Les testeurs d'intrusion humains, ces hackers éthiques engagés pour simuler des cyberattaques et tester les cyberdéfenses d'une entreprise, voient de plus en plus souvent leur rôle menacé par une vague de nouveaux outils de test d'intrusion basés sur l'IA, et cela les inquiète. Et pour cause.
Avec pour seule indication une adresse Internet, ces outils d’IA sont capables de cartographier et d’évaluer rapidement (et plus vite que les humains) le niveau de sécurité du réseau informatique et des applications web d’une entreprise, de repérer les vulnérabilités, d’exécuter des commandes, voire de mener des attaques d’ingénierie sociale pour tester ces failles, tout en enregistrant chaque aspect du test et en rédigeant un rapport en quelques secondes.
Bien sûr, ce n'est pas tout. Ces mêmes outils échouent souvent là où les êtres humains réussissent systématiquement. Le taux de faux positifs (identification de menaces inexistantes) et de faux négatifs (menaces réelles totalement ignorées) est en baisse, mais reste important, ce qui peut s'avérer coûteux pour toute entreprise. De plus, ces outils ne comprennent pas encore pleinement le contexte des tâches qu’ils effectuent, ce qui signifie qu’il est difficile de faire en sorte que les testeurs d’intrusion basés sur l’IA opèrent dans le respect des limites éthiques et légales, ou d’éviter qu’ils ne provoquent des interruptions de service ou des dommages au système non intentionnels.
Il est certain que l'IA va s'améliorer dans les mois à venir, et ces limites deviendront probablement moins marquées, voire disparaîtront complètement. Dans le cadre des opérations de sécurité modernes (SecOps), l'intelligence artificielle améliore actuellement de nombreuses fonctions assurées par des analystes humains, telles que le tri des alertes et leur analyse initiale afin de détecter d'éventuelles activités malveillantes. Les systèmes d'IA modernes sont capables d'analyser des ensembles de données de plus en plus volumineux afin d'identifier des schémas d'attaque qui pourraient échapper à l'œil humain, en particulier au sein des services qui sont surchargés de travail et en sous-effectif. De plus, les outils d'IA permettent d'automatiser des tâches essentielles et chronophages (analyse des journaux, corrélation des données, détection initiale d' intervention en cas d'incident), d'élaborer des rapports sur les menaces et de prévoir des attaques potentielles.
Les premiers indicateurs montrent que l'IA constitue un investissement judicieux. Selon un rapport d'IBM intitulé « » ( ) consacré aux violations de données, disponible à l'adresse mars 2022 et accessible via mars 2023, les organisations ayant largement recouru à l'IA et à l'automatisation en matière de sécurité ont économisé 1,76 millions de dollars en coûts liés aux violations de données par rapport aux groupes n'utilisant ni l'IA ni l'automatisation.
L'IA jouant un rôle de plus en plus central dans les opérations de sécurité, il convient donc de se poser la question suivante : Quelle place restera-t-il aux humains ? Heureusement pour les professionnels de la sécurité, les experts en intelligence artificielle et du secteur estiment que les humains continueront de jouer un rôle pendant encore un certain temps.
« Cette technologie s'appuiera fortement sur l'intelligence artificielle, mais l'être humain restera au cœur du système », déclare Anton Chuvakin, conseiller en sécurité au sein du bureau du RSSI de Google Cloud. Même si l'IA est susceptible de modifier la manière dont les professionnels de la sécurité mènent leurs activités au quotidien, il reconnaît que « la situation dans son ensemble reste inchangée : ce sont les personnes, les processus et la technologie qui priment ».
