L’importance de la gestion des autorisations pour les grands modèles de langage dans les déploiements en entreprise

F5 Newsroom Staff

Les grands modèles de langage (LLM), tels que ChatGPT et Claude, ont fait leur apparition fin 2022 et début 2023, provoquant une prise de conscience massive de la puissance de l’IA. De nombreuses entreprises ont immédiatement perçu le potentiel transformateur de cette technologie, comparable à l’avènement du World Wide Web ou du cloud, et ont cherché à l’exploiter sans vraiment se soucier de la sûreté ou de la sécurité. D’autres entreprises, ne sachant pas comment s’adapter, se sont enfermées dans une hésitation teintée de frustration, tandis que certaines sont simplement restées paralysées.

Depuis leur apparition, les grands modèles de langage (LLM) ont complètement transformé l’écosystème, qu’il s’agisse de la manière dont les organisations planifient leurs stratégies d’investissement et leurs tactiques commerciales, de la refonte de leurs opérations ou de la rédaction de documents juridiques. Les modèles eux-mêmes n’ont cessé d’évoluer, passant de grands modèles de fondation publics, tels que ChatGPT et Bard, à des modèles affinés et adaptés à des secteurs spécifiques, tels que Harvey et BloombergGPT, puis à des organisations qui affinent ou développent de plus en plus de modèles de génération augmentée par récupération (RAG) et, plus récemment, à des modèles internes. Cette évolution récente constitue un phénomène à part entière : ces modèles internes sont entraînés sur des données propriétaires afin d’accomplir des tâches ciblées au sein d’une organisation, d’un service ou d’une équipe.

Le processus RAG consiste à intégrer au modèle des données propres à l’entreprise — par exemple, des documents juridiques, des dossiers du service client ou des campagnes marketing —, à entraîner le modèle à repérer et à analyser des schémas ainsi que d’autres contenus, à procéder par itérations jusqu’à atteindre les seuils de performance requis, puis à utiliser ce modèle aux fins prévues. Le recours à des modèles RAG internes et à des modèles affinés permet de mettre en place des contrôles d’accès fondés sur des politiques (PBAC), afin que seuls les membres du personnel identifiés puissent interagir avec le modèle et ses données. Tout comme les entreprises utilisent Active Directory et d’autres systèmes de gestion des autorisations pour segmenter et contrôler l’accès aux données, l’accès aux informations et aux modèles peut être segmenté par équipe ou par personne, en fonction de la politique de l’entreprise, des besoins opérationnels ou d’autres critères propres à l’organisation. À mesure que l’utilisation des modèles d’IA se généralise dans l’ensemble de l’entreprise, la gestion des autorisations continuera de jouer un rôle important dans les activités opérationnelles et constituera un facteur essentiel de la sécurité des LLM.

• Protection des données sensibles, de la propriété intellectuelle, des documents juridiques, des informations personnelles identifiables (PII) et d’autres contenus confidentiels : cette protection est facilitée lorsque l’accès à ces informations est réservé aux employés ou à d’autres personnes dûment autorisées. Les risques de vol de données diminuent à mesure que les niveaux de sécurité se multiplient. 
• Atteindre, suivre et maintenir la conformité aux réglementations relatives à la confidentialité et à la sécurité des données, aux normes du secteur, notamment en matière de prise de décision automatisée, aux politiques d’utilisation acceptable de l’entreprise, ainsi qu’à d’autres directives, devient plus facile lorsque l’on travaille avec des groupes plus restreints et des exigences ciblées ou diverses. 
• Étant donné que les structures de coûts liées à l’utilisation des modèles continueront de fluctuer avant de se stabiliser, l’allocation des ressources figure parmi les principaux avantages offerts par la gestion des autorisations d’accès aux modèles. Limiter le nombre d’équipes ou d’employés ayant accès à un modèle permet de contrôler efficacement l’utilisation des ressources informatiques et d’adapter au plus juste le nombre de licences, d’abonnements ou de postes pour les modèles, ce qui devient d’autant plus important lorsque plusieurs modèles sont utilisés. 
• La possibilité de personnaliser les actions ou activités des modèles en fonction de cas d’usage spécifiques et/ou de groupes d’utilisateurs simplifie leur fonctionnement, tandis que la possibilité de personnaliser les filtres et la sensibilité des outils d’analyse permet d’obtenir des réponses adaptées aux besoins de l’organisation.

Savoir qu’elles disposent de la capacité de mettre en œuvre un contrôle d’accès robuste fondé sur des politiques (PBAC) pour les modèles d’intelligence artificielle générative (IA générative) constitue un immense soulagement pour les organisations qui peinent encore à déterminer les modèles — et les types de modèles — dont elles ont besoin, ainsi que la manière de les déployer et de les sécuriser à l’échelle de l’entreprise. Cette composante essentielle et bien maîtrisée de l’infrastructure de sécurité d’une organisation limite les vulnérabilités potentielles en matière de sécurité en réduisant au minimum les accès inutiles aux données sensibles et diminue le risque de menaces internes. Les systèmes de gestion des identités et des accès (IAM) et les outils de gestion des rôles qui centralisent l’authentification, l’autorisation et l’audit des utilisateurs sont essentiels à une mise en œuvre efficace du PBAC. 

Cependant, le risque de prolifération technologique, qui survient lorsqu’un trop grand nombre d’applications et d’appareils au sein d’un système s’intègrent mal, voire pas du tout, doit également être pris en compte, car il peut créer des vulnérabilités là où il n’y en avait peut-être aucune. Le déploiement d’une solution complète de sécurité des LLM, telle que F5 AI Runtime Security, qui fait office de couche de confiance globale et couvre tous les modèles utilisés dans l’ensemble de l’entreprise, constitue le chaînon manquant d’un déploiement classique de plusieurs LLM. Notre solution unique, indépendante des modèles et évolutive n’alourdit pas l’infrastructure et s’intègre parfaitement aux dispositifs de sécurité existants. Elle permet également de gérer avec précision les autorisations des groupes et des individus dans toute l’entreprise, sans augmenter les coûts de calcul ni accroître la latence des modèles. 

À mesure que l’utilisation de modèles avancés d’IA générative, tels que les LLM, se généralise et se diversifie au sein des organisations, la sécurité doit être intégrée dès les premières étapes du déploiement. La gestion des autorisations au moyen de l’IAM et du PBAC doit être considérée comme une priorité essentielle pour atténuer les risques tout en renforçant la productivité, l’innovation et l’avantage concurrentiel.

À propos de l’auteur

F5 Newsroom Staff

Autres articles de F5 Newsroom Staff