À mesure que j’approfondis notre étude annuelle, plusieurs conclusions incontournables s’imposent à moi, en grande partie sous l’effet de l’impact de l’IA sur… eh bien, absolument tout.
L’une de ces conclusions incontournables est qu’il est temps que le WAAP passe de la « protection des applications web et des API » à la « protection du web, des API et de l’IA ».
J’ai dit ce que j’ai dit.
De nombreuses raisons justifient cette affirmation, la première étant que les termes « web » et « application » sont redondants. Bien que les estimations puissent varier selon la méthodologie et la période considérée, plusieurs sources du secteur indiquent qu’environ 80 % du trafic Internet est acheminé via les protocoles HTTP (notamment HTTP et HTTPS). Par exemple, les rapports du Cisco Visual Networking Index (VNI) et des analyses similaires réalisées par des réseaux de diffusion de contenu tels qu’Akamai indiquent systématiquement que le trafic web — principalement transmis via HTTP/HTTPS — représente la grande majorité du trafic Internet mondial.
Tout trafic acheminé via « HTTP/S » est généralement considéré comme une « application » du point de vue des services de diffusion et de sécurité. Que le contenu généré provienne d’une application moderne ou traditionnelle, qu’il soit statique ou dynamique, importe peu au regard de la multitude de services utilisés pour l’acheminer et le sécuriser. Même la part des services d’infrastructure, tels que le DNS, acheminés via HTTP/S est en hausse. Selon les estimations de Cloudflare, environ 10 à 20 % du trafic DNS est aujourd’hui acheminé via HTTPS (DoH) aujourd’hui.
Alors, laissons tomber « application web » et disons simplement « web ».
L’API reste un élément important du WAAP. Le trafic des API ne cesse de croître, et il n’est pas nécessaire de citer toutes les sources qui affirment qu’elles occupent aujourd’hui une place prépondérante. Mais si vous y tenez, dès 2021, le rapport RapidAPI sur l’état des API indiquait que des milliards d’appels d’API étaient effectués chaque mois sur un large éventail de services. Rapportés à un mois (qui compte environ 2,6 millions de secondes), ces chiffres correspondaient à une moyenne de l’ordre de 400 000 appels d’API par seconde dans le monde.
Et c’était il y a quatre ans, avant que l’IA générative ne fasse irruption sur le devant de la scène.
Ce qui nous amène au véritable sujet de cet article : intégrer l’IA au WAAP.
Je sais, je viens de dire qu’il fallait éviter les redondances. Le fait que l’utilisation de l’IA passe presque systématiquement par des API peut donc donner l’impression que cette distinction est superflue. Toutefois, les différences dans la manière dont les services de diffusion et de sécurité doivent traiter des contenus non déterministes, essentiellement textuels, sont suffisamment importantes pour mériter d’être soulignées. Du moins pour l’instant.
En effet, les principaux services de diffusion et de sécurité prévus pour protéger l’inférence de l’IA sont, tenez-vous bien, en grande partie les mêmes que ceux inclus dans le WAAP.
L’utilisation des technologies incluses dans la définition du WAAP pour protéger l’inférence de l’IA est très répandue.
Cela dit, n’oublions pas qu’au cours de l’année écoulée, un nouveau service de sécurité a fait son apparition : la passerelle d’IA. Les passerelles d’IA ajoutent des protections propres à l’IA autour des requêtes et des réponses afin de remédier à certaines vulnérabilités spécifiques à l’IA, telles que l’injection de requêtes, le contournement des garde-fous et même les hallucinations.
L’utilisation actuelle et prévue des passerelles d’IA regroupe les services de diffusion et de sécurité traditionnellement utilisés pour le trafic web et API.
Cela dit, les passerelles d’IA ne suffisent pas à elles seules à protéger les modèles, car les API sont elles aussi exposées à des menaces qui leur sont propres. Par ailleurs, certains composants de la WAAP, comme la gestion des bots et la protection contre les attaques DDoS, sont issus du bon vieux Web (c’est-à-dire le protocole HTTP/S) dont nous avons parlé précédemment.
Mais examinons les données. Car nous avons interrogé les participants sur le déploiement des services de diffusion et de sécurité (évidemment).
Nous avons constaté que 94 % des personnes interrogées déploient les quatre technologies WAAP traditionnelles.
Et le pourcentage de répondants qui déploient les quatre technologies WAAP traditionnelles ainsi qu’une passerelle d’IA est, roulement de tambour, vous l’avez deviné… oui, 94 %.
En d’autres termes, les organisations déploient déjà ces technologies conjointement, car elles savent que la protection des modèles d’IA et des serveurs d’inférence exige de protéger l’ensemble de la pile, de la couche 4 à la couche 7. Cela signifie que les cinq services sont indispensables :
- Pare-feu d’applications web
- Sécurité des API
- Gestion des bots
- Protection contre les attaques DDoS
- Passerelle d’IA
Ma conclusion s’impose donc d’elle-même : le WAAP doit évoluer et ne plus se concentrer uniquement sur les applications et les API, mais aussi intégrer l’IA.
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
Pourquoi devriez-vous vous intéresser à WebAssembly ?
WebAssembly (Wasm) est un jeu d’instructions binaires portable, rapide et sécurisé, qui permet d’exécuter des applications hautes performances sur n’importe quelle plateforme.
Trois choses à savoir sur les applications d’IA
Les applications d’IA sont des applications modernes, mais elles présentent certaines particularités. Découvrez les points essentiels à connaître sur les applications basées sur l’IA.
État des lieux de la stratégie applicative 2022 : il est temps de moderniser les opérations
Il est devenu évident que, pour maintenir la dynamique de leur transformation numérique, les organisations doivent recentrer leurs efforts sur les fonctions métier. Si les expériences destinées aux clients restent prioritaires, il est également indispensable de permettre la numérisation de fonctions telles que les services juridiques, les ressources humaines et la finance. Les DSI prennent donc les commandes, tandis que la transformation numérique passe de la modernisation des applications à celle des opérations.
Clouds multiples ou multicloud : faciliter la transition
La gestion et la sécurisation des charges de travail deviennent complexes à mesure que les entreprises adoptent une stratégie de cloud connecté. Découvrez comment F5 répond au besoin d’une nouvelle approche de la mise en réseau multicloud.
L’expérience client dépend de la visibilité
Une enquête menée par Dimensional Research auprès de plus de 3 000 utilisateurs d’applications mobiles a confirmé ce que beaucoup d’entre nous pensent des attentes actuelles des clients.
Transformation numérique et explosion du portefeuille d’applications
La transformation numérique stimule la croissance des portefeuilles d’applications et modifie la manière dont celles-ci sont développées, déployées, intégrées et, en définitive, utilisées.