La cybersécurité à l'ère de la Gen AI

Cette nouvelle révolution positionne la GenAI comme une technologie de rupture qui viendra fondamentalement transformer les entreprises. Cette technologie amène son lot de nouveaux risques à appréhender (intégrité des données résultant du traitement de la GenAI, risques liés aux modèles, biais cognitifs...). Le risque cyber restera cependant toujours l’un des risques à considérer dans le cadre de cette adoption technologique. La GenAI apportera de nouvelles solutions pour traiter le risque mais contribuera par ailleurs à son accroissement. 72 % des entreprises estiment que la GenAI accentuera l’intensité de la menace, la fréquence des cyberattaques et leur sophistication. Il s’agit ainsi pour l’entreprise de poursuivre sa sempiternelle course contre l’attaquant en poursuivant ses investissements mais aussi en recherchant l’optimisation afin de couvrir encore plus largement son périmètre et de mettre en œuvre une réelle défense en profondeur.

En matière de défense

Les organisations font face depuis longtemps à un nombre et une complexité croissante de cyberattaques orchestrées par des humains, et la GenAI rend ces cyberattaques plus faciles et plus massives. Des chercheurs ont observé une hausse de 135 % des nouvelles attaques d’ingénierie sociale en un mois seulement, entre janvier et février 2023. Des services comme WormGPT et FraudGPT facilitent l'hameçonnage des identifiants et la compromission ciblée des e-mails professionnels.

Pour protéger l’innovation

Les entreprises qui veulent profiter des opportunités offertes par la GenAI pour créer de nouveaux marchés et accroître l’efficacité des employés doivent faire face à de sérieux défis en matière de confidentialité, de cybersécurité, de respect des règles, de relations avec les partenaires, de responsabilité juridique et de propriété intellectuelle. Ainsi, pour exploiter pleinement ce potentiel technologique, les organisations doivent gérer le large spectre de risques qu’il implique d’une manière qui prenne en compte l’entreprise dans son ensemble.

La GenAI peut avoir des applications cyber défensives, mais aussi dans d’autres domaines de l’entreprise. Cependant, son usage sera soumis à des règles d’IA, notamment pour prévenir les biais, la discrimination, la désinformation et les pratiques contraires à l’éthique. Des documents récents, tels que le “Blueprint for AI Bill of Rights” de la Maison Blanche et la proposition de loi sur l’IA de l’Union européenne, insistent sur l’IA éthique. Les autorités politiques du monde entier cherchent à établir des frontières et à renforcer la responsabilité – en considérant l’IA générative comme une priorité en raison de son impact potentiel profond et rapide sur de larges segments de la société.

Les entreprises avisées chercheront à prendre de l’avance sur les exigences d’IA. Nos répondants sont conscients de leur proximité : ils affirment que la réglementation de l’IA, plus que toute autre, pourrait influencer fortement la croissance future de leurs revenus.

Parmi les 37 % de répondants qui prévoient la réglementation de l’IA, les trois quarts estiment que les coûts de conformité seront également élevés. Environ deux cinquièmes disent qu’ils devront apporter des changements majeurs dans l’entreprise pour se conformer aux règles.

Au milieu de l’incertitude réglementaire, les entreprises peuvent contrôler une chose : comment elles déploient la GenAI de manière responsable dans leurs environnements, ce qui peut se positionner pour la conformité. Sept grands développeurs de LLM montrent la voie. Au cœur d’un engagement volontaire, qu’ils ont récemment signé avec le gouvernement américain, les grands développeurs de LLM montrent la voie. Cet engagement volontaire comporte un accord pour commencer à placer des garde-fous autour des capacités de la technologie.

L’engouement pour l’IA est si élevé que 63 % des interrogés ont déclaré qu’ils se sentiraient personnellement à l’aise de lancer des outils GenAI sur le lieu de travail sans aucun contrôle interne pour la qualité et la gouvernance des données. Les cadres supérieurs de l’entreprise sont encore plus enclins (74 %) que les cadres de la technologie et de la sécurité.

Cependant, sans gouvernance, l’adoption des outils GenAI expose les organisations à des risques liés à la confidentialité des données, et plus encore. Que se passe-t-il si quelqu’un fait fuiter des informations propriétaires dans discussion avec un agent GenAI ? Et sans formation sur la façon d’évaluer correctement les résultats, les gens peuvent baser leurs recommandations sur des données inventées (hallucinations) ou des contextes d’entrées biaisées.

Les employés doivent aussi faire attention aux dangers des injections rapides, qui sont le premier risque de sécurité identifié par l’Open Source Foundation for Application Security (OWASP) quand on utilise les LLM. Les injections rapides, aussi connues sous le nom de « jailbreaks », sont des contextes qui provoquent des réactions non désirées des LLM en modifiant les paramètres initiaux du système (« pre-prompt ») ou en détournant les entrées provenant de sources extérieures.

La première étape pour la GenAI - et pour la plupart des technologies - est de créer les conditions de confiance dans sa conception, son fonctionnement et ses résultats. Cette condition repose sur l’établissement d’une gouvernance, avec une attention particulière portée à la gouvernance des données et aux enjeux de sécurité. La majorité des personnes interrogées affirme vouloir utiliser la GenAI de manière éthique et responsable : 77 % sont d'accord avec cette affirmation.

Ne négligez pas l’humain

Les outils GenAI permettront de synthétiser rapidement des informations issues de sources diverses pour faciliter la prise de décision humaine. Et, puisque 74 % des attaques impliquent des humains, la gouvernance de l’IA pour la défense doit aussi intégrer un aspect humain.

Les entreprises devraient donc adopter une boîte à outils d’IA responsable, comme celle de PwC, pour orienter l’utilisation fiable et éthique de l’IA dans l’organisation. Bien qu’on la pense souvent comme une fonction de la technologie, la supervision et l’intervention humaine sont aussi indispensables aux utilisations les plus hautes et idéales de l’IA.

En fin de compte, la promesse de l’IA générative dépend de l’humain. Chaque utilisateur sensibilisé peut et doit être un gestionnaire de confiance. Investissez en eux pour qu’ils connaissent les risques liés à l’utilisation de la technologie comme assistant, copilote ou mentor. Incitez-les à évaluer de manière critique les résultats des modèles d’IA générative selon les garde-fous de risque de votre entreprise. Réunissez les professionnels de la sécurité pour qu’ils respectent les principes de l’IA responsable.

La cybersécurité reste plus que jamais une préoccupation majeure pour les dirigeants d’entreprise. La question de la cybersécurité doit ainsi être intégrée au plus tôt dans les démarches de transformation plutôt que de réagir en situation de crise. L’arrivée progressive de la GenAI dans le paysage constitue une fantastique opportunité de permettre aux métiers et aux experts de la cybersécurité de collaborer pour définir les cas d’usage futurs et les approches pour les sécuriser.