La cybersécurité a atteint un point d’inflexion alors que les attaques à la vitesse des machines dépassent de plus en plus la réponse humaine.
Les attaques basées sur l’IA mettent à l’épreuve les défenses périmétriques et le tri manuel, obligeant les équipes de sécurité à repenser les stratégies défensives conçues pour les menaces à vitesse humaine.
Dans une lettre ouverte publiée fin août, OpenAI, Anthropic, Google, Microsoft, AWS et plus de 100 leaders technologiques ont averti les gouvernements et les entreprises que les menaces basées sur l’IA allaient devenir plus sophistiquées dans les mois à venir. Déclarant que le « statu quo ne suffira pas », la coalition a identifié une authentification faible, des autorisations excessives, des configurations erronées et une dette technique héritée comme cibles principales d’une exploitation pilotée par les machines.
Les acteurs de la menace utilisent l’IA pour découvrir des vulnérabilités, enchaîner les exploits et mener une ingénierie sociale à grande échelle. Pour se défendre contre ces tactiques, les équipes de sécurité doivent aller au-delà du simple décompte des alertes et s’orienter vers des correctifs axés sur l’exploitabilité, une visibilité inter-silos et des principes fondamentaux de sécurité plus solides.
De nombreuses entreprises sont déjà aux prises avec ces principes fondamentaux, selon David Brauchler, directeur technique et responsable de la sécurité de l’IA et du ML chez NCC Group.
« L’IA a rehaussé le niveau de ce que les attaquants considèrent comme des fruits à portée de main, et ces entreprises ne peuvent plus se permettre de cacher leur sécurité derrière l’obscurité », a déclaré Brauchler à TechNewsWorld.
L’avertissement de menace d’IA intervient au milieu d’attaques croissantes
La lettre ouverte fait suite à une série de cyberattaques et de divulgations très médiatisées qui, selon les signataires, démontrent l’urgence croissante.
Les services publics de l’eau et des eaux usées d’au moins sept États ont signalé des cyberattaques à partir de fin juillet, dont certaines ont perturbé les opérations d’approvisionnement en eau, selon un communiqué d’intérêt public du FBI et de l’EPA. OpenAI a également divulgué une expérience de sécurité en juillet dans laquelle des agents d’IA ont obtenu un accès non autorisé à Hugging Face tout en tentant des tâches de cybersécurité dans ce que les chercheurs pensaient être un environnement de test sécurisé.
Dans ce contexte, la lettre exhorte les entreprises pionnières de l’IA et de la technologie à « fournir un accès responsable aux modèles, un financement important, une formation et un soutien pratique, en particulier aux défenseurs des infrastructures critiques qui manquent de ressources ».
Aucun calendrier ni mécanisme pour fournir un accès plus large au modèle n’est spécifié. La coalition a également appelé les gouvernements, les entreprises, les professionnels de la cybersécurité et les sociétés d’IA à collaborer pour tester les défenses contre des modèles de plus en plus performants.
Les décideurs politiques réfléchissent également à la manière de répondre à ces risques. En juillet, les représentants Ted Lieu, démocrate de Californie, et Nathaniel Moran, du Texas, ont introduit l’AI Kill Switch Act, qui obligerait les entreprises exploitant certains systèmes d’IA avancés à maintenir la capacité technique de restreindre l’accès à ces systèmes ou de les arrêter si nécessaire.
Les attaques d’IA exercent davantage de pression sur les mots de passe
Thi Nguyen-Huu, PDG de la société de cybersécurité WinMagic, a soutenu que les organisations devraient repenser l’une des hypothèses les plus fondamentales de la cybersécurité : la connexion traditionnelle.
« Un mot de passe plus fort évite de deviner, et les attaquants ne devinent plus », a-t-il déclaré à TechNewsWorld. « Au-delà de cela, les attaquants s’approprient les informations d’identification plutôt que de les deviner – en réutilisant les fuites d’une ancienne violation – et lorsqu’un deuxième facteur est en place, ils l’attaquent directement. »
Plutôt que de s’appuyer principalement sur des mots de passe ou des jetons d’authentification portables, Nguyen-Huu a exhorté les entreprises à adopter des méthodes qui vérifient cryptographiquement les utilisateurs et les points finaux ensemble. De tels systèmes peuvent lier les clés d’authentification au matériel de l’appareil et valider les conditions de sécurité tout au long d’une session.
Il a souligné la sécurité mutuelle de la couche de transport (mTLS), dans laquelle le client et le serveur s’authentifient mutuellement à l’aide de certificats numériques, comme modèle établi d’authentification de machine à machine qui pourrait de plus en plus être appliqué aux utilisateurs sans nécessiter de gestion manuelle des certificats.
Robbie Mueller, responsable technique de la cybersécurité chez ArmorCode, plateforme de sécurité des applications, a déclaré que les attaques basées sur l’IA intensifient un problème auquel les entreprises sont déjà confrontées : les équipes de sécurité découvrent les vulnérabilités plus rapidement qu’elles ne peuvent les corriger.
