Établir la norme : pourquoi les tests d’efficacité des garde-fous de l’IA ne peuvent pas attendre

Ian LauthDirecteur du marketing produit, IA | F5

L’IA évolue rapidement. Dans de nombreux cas, plus rapidement que les contrôles de sécurité conçus pour l’encadrer.

Les entreprises déploient l’IA générative, les systèmes agentiques et les workflows assistés par l’IA à un rythme qui dépasse systématiquement celui des examens de sécurité formels. Les unités opérationnelles vont de l’avant, tandis que les responsables de la sécurité tentent de combler des lacunes qui se creusent en temps réel.

Au milieu de toute cette urgence, un problème ne reçoit pas suffisamment d’attention : nous ne disposons pas encore de normes rigoureuses et largement reconnues permettant d’évaluer si les contrôles de sécurité de l’IA fonctionnent réellement. Les fournisseurs avancent des arguments. Les démonstrations ont une portée limitée. Les garanties reposent sur des schémas d’architecture plutôt que sur des preuves concrètes. Les acheteurs, les RSSI, les responsables de la gouvernance, des risques et de la conformité (GRC), ainsi que les architectes d’entreprise doivent prendre des décisions lourdes de conséquences sans disposer d’un moyen fiable de distinguer les contrôles véritablement efficaces des simples arguments marketing.

C’est cette lacune que nous avons entrepris de combler.

Aujourd’hui, le cabinet indépendant de tests en cybersécurité NSS Labs publie une série d’études en deux volets sur la manière d’évaluer la sécurité de l’IA en entreprise, élaborée en collaboration avec F5, AWS et Microsoft.

• Partie 1, « La sécurité de l’IA au-delà du modèle : ce dont les entreprises doivent se préoccuper et pourquoi », explique pourquoi la sécurité de l’IA en entreprise constitue un enjeu systémique et de gouvernance, et non un problème limité au seul modèle. Elle passe en revue l’ensemble des risques : intégrité des entrées et contrôle des instructions, risques liés aux sorties et exfiltration de données, résilience des systèmes en situation de stress, IA agentique et délégation de pouvoir, observabilité et analyse forensique, ainsi que les exigences de gouvernance qui assurent la cohérence de l’ensemble.
• La deuxième partie, « Évaluer la sécurité de l’IA en entreprise : les questions auxquelles tout acheteur devrait pouvoir répondre », traduit ce cadre en mesures concrètes. Elle fournit aux RSSI, aux acheteurs en entreprise et aux équipes GRC les questions précises à poser aux fournisseurs, les signaux d’alerte à surveiller et les critères d’évaluation quantitatifs nécessaires pour prendre des décisions éclairées, fiables et justifiables lors du choix de dispositifs de sécurité pour l’IA.

Les garde-fous de l’IA sont au cœur de la sécurité de l’IA

Si vous souhaitez comprendre ce que sont les garde-fous de l’IA et pourquoi ils sont importants, je vous invite à lire notre précédent article sur le sujet. En bref, les garde-fous de l’IA sont des contrôles de sécurité qui s’exécutent en dehors du modèle afin de faire respecter les politiques, de protéger les données, d’encadrer le comportement des agents et de produire la piste d’audit nécessaire à la gouvernance.

Ce ne sont pas les modèles eux-mêmes. Ce sont les couches de sécurité d’entreprise qui permettent

Le secteur avait besoin d’un point de référence

Dans tout secteur technologique en évolution rapide, l’une des choses les plus difficiles est de prendre suffisamment de recul pour définir les bonnes pratiques. La pression liée à la nécessité de lancer des produits, de rester compétitif et de répondre à la demande des clients va à l’encontre de la réflexion méthodique et indépendante des fournisseurs qui permet d’élaborer des cadres durables.
Les entreprises qui ont collaboré à ce livre blanc — F5, AWS et Microsoft — travaillent avec un large éventail d’entreprises parmi les plus grandes et les plus avancées au monde, qui adoptent l’IA à grande échelle. Nous observons les schémas de menaces, les échecs de déploiement, les lacunes en matière de gouvernance et les cas limites auxquels la plupart des fournisseurs ne sont jamais confrontés.

L’association de cette connaissance approfondie des réalités du terrain et de la rigueur de NSS Labs en matière de méthodologie de test indépendante nous a fourni les bases nécessaires pour élaborer un outil que nous espérons véritablement utile. Il ne s’agit pas d’un argumentaire commercial, mais d’un cadre destiné aux professionnels, conçu par des personnes qui travaillent chaque jour sur ces problématiques.

Je remercie toutes celles et ceux qui ont consacré leur temps et leur expertise à la réalisation de ce projet.

Le travail à venir

Les normes ne sont utiles que si elles sont adoptées. Nous espérons que ce cadre deviendra une référence sur laquelle les entreprises pourront s’appuyer pour évaluer les solutions de sécurité de l’IA qu’elles envisagent.

Les acheteurs qui comprennent en quoi consistent des tests rigoureux prendront des décisions d’achat plus éclairées, et nous espérons que cette exigence contribuera à faire progresser l’ensemble de la communauté de la cybersécurité.

L’IA ne ralentit pas. La surface d’attaque ne se réduit pas. Et l’écart entre le déploiement de l’IA et la responsabilité en matière d’IA ne va pas se combler de lui-même.

Vous pouvez consulter le livre blanc de NSS Labs en deux parties ici. Nous vous invitons également à lire notre communiqué de presse annonçant cette collaboration.

À propos de l’auteur

Ian LauthDirecteur du marketing produit, IA | F5

Autres articles de Ian Lauth