Je suis ravi de vous présenter ma nouvelle série de podcasts, « Le RSSI mondial : par des défenseurs, pour des défenseurs ». Je suis RSSI depuis plus de 20 ans et j’occupe aujourd’hui le poste de RSSI de terrain chez F5. L’expérience est le meilleur des professeurs, mais son enseignement peut coûter cher. C’est pourquoi je lance cette série de podcasts afin d’examiner comment les RSSI et les DSI peuvent mieux s’adapter au rythme effréné des évolutions technologiques dans le monde et se préparer aux défis de demain en matière de sécurité de l’information.
F5 accompagne plus de 23 000 entreprises clientes dans plus de 170 pays, parmi lesquelles les plus grandes banques, les plus grands constructeurs automobiles et les plus grands opérateurs de télécommunications au monde. L’année dernière, j’ai parcouru près de 480 000 kilomètres pour travailler avec certaines des organisations les plus complexes au monde. C’est fort de cette expérience que j’analyse, dans cette série de podcasts, les principales tendances actuelles en matière de sécurité de l’information, de conformité et de gestion des risques. Je vais expliquer ce qui fonctionne et ce qui ne fonctionne pas, ainsi que la manière dont les RSSI et les DSI peuvent tirer parti de la révolution de l’IA pour prospérer dans un monde en constante évolution.
Écoutez maintenant
Voici quelques-uns des enseignements à retenir de mon premier épisode :
Soyez attentif à l’idéologie dans les modèles d’IA nationaux
En matière de leadership mondial dans le domaine de l’IA, les États-Unis et la Chine rivalisent pour asseoir leur domination à l’échelle mondiale et leur influence dans les pays du Sud. Toutefois, les deux nations intègrent des contraintes idéologiques à leurs piles technologiques d’IA. Le plan d’action américain sur l’IA repose sur une orientation géopolitique qui conduit le National Institute of Standards and Technology (NIST) des États-Unis à retirer de son cadre de gestion des risques des sujets tels que le changement climatique, la diversité, l’équité et l’inclusion (DEI), ou encore la désinformation. La pile technologique d’IA officielle de la Chine, présentée comme open source (alors que seuls les poids sont réellement ouverts) et facilement accessible aux pays du Sud, est conçue pour rester fidèle aux principes socialistes.
Je pense que les éléments idéologiques intégrés à ces modèles d’IA et aux piles technologiques qui les sous-tendent pourraient freiner leur adoption. Par exemple, les actuaires du secteur de l’assurance voudront-ils s’appuyer sur les modèles d’IA américains pour évaluer et prévoir les risques liés aux dommages aux biens si ceux-ci n’intègrent pas de données sur le changement climatique ? En quoi le respect des principes socialistes apporte-t-il une valeur ajoutée si l’on utilise les modèles d’IA chinois pour analyser les marchés financiers ? Je pense que de nombreuses organisations internationales préféreront éviter les modèles d’IA fondés sur des partis pris dictés par une recherche de pureté idéologique.
L’UE pourrait bien être l’outsider qui tirera parti de la rivalité idéologique entre les États-Unis et la Chine en matière d’IA. Elle n’est pas nécessairement le plus grand innovateur mondial dans ce domaine, mais les entreprises technologiques européennes accomplissent un travail remarquable, et la France compte certains des meilleurs mathématiciens de la planète. L’approche de l’UE en matière d’IA cherche à éviter les biais idéologiques et privilégie plutôt la gestion et l’acceptation des risques, ainsi que de lourdes sanctions à l’encontre des entreprises qui déploient l’IA de manière jugée irresponsable. Il ne faut donc pas encore écarter l’UE de la course.
À retenir : Les responsables technologiques doivent choisir avec beaucoup de prudence et de discernement les modèles d’IA et les piles technologiques qu’ils adoptent, car ces décisions initiales auront des conséquences à long terme et pourraient entraîner des coûts de sortie élevés. Quoi qu’il en soit, il faut s’attendre à ce que l’adoption de modèles ouverts continue d’être encouragée dans tous les domaines.
Attendez-vous à une forte hausse de la fraude
Sam Altman, PDG d’OpenAI, a récemment évoqué sur scène l’augmentation spectaculaire des fraudes commises à l’aide de systèmes d’IA. Ce constat correspond également à notre expérience chez F5. Nous affirmons depuis longtemps que la plupart des tests de Turing automatisés et des CAPTCHA ne sont plus pertinents, et qu’ils sont particulièrement inefficaces face aux bots avancés. Mais je pense que les équipes de défense ont été prises au dépourvu en constatant avec quelle facilité un agent ChatGPT peut contourner les restrictions des CAPTCHA.
Nous constatons également une forte augmentation de la fraude vocale, les agents d’IA étant désormais capables d’adopter des accents locaux très convaincants et de donner l’impression qu’ils habitent juste à côté. Nous avons observé une hausse d’environ 2 400 % des fraudes perpétrées à l’aide de l’IA, notamment par hameçonnage via messagerie vocale et SMS, ingénierie sociale, hypertrucages et courriels indésirables de plus en plus convaincants qui exploitent la crédulité humaine.
Préparez-vous, car nous allons assister à une forte augmentation des fraudes facilitées par l’IA. C’est là que se trouve l’argent, et c’est donc là que se dirigent les criminels.
À retenir : L’IA décuple la fraude, et les défenses traditionnelles telles que les CAPTCHA sont devenues obsolètes. Les RSSI doivent donner la priorité à la formation des employés et à des stratégies de sécurité adaptatives fondées sur l’IA afin de contrer des escroqueries assistées par l’IA toujours plus convaincantes sur les canaux vocaux, textuels et les réseaux sociaux.
