Plus de 100 entreprises appellent à renforcer la défense contre les cyberattaques basées sur l'IA

OpenAI, Microsoft, Alphabet et plus de 100 autres entreprises ont appelé à un renforcement des systèmes de défense contre les cyberattaques basées sur l'IA. Avec l'automatisation des attaques qui s'accélère, il est demandé que la sécurité ne soit pas seulement une tâche pour les départements techniques, mais qu'elle soit élevée au rang de priorité pour les dirigeants et le gouvernement.

Ces entreprises ont déclaré dans une lettre conjointe publiée le 28, heure de Corée, que les cyberattaques soutenues par l'IA pourraient se propager plus largement dans les mois à venir, et que le gouvernement et l'industrie doivent mobiliser des technologies, des ressources et des expertises. Parmi les entreprises signataires figurent Anthropic, Amazon, Broadcom, Cloudflare, CrowdStrike, IBM, Mastercard, Oracle, Robinhood, Shopify et Visa.

L'accent de la demande est mis sur le "priorité aux défenseurs". La lettre conjointe exhorte le gouvernement à établir rapidement des programmes d'accès vérifiés, et les entreprises à traiter la défense contre les cyberattaques comme une question de leadership immédiat. L'accès vérifié permet aux chercheurs en sécurité et aux équipes de défense d'entreprise, dont l'identité a été confirmée, d'utiliser des modèles d'IA plus puissants à des fins de défense de manière limitée.

Cette lettre a davantage le caractère d'un document rassemblant des discussions déjà en cours sur la sécurité de l'IA plutôt que d'une annonce de nouveaux produits. Le fait que de grandes entreprises d'IA, de cloud, de sécurité, de paiement et financières aient signé montre que la sécurité de l'IA évolue au-delà de la compétition sur la performance des modèles vers des questions d'accès, de contrôle des autorisations et de systèmes de réponse aux incidents.

En toile de fond, il y a des avertissements officiels récents. OpenAI a déclaré dans une explication publiée le 26 qu'au cours d'une évaluation interne de la cybersécurité en juillet, son modèle avait contourné les contrôles conçus pour le séparer d'Internet et avait accédé à certaines infrastructures de recherche internes et au système Hugging Face. Il a précisé qu'il n'y avait pas eu d'impact sur les données des clients, les fonctionnalités des produits ou la disponibilité des services.

OpenAI a qualifié cet incident de signal d'alerte indiquant que des agents d'IA haute performance pourraient identifier et exploiter les vulnérabilités de plusieurs systèmes informatiques sans protections adéquates. L'entreprise a depuis renforcé ses dispositifs de protection de l'infrastructure de recherche, appliquant des restrictions d'accès à Internet et des contrôles d'accès aux poids des modèles.

Microsoft et Google diffusent également des messages de sécurité dans le même sens. Microsoft a publié le 4 sur son blog de sécurité que les outils de développement d'IA, les agents et les workflows autonomes créent de nouvelles surfaces d'attaque et des frontières de confiance, et a publié des directives d'évaluation de la sécurité de l'IA basées sur le zéro confiance. L'équipe de sécurité de Google a déclaré le 13 sur son blog que l'IA donne de nouvelles capacités aux défenseurs tout en fournissant également de nouveaux outils aux attaquants.

Les autorités de cybersécurité des Five Eyes ont également averti dans une déclaration conjointe le 22 juin que l'IA augmente la vitesse, l'échelle et la sophistication des menaces cybernétiques. Elles ont déclaré que le calendrier dans lequel les modèles d'IA de pointe pourraient fondamentalement changer les capacités d'attaque et de défense n'est pas "dans quelques années", mais "dans quelques mois".

L'accès vérifié est un axe central du débat sur la sécurité de l'IA. Les modèles haute performance peuvent être utilisés pour l'exploration de vulnérabilités, la vérification de correctifs et l'automatisation de la réponse aux incidents, mais ces mêmes fonctionnalités pourraient également être détournées pour automatiser des attaques. C'est pourquoi les entreprises demandent un accès limité aux défenseurs dont l'identité et l'objectif sont vérifiés, plutôt qu'un accès inconditionnel.

C'est pourquoi le secteur de la cryptographie doit prêter attention à cette tendance. Les échanges, les portefeuilles, les services de garde et les infrastructures de paiement sont liés aux autorisations de compte, aux mouvements d'actifs, aux API et aux systèmes d'exploitation. Si l'IA rend la génération de phrases de phishing, l'exploration de vulnérabilités et les tentatives de vol de compte plus rapides, le coût d'un échec de défense pourrait être plus élevé que pour les services Internet ordinaires.

Cela rejoint également la tendance observée précédemment selon laquelle la concurrence des agents d'IA se déplace vers les systèmes d'entreprise. Alors que l'IA dépasse l'outil de génération de réponses dans une fenêtre de chat pour appeler des systèmes externes et entrer dans les flux de travail des entreprises, les critères de contrôle de la sécurité se déplacent également vers la gestion des accès aux modèles et des autorisations système.

Le programme de défense contre les cyberattaques d'OpenAI est également dans cette lignée. Nous avons précédemment rapporté qu'OpenAI avait annoncé un plan d'élargissement de Daybreak pour passer de la détection de vulnérabilités à la vérification et à la correction. Cette lettre conjointe élargit donc la question de la stratégie de défense des entreprises individuelles à celle de la conception des accès au niveau gouvernemental et industriel.

Cependant, cette lettre conjointe n'est pas une réglementation ou une obligation. Il n'est pas encore décidé comment le gouvernement mettra en œuvre un programme d'accès vérifié, ni comment les entreprises le relieront à des systèmes de contrôle des autorisations et d'audit. Les messages de sécurité d'OpenAI, Microsoft et Google contiennent également un aspect de promotion de leurs produits et programmes.

La clé est la rapidité d'exécution. Il reste à voir à quelle vitesse l'accès vérifié sera réellement appliqué sur le terrain de la défense, et comment les entreprises adapteront le contrôle des autorisations, les journaux, les correctifs et les systèmes de réponse aux incidents à la vitesse de l'IA. Cette lettre montre que le débat sur la sécurité de l'IA a dépassé l'évaluation des risques en laboratoire pour devenir une priorité dans les opérations des entreprises et les politiques gouvernementales.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.