Certes, au cours des deux dernières années, les cybercriminels ont semblé avoir une longueur d’avance dans la course à l’IA, en déployant des modèles linguistiques de grande envergure et des chatbots dans le cadre d’une vague d’attaques de type « », de hameçonnage et d’autres cyberattaques ; mais cette avance pourrait bien s’effriter, selon les experts, car ces groupes se heurtent de plus en plus à des outils de cybersécurité basés sur l’IA capables de détecter – et de contrer – de telles menaces.
Grâce à sa rapidité et à sa capacité à repérer des tendances parmi d'énormes quantités de données, l'IA excelle tout particulièrement dans la détection des fraudes et l'analyse des systèmes à la recherche de failles. Cela devrait rassurer ceux qui suivent de près les agissements des cybercriminels, qui s'appuient sur l'intelligence artificielle.
Parmi les utilisations récentes de l'IA par les escrocs, on peut citer :
- La semaine dernière encore, lors de la Conférence sur la cybersécurité de Munich, des responsables ukrainiens ont averti que des pirates informatiques russes utilisaient des modèles d’apprentissage automatique pour passer au crible des quantités considérables de contenus dérobés dans des boîtes mail piratées, puis recouraient à l’IA pour élaborer des campagnes de hameçonnage plus crédibles et sur mesure.
- Le mois dernier, Google a annoncé avoir identifié 57 groupes malveillants liés à la Russie, à la Chine, à l’Iran et à la Corée du Nord qui utilisaient son chatbot Gemini pour mener des opérations de reconnaissance sur des experts en défense, dépanner du code et trouver de nouveaux moyens de s’infiltrer profondément dans les réseaux ciblés, en recourant à des techniques telles que la contournement des systèmes de détection et l’exfiltration de données.
- Les cybercriminels ont également développé leurs propres modèles linguistiques à grande échelle , tels que WormGPT, FraudGPT et GhostGPT, afin de générer des vagues de nouveaux logiciels malveillants et d'escroqueries par hameçonnage.
Voici comment certaines organisations ripostent :
- Mastercard a utilisé l'intelligence artificielle pour analyser les données de paiement de neuf banques partenaires, ce qui a permis d'économiser plus de 35 milliards de dollars en paiements frauduleux sur une période de trois ans.
- Amazon, qui recense jusqu'à 750 millions de cyberattaques chaque jour, rassemble toutes les données relatives à ces incidents dans une base de données. Il utilise ensuite l'apprentissage automatique pour passer au crible l'ensemble des données relatives à ces incidents et identifier celles qui devraient le préoccuper le plus. Elle effectue même, à partir de ces données, des analyses prédictives basées sur l'IA ( ) afin de prévoir quelles menaces prendront de l'importance à l'avenir.
- L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) utilise l'intelligence artificielle pour détecter et analyser automatiquement les menaces potentielles pesant sur les réseaux du gouvernement américain, signaler les activités inhabituelles et identifier des tendances au sein de vastes volumes de données.
- Europol utilise également l'intelligence artificielle pour les tâches répétitives, ce qui permet aux analystes humains de consacrer davantage de temps à d'autres tâches et d'éviter qu'ils ne soient trop exposés à des contenus « choquants ».
À mesure que ce domaine évolue grâce aux capacités supplémentaires offertes par l'IA générative, il offre également la perspective de traduire ses découvertes en résultats facilement compréhensibles. Cela pourrait signifier de condenser un éventail ahurissant d'indicateurs en un simple résumé textuel qui serait plus compréhensible pour les analystes de sécurité très occupés. Il pourrait également dialoguer avec ces analystes, en répondant de manière fluide et intuitive à des questions formulées en langage naturel concernant ses conclusions.
« Ces nouvelles fonctionnalités permettent à toutes sortes d'organisations d'améliorer leurs performances dans la lutte contre les intrus numériques », explique Mary Carmichael, membre du groupe de travail « Emerging Trends » de l'ISACA et présidente de la section de Vancouver de l'ISACA. « L'apprentissage automatique traditionnel [une forme d'IA] a donné d'excellents résultats dans plusieurs domaines de la cybersécurité, apportant des améliorations par rapport aux anciens systèmes basés sur des règles. »
Nous vous présentons ci-dessous les principaux cas d'utilisation dans lesquels l'IA et l'apprentissage automatique se révèlent les plus prometteurs.
La détection : pourquoi les réseaux neuronaux excellent dans ce domaine
« La détection est un domaine dans lequel l'apprentissage automatique a donné de bons résultats », note M. Carmichael. Certains modèles identifient les logiciels malveillants en analysant les tendances observées dans les données, tandis que d'autres s'attachent à les utiliser pour surveiller le comportement du réseau par rapport à un niveau de référence correspondant à une activité normale. Lorsqu'un comportement s'écarte suffisamment de la norme, une alerte est déclenchée.