Ajoutez « Sécurisation de l’inférence » à votre fiche de poste
Les RSSI ont déjà de nombreuses responsabilités. Nous sommes chargés de protéger et de sécuriser les données, les e-mails, les applications, les périmètres, l’edge, les réseaux et les appareils. Désormais, nous allons également devoir prendre en charge la sécurité de l’inférence.
En effet, l’inférence constitue la nouvelle surface d’attaque. Elle est désormais directement liée à des décisions qui ont une incidence sur l’activité, les finances, la conformité et la réputation, et les acteurs malveillants peuvent exploiter les moteurs d’inférence au moyen de diverses attaques, notamment l’injection de prompts et la manipulation de modèles. Les RSSI doivent désormais sécuriser non seulement l’infrastructure qui entoure l’IA, mais aussi le processus décisionnel de l’IA lui-même, car l’inférence représente à la fois un nouveau vecteur d’attaque et une fonction métier critique.
Une nouvelle méthode de manipulation de l’inférence est l’attaque par « chambre d’écho ». Il s’agit d’une forme d’injection de prompt qui consiste à élaborer une série de prompts suggérant progressivement une réponse non autorisée, sans jamais demander directement au modèle de générer un contenu non autorisé. Cela revient en quelque sorte à manipuler psychologiquement le grand modèle de langage (LLM) au moyen de petites suggestions réparties sur une série d’échanges, qui amènent les modèles à contourner eux-mêmes leurs restrictions ou leurs mécanismes de contrôle.
Ces attaques par « chambre d’écho » sont efficaces dans environ 80 à 90 % des cas. Est-ce donc désormais au RSSI de sécuriser l’inférence ? Si ce n’est pas le cas, qui d’autre dans l’organisation assumera cette responsabilité ?
À retenir : L’inférence s’impose comme une nouvelle surface d’attaque critique, et les RSSI doivent élargir leur mission afin de sécuriser le processus décisionnel de l’IA lui-même. À mon avis, si votre intitulé de poste comporte les mots « responsable » et « sécurité », cela finira par devenir votre problème, que ce soit reconnu aujourd’hui ou non. Autant vous y mettre dès maintenant.
La Chine a-t-elle une longueur d’avance dans le domaine de l’IA ?
Je pense que la Chine a peut-être effectivement une longueur d’avance dans le domaine de l’IA, même si tout dépend des critères retenus. Je passe beaucoup de temps en Asie et j’ai discuté avec de nombreuses personnes qui y vivent et y travaillent. Il me semble que la Chine bénéficie d’une avance initiale lorsqu’il s’agit de mettre concrètement l’IA au service d’applications utiles. Elle ne dispose peut-être pas des modèles les plus imposants jamais développés, mais ceux qu’elle possède sont réellement utilisés pour résoudre des problèmes liés aux chaînes d’approvisionnement, réacheminer des expéditions et remplir d’autres fonctions concrètes et utiles.
Je pense qu’il n’y a aucun mal à disposer du meilleur modèle à 200 quadrillions de paramètres, si c’est ce que l’on souhaite développer. Mais à l’heure actuelle, aux États-Unis comme en Europe, je constate un écart assez considérable — pour reprendre une analogie avec les courses d’accélération — entre le fait de développer toute cette puissance et celui de parvenir à la transmettre au sol.
Le plan d’action américain sur l’IA accorde une très grande priorité au développement énergétique ainsi qu’à la construction d’usines d’IA et de centres de données dédiés à l’IA. Les investisseurs injectent des sommes colossales dans ce secteur, mais nous ne semblons pas produire de valeur concrète. Mentionner les récentes études très médiatisées montrant que peu de programmes d’IA génèrent de la valeur pour les entreprises à ce stade de l’adoption de l’IA, ce qui permet d’enchaîner naturellement sur la phase du « gouffre des désillusions » dans l’adoption des nouvelles technologies.
Une partie du problème tient au fait que ce n’est pas parce que les États-Unis disposent des modèles d’IA les plus grands et les plus puissants qu’ils les utilisent pour obtenir des résultats commerciaux significatifs. Par ailleurs, les avantages concurrentiels durables sont très rares dans le domaine de l’IA. Disposer du plus grand modèle ne procure qu’un avantage concurrentiel temporaire, qui ne durera pas éternellement.
À retenir : La Chine pourrait globalement avoir une longueur d’avance dans le domaine de l’IA, non pas en développant les plus grands modèles, mais en les appliquant rapidement à des problèmes concrets — tandis que les États-Unis et l’Europe risquent de se laisser distancer en privilégiant davantage la taille que l’impact pratique. La Chine dispose également de capacités de production électrique bien supérieures à celles des États-Unis, et ce problème ne pourra pas être résolu rapidement par les Américains. Il n’y a donc pas d’autre choix que de « forer, encore et toujours », même si nous savons tous que ce n’est pas viable à long terme : telle est la « logique » de la course mondiale.
Votre source incontournable pour garder une longueur d’avance sur les menaces
Nous voulons faire de The Global CISO votre source de référence pour anticiper les menaces et les tendances qui façonnent notre secteur et notre avenir. Si vous souhaitez que j’aborde certains sujets, n’hésitez pas à m’envoyer un message ou à me contacter sur LinkedIn.
Abonnez-vous dès maintenant pour ne manquer aucun épisode de The Global CISO: For defenders by defenders sur la plateforme de podcasts de votre choix, et partagez-les avec votre équipe, vos pairs et votre réseau.
Écoutez mon premier épisode, « Maîtriser les API, la sécurité de l’IA et la cryptographie post-quantique ».
N’oubliez pas non plus d’écouter mon deuxième épisode, « Automatiser d’abord : le guide du CTO pour les API, l’observabilité et la responsabilisation des fournisseurs ».
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.