Dans le domaine des opérations de sécurité – que votre organisation fasse appel à des professionnels des SecOps en général ou qu’elle ait mis en place un centre d’opérations de sécurité (SOC) spécialisé au sein duquel les équipes de sécurité partagent des informations et collaborent –, les experts identifient cinq domaines principaux dans lesquels les humains resteront l’atout principal ou dans lesquels les collaborateurs sont susceptibles de coexister avec l’IA dans un avenir prévisible :
1. L'analyse des renseignements sur les menaces
Les équipes chargées du renseignement sur les menaces sont depuis longtemps confrontées à une surcharge d’informations de sécurité provenant de sources d’ s, et le volume sans cesse croissant ainsi que la nature en constante évolution des cybermenaces ne font qu’aggraver la situation. Randy Lariar, directeur des pratiques technologiques du centre d'opérations de sécurité chez le prestataire de services de sécurité Optiv, explique qu'il constate que les équipes de sécurité utilisent l'IA pour « passer au crible les études sur les menaces et extraire plus rapidement les informations utiles du bruit de fond ».
«Cette technologie s’appuiera fortement sur l’IA, mais l’être humain restera au cœur du système. »Anton Chuvakin, conseiller en sécurité au sein du bureau du RSSI, Google Cloud
L'IA permet d'automatiser certains processus d'analyse de données fastidieux et chronophages ; les outils d'analyse comportementale basés sur l'IA permettent d'établir rapidement des références et de détecter les écarts dans l'activité des utilisateurs ou du système ; enfin, le traitement du langage naturel, qui permet aux outils d'IA de comprendre la communication humaine, peut aider les équipes à analyser le dark web à la recherche de complots cybercriminels et de profils d'utilisateurs. M. Lariar ajoute que les équipes chargées du renseignement sur les menaces ont également recours à l'IA pour les aider à rédiger les premières ébauches de leurs rapports et à améliorer leur communication.
Même si l'IA se chargera à l'avenir du traitement intensif des données, les humains resteront les interprètes ultimes de ces données. Selon M. Lariar et d'autres experts, les analystes humains continueront à jouer un rôle dans le cycle de renseignement sur les menaces afin d'apporter un contexte essentiel aux informations complexes et de prendre des décisions stratégiques sur la base des conclusions de l'IA en matière de renseignement sur les menaces. Ce sont également les travailleurs qui créeront et perfectionneront les modèles d'IA.
2. Détection et analyse des menaces
Afin de protéger les systèmes internes contre d'éventuelles menaces, les systèmes d'intelligence artificielle peuvent surveiller en permanence de grandes quantités de données relatives à l'activité des applications et du réseau, indispensables pour identifier les schémas malveillants. Et l'IA est capable de le faire de manière constante et sans se lasser.
«[L’IA peut aider les équipes SecOps] à passer au crible les études sur les menaces et à extraire plus rapidement les informations utiles du bruit. »Randy Lariar, directeur des pratiques en matière de technologies des centres d'opérations de sécurité chez Optiv
Pourtant, malgré ces avantages, on ne peut pas faire entièrement confiance aux systèmes d’IA pour fonctionner sans supervision humaine, affirme Andrew Storms, vice-président chargé de la sécurité chez Replicated, fournisseur d’une plateforme de distribution de logiciels. L'IA, qui reste sujette à ce que l'on appelle des « hallucinations » (c'est-à-dire des erreurs) et qui peut être faussée par des données d'entraînement erronées ou biaisées, doit être étroitement contrôlée, et les humains doivent continuer à décider quelles alertes justifient une analyse plus approfondie et, éventuellement, une intervention immédiate.
« Il faut faire confiance à l’IA jusqu’à un certain point et avoir une idée de [sa] fiabilité, mais il faut tout de même une touche humaine pour valider les conclusions de l’IA et prendre les décisions finales », explique M. Storms.
3. Tests d'intrusion
Les testeurs d'intrusion basés sur l'IA ressembleront davantage à des partenaires humains qu'à des remplaçants de l'humain. Les outils d'IA peuvent analyser les réseaux, les applications et les systèmes afin de détecter les vulnérabilités et les failles de sécurité que des pirates pourraient exploiter. Ces outils de test d'intrusion basés sur l'IA permettront également de développer des modèles d'attaque complexes susceptibles d'être exploités et de prédire avec une grande précision la manière dont les attaquants pourraient s'adapter aux changements apportés aux défenses.