«L’apprentissage automatique traditionnel a donné d’excellents résultats dans plusieurs domaines de la cybersécurité, apportant des améliorations par rapport aux anciens systèmes basés sur des règles. »Mary Carmichael, membre du groupe de travail « Emerging Trends » de l'ISACA
Ce comportement pourrait correspondre à un ordinateur téléchargeant un nombre excessif de fichiers à partir d'une adresse IP inconnue à un moment inhabituel de la journée. Un autre élément déclencheur pourrait être l'arrivée d'un e-mail destiné à une personne de l'entreprise ayant accès aux comptes financiers, mais présentant des caractéristiques suspectes qu'un administrateur humain pourrait ne pas remarquer, telles qu'une formulation inhabituelle ou un expéditeur inconnu.
Ce type de suivi et d'analyse statistique nécessite d'exploiter de grandes quantités de données provenant de diverses sources, souvent en temps réel. C'est quelque chose qu'un être humain pourrait faire, mais il en faudrait des milliers, qui surveilleraient sans relâche les multiples événements liés au sein de votre infrastructure informatique. Ce n'est pas réaliste.
Les réseaux neuronaux qui sont à la base de l'apprentissage automatique excellent dans ce domaine, explique M. Carmichael.
Alors que les logiciels traditionnels traitent les différentes étapes les unes après les autres, les réseaux neuronaux transmettent des volumes entiers de données complexes entre plusieurs couches de neurones. Ils commencent par utiliser les données existantes que les opérateurs ont classées, par exemple, comme légitimes ou malveillantes. Le réseau s'entraîne à analyser ces données étiquetées afin de se forger une idée de ce qui est légitime et de ce qui ne l'est pas.
Le réseau neuronal entraîné utilise ensuite ces connaissances pour analyser de nouvelles données, dans le cadre d'un processus appelé « inférence ». C'est le fondement d'une multitude de tâches d'apprentissage automatique, allant de la reconnaissance d'images à la détection d'activités malveillantes sur un réseau, en passant par le tri des spams parmi les e-mails légitimes ou la détection d'une transaction financière frauduleuse.
Modélisation des menaces : comment l'apprentissage automatique s'adapte aux spécificités de chaque secteur
« L'apprentissage automatique permet non seulement de détecter les menaces, mais aussi de cerner les menaces spécifiques auxquelles une organisation est confrontée », explique James Stanger, évangéliste technologique en chef chez CompTIA. Une banque exploitant de nombreux systèmes administratifs, par exemple, sera confrontée à des types d'attaques spécifiques menées par des groupes ciblant ce secteur d'activité. Ces groupes utiliseront des techniques spécialement conçues pour exploiter les failles de l'infrastructure d'une banque, techniques qui diffèrent, par exemple, des types d'attaques que d'autres groupes mèneraient contre une entreprise du secteur pétrolier et gazier.
«[L’utilisation de l’IA pour] la collecte et l’analyse des journaux permet de réduire les délais de réponse. »Curtis W. Dukes, vice-président exécutif et directeur général chargé des bonnes pratiques en matière de sécurité, Center for Internet Security
Tout comme votre formation à la sécurité destinée aux employés doit s'appuyer sur des spécifiques à votre secteur d'activité et à votre entreprise, il en va de même pour votre modélisation des menaces. Ici, il n'y a pas de place pour une approche unique valable pour tous.
La modélisation des menaces consiste à établir un cadre répertoriant les menaces pesant sur une organisation, qui peut être utilisé pour analyser les risques et hiérarchiser les investissements en matière de cybersécurité. Ce processus, qui consiste à analyser de grandes quantités d' , de données issues de la recherche de menaces et d'autres données provenant de différentes sources, est essentiel à tout programme de cybersécurité. En outre, c'est un processus lent et coûteux.
« Au cours des deux dernières décennies, nous avons réussi à créer des modèles de menaces et d’attaques pertinents et précis, mais le processus d’élaboration de ces modèles a, pour l’essentiel, été manuel », explique M. Stanger. La capacité de l'IA à traiter de grandes quantités de données et à identifier des tendances en fait un atout précieux dans ce domaine. « Si cela est mené à bien, ce sera une évolution très bienvenue », ajoute-t-il.
L'automatisation : bien plus qu'une simple question de rapidité
L'Institut pour la sécurité et la technologie (IST), un groupe de réflexion visant à associer technologie et politique afin de relever les nouveaux défis en matière de sécurité, a récemment mis en évidence le potentiel de l'IA pour améliorer les opérations de cybersécurité dans un rapport intitulé « » ( ), publié en octobre dernier. L'automatisation de tâches simples telles que l'analyse du trafic réseau et la classification des fichiers peut permettre aux administrateurs de sécurité de gagner du temps, a-t-il indiqué.