Mueller a déclaré que l’entreprise moyenne utilise plus de 40 scanners de sécurité qui produisent collectivement des millions de résultats, tandis que les équipes de sécurité ne corrigent qu’environ une vulnérabilité ouverte sur 10 chaque mois.
« C’est un problème de capacité. Trouver des problèmes n’a jamais été aussi simple. Les résoudre est la partie la plus difficile… une propriété peu claire, des priorités concurrentes et des équipes qui ne partagent pas une file d’attente », a-t-il déclaré à TechNewsWorld.
La vitesse d’attaque élargit l’écart de remédiation
Mueller a déclaré que si le volume et la vitesse des attaques augmentent alors que la capacité des entreprises à trier et corriger les vulnérabilités reste stable, l’écart va se creuser. La mesure cruciale, a-t-il soutenu, n’est pas le nombre de découvertes, mais les vulnérabilités qui peuvent être enchaînées pour former une voie viable vers une cible intéressante.
« Une fois que vous avez supprimé ce chemin, le risque disparaît, soit en corrigeant un lien, soit en plaçant un contrôle atténuant devant celui-ci », a-t-il expliqué.
Mueller a également identifié une authentification faible comme une cible privilégiée des attaques automatisées, en particulier lorsque les systèmes de grande valeur restent protégés uniquement par des mots de passe.
« Nous continuons de constater les mêmes modes de défaillance : mots de passe courts ou prévisibles, réutilisation des informations d’identification entre les comptes et vulnérabilité au phishing qu’aucune politique n’a corrigée », a-t-il déclaré.
Nguyen-Huu a déclaré que les risques d’authentification ne s’arrêtent pas une fois qu’un utilisateur se connecte avec succès, car de nombreux systèmes émettent alors des informations d’identification de session qui peuvent elles-mêmes devenir des cibles.
« Le jeton existe pour éviter à l’utilisateur de s’authentifier à nouveau à chaque demande. Ainsi, l’attaque se déplace vers ce jeton. Un jeton porteur peut être copié. Le protéger ouvre sa propre surface d’attaque – fournisseur d’identité, navigateur, redirection, point final – une deuxième surface au-delà de la connexion », a-t-il expliqué.
Les efforts des entreprises échouent
Brauchler a déclaré que les menaces de plus en plus automatisées devraient donner aux équipes de sécurité un levier supplémentaire pour remédier aux retards de sécurité de longue date auprès des dirigeants et des conseils d’administration.
Pour les organisations matures en matière de sécurité, Brauchler a recommandé d’utiliser des outils d’IA et des partenaires de sécurité pour accélérer la découverte des vulnérabilités tout en réduisant simultanément le temps nécessaire pour corriger les failles identifiées.
« Les outils d’IA n’offrent toujours pas une fiabilité suffisante pour fonctionner sans surveillance humaine, et un pipeline entièrement automatisé entre les correctifs et la production peut rapidement introduire de nouvelles vulnérabilités », a-t-il déclaré.
Brauchler a déclaré que les organisations devraient identifier les goulots d’étranglement dans la gestion des correctifs afin que les équipes puissent examiner, valider et déployer des mesures d’atténuation au plus près de la vitesse à laquelle les vulnérabilités sont découvertes.
Mueller a déclaré que l’amélioration de l’authentification ne nécessite pas une reconstruction globale de la sécurité et peut commencer par une stratégie visant à évoluer vers une authentification sans mot de passe.
« Se débarrasser du mot de passe n’est pas un objectif un jour ; c’est un objectif attendu depuis longtemps », a-t-il déclaré.
Donner la priorité aux risques plutôt qu’à davantage d’outils de sécurité
Mueller a recommandé de donner la priorité à l’authentification multifacteur (MFA) résistante au phishing, y compris les clés d’accès et les clés de sécurité matérielles, pour les systèmes de grande valeur. Les gestionnaires de mots de passe peuvent servir de pont pour les systèmes qui ne peuvent pas passer immédiatement à l’authentification sans mot de passe, a-t-il ajouté, avec des plans de migration alignés sur les directives d’authentification du NIST.
Mueller a déclaré que le point de départ pour faire face aux menaces basées sur l’IA n’est pas d’ajouter davantage d’outils de sécurité, mais de comprendre les systèmes et les expositions déjà en place.
« À partir de là, la priorité doit passer du simple décompte des vulnérabilités à l’exploitabilité réelle et à l’impact commercial », a-t-il déclaré.
Selon Mueller, les entreprises ne peuvent pas combler l’écart simplement en ajoutant du personnel ou des scanners. Il recommande plutôt de ne plus se concentrer sur le nombre de découvertes mais plutôt sur les risques qu’elles créent, tout en automatisant les étapes de routine telles que le triage, l’acheminement des propriétaires, la création de tickets, la remontée et la vérification.
« La majeure partie du délai entre la divulgation et la réparation réside dans les transferts. Comblez ces écarts et vous rachèterez de la capacité sans ajouter de personnel », a déclaré Mueller.
