Les paradoxes de l’IA et de la Gen AI pour la cybersécurité

L’IA et la Gen AI apportent-elles réellement des bénéfices en matière de cybersécurité ?

Avec des cas d’usage désormais bien identifiés, des implémentations suffisamment nombreuses et plusieurs mois de recul, la réponse est clairement oui. L’IA et la Gen AI permettent notamment d’optimiser les dispositifs de sécurité, d’affiner la détection, d’automatiser les processus, ou encore d’économiser et de réaffecter des compétences. Par exemple, j’ai pu voir plusieurs entreprises du secteur financier utiliser la Gen AI pour leurs rapports de menaces de haut niveau. Capable de réaliser une synthèse digeste et intelligible à partir d’une masse d’informations techniques et business, elle s’acquitte à merveille de cette tâche, ce qui se traduit par des gains de temps, de qualité et de ressources, une amélioration du processus de décision, et, in fine, de la sécurité.

Dans quelle mesure les acteurs malveillants utilisent-ils eux aussi l’IA et la Gen AI ?

Si la défense peut ainsi tirer profit de l’IA et de la Gen AI, ne doit-on pas craindre que l’attaque en fasse de même ? Pour l’instant, la réponse est non. Certes, des utilisations de la Gen AI dans quelques cas d’ingénierie sociale et d’usurpation d’identité ont déjà été détectées et déjouées, en particulier pour des tentatives de fraude au Président, mais on est loin de l’usage massif tant redouté. Toutefois, ce n’est sans doute qu’une question de temps (6 mois ? 1 an ?) avant que des cybercriminels ne trouvent comment créer, grâce à l’IA et à la Gen AI, des attaques plus efficaces, plus furtives et plus dangereuses.

L’utilisation de l’IA et de la Gen AI dans le domaine de la cybersécurité engendre-t-elle de nouveaux risques ?

En dépit de leur rôle protecteur, les outils de cybersécurité font partie intégrante du système d’information (SI) et, de ce fait, contribuent à sa surface d’exposition. Parallèlement aux services qu’ils peuvent rendre, il faut donc toujours s’interroger sur les risques que peuvent occasionner leur mise en œuvre. Avec des solutions fondées sur l’IA ou la Gen AI, trois aspects sont plus particulièrement à surveiller :

• Les données :pour aider à protéger le SI, l’IA et le Gen AI seront amenées à rassembler, analyser et produire des informations extrêmement sensibles : mots de passe, profils utilisateurs, règles, listes de vulnérabilités… Il est essentiel de déterminer qui aura accès à ces données, pour quoi faire, et comment elles seront à leur tour sécurisées. Sur un autre plan, il faudra aussi s’interroger sur l’empreinte environnementale des systèmes qui stockeront et traiteront ces gigantesques masses de données.
• La dépendance à la machine : en matière de cybersécurité, l’IA et la Gen AI auront surtout pour rôle de fournir des informations permettant de prendre plus vite – voire d’automatiser – les décisions. Or, celles-ci pouvant être très lourdes de conséquences (dans une banque ou un OIV, par exemple), mieux vaut être sûr du diagnostic comme du remède ! C’est pourquoi il faudra être très attentif à la fiabilité et à la transparence des algorithmes ainsi qu’à la mise en place de garde-fous humains.
• La réglementation : ces deux questions sensibles des données et du contrôle des algorithmes inciteront très probablement les autorités régulatrices (cyber, financiers, sectoriels…) à fixer un cadre plus spécifique que l’AI Act européen pour l’utilisation défensive de l’IA et de la Gen AI. L’ANSSI y travaille déjà, mais le processus pourrait – devrait – s’accélérer dans les prochains mois.

Tel est, en fin de compte, le grand paradoxe de l’irruption de l’IA et de la Gen AI dans le domaine de la cybersécurité : elles apportent un surcroît d’efficacité plus que bienvenu aux organisations prises en étau entre la prolifération des menaces et la pénurie des compétences, mais, dans le même temps, elles suscitent de nouvelles interrogations et ouvrent de nouveaux fronts à protéger.

À technologies révolutionnaires, approche classique

Toutefois, les incertitudes, notamment celles concernant de possibles réglementations à venir, ne doivent pas décourager les organisations d’investir dans l’IA et la Gen AI pour la cybersécurité. Elles doivent au contraire tirer sans plus tarder profit de ses bénéfices avérés et de la longueur d’avance qu’a, pour une fois, la défense sur l’attaque. En revanche, il faut avancer avec prudence, sans se laisser aveugler par les prouesses et les promesses de ces nouveaux outils, mais en gardant toujours à l’esprit leurs limites et les questions qu’ils soulèvent. Pour cela, leur mise en œuvre doit impérativement s’accompagner de la mise en place d’un cadre de gouvernance ainsi que d’un processus de veille et de benchmark afin d’en mesurer et d’en valider l’efficacité, et de remédier au plus tôt à d’éventuelles dérives. Et c’est là, peut-être, un ultime paradoxe de l’IA et de la Gen AI, qui, pour révolutionnaires qu’elles soient, réclament une approche on ne peut plus classique.