«Les progrès récents en matière d’intelligence artificielle pourraient modifier radicalement l’équilibre entre l’attaque et la défense en tirant parti de l’avantage du terrain. »Les implications de l'intelligence artificielle en matière de cybersécurité : un changement dans l'équilibre entre attaque et défense, Institut pour la sécurité et la technologie (octobre 2024))
« [L'utilisation de l'IA pour] la collecte et l'analyse des journaux permet de réduire les délais de réponse », confirme Curtis W. Dukes, vice-président exécutif et directeur général chargé des bonnes pratiques en matière de sécurité au Center for Internet Security. En tant que directeur de la sécurité de l'information à l'Agence nationale de sécurité, il a passé des années à gérer des systèmes sensibles et comprend l'importance de disposer rapidement d'informations issues de la télémétrie des systèmes.
Outre le gain de temps, les outils d'IA permettent d'obtenir une compréhension plus précise de l'environnement réseau. « Les progrès récents en matière d'intelligence artificielle pourraient bouleverser radicalement l'équilibre entre l'attaque et la défense en tirant parti de l'avantage du terrain », indique le rapport de l'IST.
[À lire également : Orchestration et automatisation faciles à mettre en place à grande échelle]
En automatisant les inventaires et les audits du réseau, ainsi que d’autres tâches essentielles telles que la gestion des correctifs ou l’éradication de l’informatique fantôme, les responsables de la sécurité acquerront une compréhension de la de leur réseau de l’intérieur bien plus approfondie que celle dont dispose n’importe quel attaquant depuis l’extérieur. Ce type de connaissances et de compréhension ne pourra que vous aider à prendre de meilleures décisions à l'avenir, à mesure que les menaces et les technologies associées évoluent.
La gestion des vulnérabilités : l'un des nombreux domaines dans lesquels l'IA générative change la donne
L'essor de l'IA générative laisse entrevoir encore davantage d'améliorations. Cette technologie, illustrée notamment par les modèles de base qui sous-tendent des chatbots tels que ChatGPT et Claude, repose sur des modèles linguistiques de grande envergure (LLM). Ces systèmes s'appuient sur des réseaux neuronaux, mais utilisent de nouveaux algorithmes conçus pour traiter de grandes quantités de texte. Ils sont mieux à même d'analyser des contenus créatifs, qu'il s'agisse de texte, d'audio, de vidéo ou même de code source de programmes. Ils peuvent ensuite créer de nouveaux contenus à partir de ces informations.
[À lire également : Qu'est-ce que la gestion des vulnérabilités des appareils ?]
Les modèles de langage de grande envergure (LLM) ont des implications profondes pour la cybersécurité, notamment en matière de gestion des vulnérabilités . Le rapport de l'IST met en évidence la possibilité de détecter certaines des failles que les cybercriminels exploitent dans les logiciels. Lors de la conférence DEFCON sur la cybersécurité, organisée par l' août 2024 , à Las Vegas, les demi-finalistes du « AI Cyber Challenge » de la DARPA ont démontré le potentiel de cette technologie : ils ont utilisé des modèles de langage de grande envergure (LLM) pour détecter 22 vulnérabilités dans le code source et en corriger automatiquement 15 . Par ailleurs, l'équipe de sécurité « Project Zero » de Google a utilisé l'intelligence artificielle pour améliorer le « fuzzing », un processus qui consiste à inonder un système cible de données d'entrée afin d'en trouver une susceptible de le compromettre. a découvert une faille « zero-day » exploitée à l'aide de cette méthode, ce qu'elle a présenté comme une première mondiale.
Les succès du SOC : les assistants IA permettent de gagner du temps, éliminent les interférences et vous disent les choses telles qu’elles sont
Ces systèmes peuvent également contribuer à soulager le personnel de premier niveau du centre d'opérations de sécurité (SOC) d' en mettant en place des flux de travail plus sophistiqués, explique Dominik Penner, ingénieur principal en sécurité chez Mand Consulting, une société de conseil en cybersécurité basée à Toronto.
