À mesure que de plus en plus d’organisations se tournent vers l’IA, elles s’appuient davantage sur les API pour connecter les modèles d’IA aux applications et aux données nécessaires à leur entraînement et à leur inférence. Cependant, plus le nombre de connexions API augmente, plus les risques sont élevés. Les acteurs malveillants peuvent exploiter les API pour exfiltrer des données, contourner les garde-fous des modèles d’IA, voire dérober les modèles eux-mêmes.
Une seule application d’IA peut comporter des centaines de points de terminaison d’API difficiles à suivre pour les équipes de sécurité, tandis que les configurations ne cessent de se complexifier. Selon Gartner, plus de 30 % de l’augmentation de la demande d’API proviendra de l’IA et des outils utilisant de grands modèles de langage (LLM) d’ici 2026.1
Ne négligez pas l’infrastructure de sécurité des API utilisées pour l’IA. Ces API exigent une vigilance accrue afin de mieux vous protéger, ainsi que vos investissements dans l’IA, contre les techniques d’exploitation avancées. Elles nécessitent également une attention particulière en matière de supervision et d’authentification.
Pourquoi avez-vous besoin d’une sécurité robuste pour vos API ?
Sans sécurité des API, vos modèles d’IA sont exposés à de nombreuses menaces, telles que les injections de prompts, l’extraction de modèles ou encore le chaos engendré par les API fantômes, c’est-à-dire des API qui échappent à votre visibilité et à votre contrôle. Les API fantômes sont souvent créées par des membres de l’équipe bien intentionnés qui mettent en place de nouveaux points de terminaison d’API sans supervision adéquate de la sécurité. Il en résulte des angles morts qui compliquent l’identification des personnes ou des systèmes accédant aux différents modèles d’IA.
“Sans sécurité des API, vos modèles d’IA sont exposés à de nombreuses menaces, telles que les injections de prompts, l’extraction de modèles ou encore le chaos engendré par les API fantômes.”
Vous devez également garder à l’esprit que, sans garde-fous appropriés, les points de terminaison d’API peuvent divulguer des informations personnelles identifiables (PII) ou des éléments de propriété intellectuelle au cours des interactions, révélant ainsi plus que prévu à partir de prompts en apparence anodins. Si les API ne disposent pas de mécanismes de limitation du débit, elles peuvent aussi être submergées de requêtes et devenir vulnérables aux attaques par déni de service (DoS), entraînant une dégradation du service et des coûts de calcul élevés.
Cinq éléments clés à rechercher en matière de sécurité des API
La protection de vos modèles et applications d’IA nécessite une approche globale de la sécurité des API, couvrant la découverte, l’authentification et le risque accru de menaces propres à l’IA. Accordez la priorité aux fonctionnalités suivantes :
- La découverte continue surveille l’apparition de nouveaux points de terminaison d’API se connectant à des services d’IA, offrant ainsi une visibilité en temps réel.
- Les contrôles d’accès garantissent que les nouveaux points de terminaison d’API suivent la procédure d’authentification appropriée et appliquent le principe du moindre privilège, sans accorder de droits d’accès supérieurs à ceux nécessaires.
- La validation des entrées et des sorties vérifie toutes les données transmises aux modèles d’IA et reçues de ceux-ci afin d’empêcher l’envoi d’invites malveillantes ou la divulgation de données sensibles.
- La limitation du débit impose des seuils pour les appels d’API, afin d’éviter la surcharge des systèmes, comme dans le cas d’une attaque par déni de service (DoS).
- La détection des anomalies, comme dans tout logiciel de surveillance, recherche les comportements suspects dans les schémas de trafic habituels.
Comment activer une protection complète de l’IA sur AWS
La réussite d’un projet d’IA repose autant sur le développement que sur la sécurité. Des services tels qu’Amazon Bedrock, Amazon SageMaker et Amazon CodeWhisperer vous permettent d’utiliser des modèles de fondation populaires ou de créer et déployer à grande échelle vos propres modèles grâce à des outils de développement optimisés par l’IA. F5 complète ces services AWS avec un ensemble de solutions qui assurent une sécurité essentielle des API et intègrent les cinq fonctionnalités présentées dans la section précédente.
La première solution à envisager est F5 Distributed Cloud API Security, qui identifie et cartographie automatiquement les nouveaux points de terminaison d’API, même s’ils ont été créés dans le cadre d’une informatique fantôme. Vous bénéficiez ainsi d’une visibilité accrue, ce qui vous permet d’appliquer plus facilement les politiques de sécurité et de protéger les API contre les utilisations abusives, les fuites de données et les accès non autorisés.
Ensuite, F5 Managed Rules for AWS WAF est un ensemble de jeux de règles préconfigurés, disponibles sur AWS Marketplace et conçus pour s’intégrer à AWS WAF. Ces jeux de règles propres aux API offrent une couche de défense supplémentaire et sont continuellement mis à jour par les experts en sécurité de F5 afin de faire face aux menaces les plus récentes.
Les deux solutions contribuent à empêcher tout accès non autorisé aux modèles, à protéger vos données sensibles et votre propriété intellectuelle, et à garantir que l’IA reste disponible pour un usage légitime, que ce soit par des entités humaines ou des machines.
Innovez plus rapidement, avec davantage de confiance et de contrôle
Pour vos initiatives en matière d’IA, AWS fournit l’infrastructure et F5 assure la sécurité. Les solutions F5 s’intègrent au pipeline CI/CD, permettant à vos équipes d’avancer rapidement tout en bénéficiant de la protection dont vous avez besoin. Ne vous préoccupez plus autant des menaces telles que l’injection de prompts et la manipulation de modèles, ni du risque que l’IA divulgue des données sensibles.
Ces solutions sont faciles à déployer dans le cloud AWS et améliorent la visibilité sur votre infrastructure, afin que vous puissiez remédier aux pratiques de shadow IT avant qu’elles ne deviennent incontrôlables. Ensemble, AWS et F5 vous aident à faire face à la complexité croissante de l’IA, afin que vous puissiez ajouter toutes les sources de données et API nécessaires à votre réussite.
Pour en savoir plus, consultez F5 sur Amazon Web Services (AWS).
Consultez également mon précédent article de blog, « Créez rapidement des pipelines de données sécurisés pour l’entraînement de l’IA sur AWS ».
GARTNER est une marque déposée et une marque de service de Gartner, Inc. et/ou de ses sociétés affiliées aux États-Unis et dans le monde entier, et est utilisée ici avec autorisation. Tous droits réservés.
1Gartner, « Gartner prévoit que plus de 30 % de l’augmentation de la demande d’API proviendra de l’IA et des outils utilisant de grands modèles de langage d’ici 2026 », 20 mars 2024
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.