Aussi utile que cela puisse être, M. Storms affirme que les testeurs d'intrusion basés sur l'IA resteront des prolongements des testeurs humains, qui disposeront désormais de plus de temps pour enrichir ces résultats grâce à des solutions créatives et à des contrôles compensatoires. Et les êtres humains resteront indispensables lorsqu’il s’agira de communiquer les résultats aux dirigeants.
4. Rapports relatifs à la conformité réglementaire
Tout comme l'IA peut analyser et évaluer les réseaux et les applications d'entreprise afin de détecter la présence d'acteurs malveillants, elle peut également déterminer le niveau de conformité réglementaire d'une organisation et surveiller en permanence les situations potentielles dans lesquelles l'accès aux applications, aux données ou à ne respecte plus les principes de de réglementations nouvelles et en constante évolution.
«Il faut faire confiance à l'IA jusqu'à un certain point. » Mais il faut tout de même une touche humaine pour valider les conclusions de l'IA et prendre les décisions finales. »Andrew Storms, vice-président chargé de la sécurité chez Replicated
Par exemple, en analysant les pratiques d’entreprise, les activités de la chaîne d’approvisionnement et l’impact environnemental, l’IA peut aider une multinationale à « élaborer des stratégies efficaces pour promouvoir le développement durable tout en réduisant les risques liés à la conformité », écrit Mathura Prasad, titulaire de la certification CISSP, dans un article de blog intitulé « » publié pour l’association à but non lucratif ISC2, spécialisée dans la formation à la cybersécurité. Les chatbots basés sur l'IA, tels que ChatGPT, peuvent également, à condition de leur fournir les consignes appropriées, générer rapidement des déclarations de risques et des projets de police d'assurance, résumer les lois et réglementations dans un langage simple, ou traduire ces documents dans d'autres langues.
Les experts soulignent que les êtres humains restent indispensables et le resteront encore pendant un certain temps. Les membres de l'équipe chargée des opérations de sécurité et de la conformité réglementaire continueront à fournir des rapports complets mettant en évidence les tendances en matière de conformité réglementaire au fil du temps et, éventuellement, à signaler les domaines dans lesquels les contrôles compensatoires pourraient être renforcés. Ces rapports exigent un niveau de nuance et une analyse prospective que l'IA ne peut pas (et ne pourra peut-être jamais) reproduire.
5. Gestion du SOC
Les responsables de la sécurité humaine, assistés par l'IA au sein des centres d'exploitation de sécurité (SOC), constateront que leurs services de sécurité sont capables de traiter des volumes plus importants de données de sécurité, de réduire la fatigue liée aux alertes chez les analystes de sécurité humains et de maintenir un niveau de sécurité élevé et constant.
Et pourtant, il est peu probable que la gestion globale du SOC soit prise en charge par l'IA dans un avenir proche, car les capacités créatives et stratégiques humaines, indispensables à tout programme de défense en matière de cybersécurité agile, ne peuvent être remplacées. « Je pense que la tendance sera de tenir les gens informés », déclare Lariar. « Certaines automatisations de bas niveau reposant sur la prise de décision par l'IA bénéficieront d'une confiance croissante, mais même dans ce cas, les équipes de sécurité de haut niveau continueront à examiner très attentivement ces processus décisionnels. » « Je n'ai jamais entendu parler d'un SOC entièrement automatisé », déclare-t-il.
Il est peu probable qu'un SOC ou une équipe de sécurité entièrement automatisé(e) voie le jour avant un certain temps, voire jamais.
« Si vous confiez les tâches opérationnelles du SOC à des machines, d’où proviennent ces machines ? », demande Chuvakin. « Qui a construit ces machines ? » « Aujourd’hui, ce sont les humains qui, dans une large mesure, construisent les machines. »
Et même si vous disposiez d'un SOC largement autonome, ajoute-t-il, qui serait chargé de créer et de gérer l'IA, de la connecter correctement et de veiller à ce qu'elle évalue et gère l'environnement de manière appropriée ? « Ce seront les humains. »