«La plupart des organisations souhaitant déployer l'IA au sein d'un SOC l'utiliseront à des fins de triage. »Jennifer Tang, chargée de mission en cybersécurité et technologies émergentes à l'IST
« La collecte des données et la surveillance ne posent pas vraiment de problème, mais dès lors qu'il faut établir un lien avec des attaques, cela nécessite un peu plus d'analyse », explique-t-il. « Il y a tellement de bruit. » « Le plus difficile, c'est finalement de faire le tri parmi toutes ces informations pour en tirer des éléments concrets et des enseignements utiles. »
L'apprentissage automatique excelle dans l'analyse des données, leur classification et l'identification des anomalies. « Les LLM offrent ainsi aux analystes SOC un moyen plus sophistiqué d'interroger ces données », explique Jennifer Tang, chargée de mission en cybersécurité et technologies émergentes à l'IST et co-auteure du rapport. »« Je pense que la plupart des organisations souhaitant déployer l'IA au sein d'un SOC l'utiliseront à des fins de triage », déclare-t-elle. « [Les grands modèles de langage (LLM) peuvent] fournir aux organisations des analyses sur la signification des alertes et sur les mesures à prendre, en utilisant un langage naturel. »
Ce genre de discours franc revêt une importance particulière dans une situation où le temps est compté, comme lors d'une cyberattaque, où la communication est essentielle et où les actions menées au sein de plusieurs services (de l'informatique aux réseaux sociaux) par divers collaborateurs possédant des niveaux d'expertise variés en matière de sécurité doivent toutes être coordonnées rapidement.
Ces capacités conduisent à la création d'assistants IA spécialement conçus pour les opérations de cybersécurité. Carmichael met en avant sa capacité à aller au-delà du triage et à recommander des mesures correctives aux opérateurs SOC.
Retour à la réalité : pourquoi il est toujours important de ne pas laisser les humains de côté
La prochaine étape logique dans cette voie est un aspect que l'IST a mis en avant dans son rapport : des agents autonomes qui non seulement recommandent des mesures correctives en cas d'incidents cybernétiques, mais les mettent également en œuvre automatiquement.
«L’IA aide les analystes moins expérimentés en leur fournissant des conseils et des recommandations, ce qui contribue à renforcer les compétences du personnel et à améliorer les performances globales de l’équipe. »Mary Carmichael, de l'ISACA
Imaginez un copilote assis sur le siège passager qui se penche pour prendre le volant : mais au lieu de prendre le prochain virage à gauche, il pourrait mettre en quarantaine un segment du réseau, réduire les droits d'accès d'un employé dans l'annuaire de l'entreprise ou mettre à jour une règle de pare-feu afin de bloquer un ensemble particulier d'adresses IP.
Cela pourrait être un pas de trop pour les organisations qui n'en sont encore qu'à leurs premiers pas avec l'IA. « Ce qui nous a toujours freinés, c'est la peur de l'inconnu chez les organisations », explique M. Dukes. « Ils ne souhaitent pas automatiser certains processus. »
Et ce n'est pas grave. Le degré d'automatisation variera (et devrait varier) d'une entreprise à l'autre. Malgré les craintes actuelles, les observateurs du secteur estiment qu’il existe au moins cinq domaines clés des opérations de sécurité dans lesquels les êtres humains resteront un atout essentiel.
M. Tang entrevoit certains problèmes de gouvernance à mesure que les entreprises envisagent de céder davantage de contrôle à des agents d'IA autonomes. « Je pense qu’il y aura un problème en matière d’explicabilité, de conformité à la loi « », et de détermination de la responsabilité », déclare-t-elle. Un système automatisé qui effectue une action devrait expliquer son raisonnement, mais les systèmes d'IA sont connus pour leur incapacité à expliquer comment ils sont parvenus à une décision.
La plupart des organisations préféreront conserver un certain niveau de contrôle humain plutôt que de laisser l'IA automatiser l'ensemble des mesures de cybersécurité. Gartner recommande l'utilisation de l'« » (automatisation guidée par l'humain) pour le déploiement de l'IA, ce qui permet à toute organisation d'ajuster le niveau d'automatisation en fonction de sa tolérance au risque.
Bien que Mme Tang indique que les membres des conseils d'administration de certaines entreprises réclament un « SOC prêt à l'emploi » doté de capacités de détection et d'automatisation de bout en bout, elle estime que le secteur n'en est pas encore là. De nombreuses organisations avec lesquelles elle s'est entretenue se sont engagées à toujours faire intervenir un être humain dans le processus, et vont même jusqu'à imposer des mécanismes de retour d'information afin de vérifier en permanence les conclusions de l'IA. Par conséquent, elle estime que l'avenir – du moins pour l'instant – sera davantage axé sur une cybersécurité assistée par l'IA que sur une cybersécurité entièrement gérée par l'IA.
Les assistants IA qui se contentent de formuler des recommandations plutôt que d'agir offrent tout de même un retour sur investissement. « L'IA apporte son soutien aux analystes moins expérimentés en leur fournissant des conseils et des recommandations, ce qui contribue à renforcer les compétences du personnel et à améliorer les performances globales de l'équipe », explique M. Carmichael, de l'ISACA. Face à une technologie aussi évolutive et disruptive que l'IA, les entreprises auraient tout intérêt à avancer lentement et prudemment avant de se lancer dans un sprint.
