if ( !emtpy($headline_subheadline ) ) : ?>
Plus de 100 entreprises, y compris des concurrents, affirment qu’elles doivent combler les lacunes systémiques avant que l’IA n’étende son exploitation au-delà des défenses actuelles.
endif; ?>
Une coalition dirigée par OpenAI prévient que l’IA va considérablement accélérer la vitesse et l’ampleur des cyberattaques, laissant aux entreprises une fenêtre de plus en plus étroite pour corriger les faiblesses de sécurité de longue date avant qu’elles ne soient exploitées.
« Dans les mois à venir, les cyberattaques basées sur l’IA deviendront beaucoup plus répandues et sophistiquées à mesure que les modèles du monde entier deviendront de plus en plus performants », a déclaré le groupe dans une lettre ouverte signée par plus de 100 entreprises de technologie et de cybersécurité, dont Microsoft, Google, Amazon Web Services et Anthropic. « Nous disposons d’une fenêtre limitée pour renforcer les cyberdéfenses. »
Le PDG d’OpenAI, Sam Altman, a renforcé l’urgence dans un article sur X, le qualifiant de « moment d’une importance cruciale pour la cyberdéfense » et avertissant qu’il reste peu de temps pour agir.
La coalition a appelé « les dirigeants de l’industrie et du gouvernement à apporter tout le poids de leur technologie, de leurs ressources et de leur expertise » à cet effort, notamment en mettant « l’IA cyber-capable entre les mains des défenseurs » et en donnant la priorité aux correctifs pour les faiblesses à haut risque.
La coalition a déclaré que ce changement n’est pas une question de nouvelles vulnérabilités, mais une question d’échelle, c’est-à-dire que les systèmes d’IA accélèrent la découverte et l’exploitation des faiblesses que les entreprises ont du mal à corriger depuis des années.
La lettre intervient quelques semaines après que des développeurs d’IA, notamment OpenAI, Meta et Anthropic, aient mis en évidence des comportements émergents dans les systèmes d’IA avancés qui soulèvent de nouvelles questions en matière de contrôle et de sécurité.
« Des bogues de longue date, des autorisations excessives, des erreurs de configuration, des logiciels non sécurisés et non corrigés, une authentification faible et une dette technique… ont exposé les systèmes », ajoute la lettre.
Les délais d’attaque se compressent à mesure que l’IA étend son exploitation
La lettre attribue le risque à la capacité des systèmes d’IA à accélérer la découverte et l’exploitation des vulnérabilités existantes.
« Des bogues de longue date, des autorisations excessives, des erreurs de configuration, des logiciels non sécurisés et non corrigés, une authentification faible et une dette technique… ont exposé les systèmes », ajoute la lettre.
SpecterOps, signataire de la lettre, a déclaré avoir signé la lettre parce que ces faiblesses sont déjà présentes et peuvent être exploitées plus rapidement à mesure que les capacités de l’IA progressent.
« Nous sommes d’accord avec les trois principes fondamentaux : les faiblesses existent déjà, l’IA avancée doit atteindre davantage de défenseurs et la réponse doit être collective et généralisée », a-t-il déclaré dans un communiqué.
Robbie Mueller, responsable technique de la cybersécurité chez ArmorCode, a déclaré que les organisations sont déjà confrontées à des contraintes pour remédier aux vulnérabilités connues.
« Cela ne devrait pas être considéré comme un problème de sophistication de l’IA. C’est un problème de capacité », a déclaré Mueller, ajoutant que les organisations « ne peuvent remédier qu’à environ une vulnérabilité sur dix au cours d’un mois donné ».
Mueller a déclaré que le risque augmente lorsque les vulnérabilités forment des chemins d’attaque en plusieurs étapes à travers les systèmes.
« Ce qui compte, ce n’est pas le nombre de découvertes, mais celles qui s’enchaînent pour former une voie viable… tuez cette voie et le risque disparaît », a-t-il déclaré.
Se concentrer sur l’exécution des pratiques de sécurité existantes
La coalition n’introduit pas de nouvelles catégories de défense, mais met plutôt l’accent sur l’exécution des pratiques existantes.
« Faire de la cyberdéfense une priorité immédiate du leadership… avec l’urgence et la coordination d’un incident », indique la lettre.
1Password, un autre signataire, a déclaré que l’initiative met en évidence une « fenêtre limitée pour renforcer la sécurité » et appelle à corriger les faiblesses à haut risque, à appliquer le moindre privilège et à vérifier les contrôles.
Sophos a déclaré dans un communiqué que les menaces basées sur l’IA augmentent les risques pour les entreprises et les services publics et nécessitent une action coordonnée.
« La cyberdéfense est une responsabilité partagée », a déclaré l’entreprise, ajoutant que la collaboration entre l’industrie et les gouvernements est nécessaire pour faire face à la menace.
Sophos a déclaré que l’IA peut également aider les défenseurs à « détecter les vulnérabilités… et à répondre aux menaces avant qu’elles ne causent des dommages matériels ».
La pression opérationnelle augmente à mesure que le changement s’accélère
La lettre prévient que l’IA augmentera à la fois l’ampleur et la vitesse des cyberattaques, exerçant ainsi une pression supplémentaire sur les opérations de sécurité des entreprises.
« Dans les mois à venir, les cyberattaques basées sur l’IA deviendront beaucoup plus répandues et sophistiquées », a déclaré la coalition.
Johnathan Hunt, responsable de la sécurité des informations chez LogicMonitor, a déclaré que de nombreux environnements d’entreprise ne sont pas conçus pour fonctionner à ce rythme.
« Les acteurs malveillants se déplacent à la vitesse d’une machine, alors que de nombreux systèmes existants reposent encore sur des temps de réaction humains », a déclaré Hunt.
Dans le même temps, les organisations gèrent des rythmes plus rapides de modifications des systèmes et des logiciels.
Ryan McCurdy, vice-président de Liquibase, a déclaré que l’IA augmente à la fois la vitesse d’attaque et la vitesse de développement.
« L’IA accélère les deux côtés de l’équation », a déclaré McCurdy, ajoutant que les équipes de sécurité doivent déterminer si les changements sont « autorisés, sûrs et attendus » à des vitesses qui dépassent l’examen manuel.
Questions soulevées sur le financement et les incitations
La lettre appelle à des investissements accrus dans la cyberdéfense, en particulier pour les organisations soutenant les services essentiels.
Seemant Sehgal, PDG de BreachLock, a déclaré que cette approche soulève des questions sur les incitations.
« Les entreprises qui demandent aux gouvernements de financer des outils défensifs d’IA sont les mêmes qui seraient payées pour les fournir… la réponse recommandée n’est pas neutre », a déclaré Sehgal.
John Strand, propriétaire de Black Hills Information Security, a déclaré que la recommandation la plus concrète est l’appel à un plus grand partage des renseignements sur les menaces.
« La seule recommandation qui a du mordant… est un plus grand partage des CIO », a déclaré Strand.
La coalition a déclaré qu’une action coordonnée entre l’industrie et le gouvernement sera nécessaire pour faire face à la menace.
« Corrigez les faiblesses les plus dangereuses, vérifiez les correctifs et partagez ce qui fonctionne afin que d’autres puissent s’en servir », indique la lettre. Le groupe a déclaré que de tels efforts pourraient contribuer à renforcer les défenses des entreprises et des organisations qui exploitent des infrastructures critiques.
