Pourquoi les entreprises manquent-elles de personnel alors que l'IA sécuritaire devient plus puissante ? Une seule correction de vulnérabilité mobilise des centaines d'employés IT

L'IA accélère considérablement la découverte des vulnérabilités, mais la véritable douleur des entreprises se situe après le scan.

Source : Jinshi Data

L'IA accélère la découverte des vulnérabilités logicielles, mais certaines entreprises augmentent leurs postes de sécurité et leur budget. Selon The Information, cette semaine, le fournisseur de services informatiques mondial Diversified prévoit d'augmenter son budget pour les logiciels de sécurité d'environ 20 % au cours de l'année à venir et d'embaucher au moins trois nouveaux employés à temps plein en cybersécurité.

L'ampleur des travaux de correction explique cette nouvelle dépense. Le New York Times a également rapporté qu'une vulnérabilité PHP récemment révélée nécessite la modification d'environ 200 fichiers. Après que les chercheurs ont découvert le problème, plusieurs entreprises et mainteneurs open source ont passé des semaines à coordonner la correction, puis à informer les autorités concernées pour aider à déployer le patch.

Les corrections d'urgence mobilisent les développeurs quotidiens

Diversified a récemment mobilisé la plupart de ses 100 employés IT pour traiter les vulnérabilités de PHP et de la bibliothèque de compression de trafic web Brotli. Les participants incluent des analystes et des ingénieurs qui ne travaillent pas directement sur la sécurité, mais qui doivent vérifier quelles applications cloud et pages web pourraient être affectées et installer les correctifs.

Le directeur des systèmes d'information de l'entreprise a déclaré à The Information que le travail de correction impliqué dépasse de loin une simple mise à jour, empiétant sur le temps d'exploitation quotidien. Les dépenses supplémentaires pour les logiciels de sécurité que l'entreprise envisage comprennent des outils d'IA capables de surveiller automatiquement les applications ; les nouveaux employés seront affectés aux besoins réels de correction.

La startup de logiciels d'entreprise Atomicwork a également connu une vérification intensive. Le PDG Vijay Rayapati a demandé la semaine dernière à environ 30 ingénieurs logiciels de suspendre leur travail en cours pour donner la priorité aux problèmes de cybersécurité. L'entreprise a finalement confirmé qu'elle n'avait pas été directement affectée par les menaces, mais a tout de même investi des ressources dans la vérification.

Rayapati prévoit qu'à l'avenir, pour chaque trois employés techniques recrutés, un ingénieur en cybersécurité sera affecté. Il s'attend à ce que le nombre d'ingénieurs se concentrant sur la cybersécurité augmente à environ 27 au cours de l'année prochaine, atteignant près de trois fois le nombre actuel. C'est un plan de recrutement de l'entreprise qui n'est pas encore entièrement mis en œuvre.

Après avoir trouvé des vulnérabilités, il reste à confirmer, corriger et déployer

Le rapport du New York Times sur le processus de correction de PHP montre que des chercheurs de la société de sécurité Calif ont commencé en juillet à utiliser des agents IA pour vérifier ce langage de programmation, découvrant des vulnérabilités cachées depuis plus de dix ans. Par la suite, ils ont contacté les mainteneurs de PHP et l'équipe Wiz, qui a découvert des vulnérabilités similaires, pour avancer ensemble dans la correction.

Les ingénieurs participants ont collaboré via des canaux de communication dédiés et ont eu des appels quotidiens pour coordonner. À l'approche de la finalisation du patch, l'équipe a également informé les agences gouvernementales et l'entreprise d'infrastructure Internet Cloudflare pour aider à élargir la portée du déploiement. Après la sortie des résultats de détection, la modification du code et la coordination inter-agences nécessitent encore du temps.

Les mainteneurs open source doivent également d'abord déterminer si le rapport est valide. Le New York Times a noté qu'à partir de la fin de l'année dernière, certains projets ont reçu un grand nombre de rapports de vulnérabilités générés par l'IA, non testés de manière adéquate, ainsi que des découvertes réellement précieuses. Selon les données de la OpenJS Foundation, Node.js a confirmé et corrigé 50 vulnérabilités cette année, dépassant tout autre année précédente.

Il y a encore une distance entre la divulgation des vulnérabilités et le succès des attaques. Axios a rapporté cette semaine que, bien que la vulnérabilité PHP récente ait entraîné de nombreuses tentatives d'attaques, la difficulté de construire des attaques efficaces est élevée, avec peu de cas de succès, et le travail de défense des entreprises a également joué un rôle.

Les factures de scan incitent les entreprises à rechercher des modèles moins chers

En plus d'augmenter le personnel de sécurité, le scan IA lui-même représente également un coût. Scott Roberts, directeur de la sécurité de l'information de la société de logiciels d'entreprise UiPath (PATH.N), a déclaré à The Information que l'utilisation de Mythos d'Anthropic pour scanner un code source coûte environ 25 000 dollars ; l'entreprise possède des centaines de dépôts de code et a récemment réduit ces dépenses grâce à des modèles open source moins chers.

Morgan Stanley a lié cette semaine les modèles à bas prix au travail de sécurité dans un rapport de recherche. La banque estime que les modèles à poids ouverts devraient réduire les coûts de traitement des données opérationnelles telles que les journaux, d'enquête sur les alertes, de classification des menaces et de réponse automatique ; les clients ou concurrents pourraient également utiliser ces modèles pour remplacer certaines fonctionnalités de sécurité qui nécessitaient auparavant des frais supplémentaires.

Le rapport de recherche note également que des coûts d'inférence plus bas pourraient entraîner une utilisation accrue, les économies étant conservées par le fournisseur de logiciels ou le client, selon la concurrence et le modèle de tarification.

The Information a également interviewé le directeur de la sécurité de l'information d'une grande entreprise énergétique américaine. Cette personne a déclaré que le budget de cybersécurité de l'entreprise, basé sur environ 30 millions de dollars, a augmenté de plus de 10 % par rapport à l'année dernière, les nouvelles dépenses étant destinées à Mythos et aux fonctionnalités supplémentaires d'IA des produits de sécurité existants.

Les outils de protection des e-mails et de surveillance des données de l'entreprise facturent séparément pour le fonctionnement continu des fonctionnalités d'IA. Pour payer les nouvelles fonctionnalités, l'entreprise a déjà utilisé à l'avance le budget de cybersécurité de l'année prochaine.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.