé les craintes sur la montée en puissance de ces outils et leur sécurité.
Selon le directeur général de l'agence française de cybersécurité (Anssi), la découverte de vulnérabilités « n'est pas l'apanage de Mythos ou des seuls modèles de frontière (les modèles les plus évolués, NDLR), même si ces derniers sont certainement plus performants: des modèles déjà largement disponibles, bien employés, permettent de trouver beaucoup de choses. »
« La vitesse à laquelle les vulnérabilités sont découvertes, sont publiées et sont exploitées, est devenue presque la vitesse de la lumière. Donc il y a une vraie question qui se pose, c'est comment on gère ce flux? », a relevé auprès de l'AFP Alain Bouillé, délégué général du Cesin, une association qui rassemble des responsables de sécurité informatique de nombreuses grandes entreprises françaises.
Pour Jonathan Zanger, directeur technique de Check Point Software, le danger vient également des capacités des modèles d'IA à exploiter « en quelques minutes ou en un laps de temps extrêmement court » des vulnérabilités rendues publiques.
« Vous pouvez utiliser n'importe quel modèle » pour cela, explique-t-il à l'AFP.
Ces avancées peuvent toutefois avoir un impact positif, si les entreprises de développement de logiciels utilisent elles-mêmes l'IA pour améliorer la sécurité de leurs outils, selon Alain Bouillé. C'est notamment ce qu'a annoncé Microsoft, en déployant depuis mai une centaine d'agents d'IA chargés d'auditer les produits de l'entreprise.
Le spécialiste envisage également une hypothèse « un peu plus optimiste »: après une augmentation « exponentielle » des failles découvertes, « il va y avoir quelques années un peu compliquées à gérer toutes ces vulnérabilités qui vont nous tomber dessus. Mais, à un moment donné, on va peut-être réussir à les écluser ».
