La gouvernance de l’IA face à la montée des cybermenaces
Les attaques contre la chaîne d’approvisionnement logicielle sont de plus en plus fréquentes, et l’intelligence artificielle (IA) réduit l’écart entre les hackers et les organisations. Les récentes méga-attaques contre les dépôts npm et PyPI, ainsi que la fuite de données liée au modèle IA « Mythos », mettent en lumière la nécessité d’une réflexion approfondie sur la gouvernance, la conformité et l’application des règles pour rendre l’IA digne de confiance.
Deux attaques majeures ont eu lieu avec seulement sept jours d’intervalle, affectant environ 180 millions de téléchargements hebdomadaires. Le 24 mars, le package Python LiteLLM, utilisé par des millions de développeurs pour interagir avec des modèles d’IA, a été compromis sur PyPI. Les attaquants, faisant preuve d’une intelligence tactique, ont ciblé un scanner de sécurité dans le pipeline CI du package, dérobant des identifiants qui leur ont permis de publier des versions malveillantes. Ces versions collectaient silencieusement des clés SSH, des secrets Kubernetes et des tokens API sans laisser de traces visibles.
Une semaine plus tard, c’était au tour du package npm Axios, la bibliothèque JavaScript la plus utilisée pour les requêtes HTTP, d’être compromis. L’attaquant a utilisé un compte mainteneur compromis pour installer une backdoor sophistiquée, marquée par un historique de versions propre et une obfuscation avancée. Ce n’était pas un acte opportuniste, mais une démonstration d’intelligence offensive.
Ces incidents révèlent une transformation structurelle de la menace. Selon ZeroDayClock.com, le délai médian entre la divulgation d’une vulnérabilité et son exploitation active a chuté de plus de 700 jours en 2018 à environ 6 jours en 2023. En 2026, ce délai pourrait être mesuré en heures, avec près de 70 % des failles exploitées étant des zero-days avant toute divulgation publique.
Les systèmes d’alerte traditionnels, conçus pour protéger les défenseurs, sont désormais dépassés. Les renforts arrivent souvent après l’attaque, une réalité que les responsables de la sécurité des systèmes d’information (RSSI) doivent prendre en compte.
Récemment, des informations sur le modèle IA « Claude Mythos » d’Anthropic ont été divulguées par inadvertance. Ce modèle, décrit comme un « changement radical » en matière de performances, soulève des préoccupations quant à ses implications pour la cybersécurité. Anthropic a indiqué qu’elle se concentre sur l’évaluation des risques de cybersécurité avant toute mise à disposition générale, craignant une utilisation malveillante.
L’IA transforme la cybersécurité, rendant les modèles plus puissants et rapides dans l’identification des vulnérabilités. Cependant, cette puissance est symétrique : un défenseur utilisant l’IA pour détecter une faille peut également être confronté à un attaquant exploitant la même technologie pour découvrir et tirer parti de ces vulnérabilités.
La réponse à ces défis ne réside pas dans un rejet de l’open source, mais dans l’application de politiques rigoureuses au point d’ingestion des composants tiers. La surface d’attaque ne se limite pas au code développé en interne, mais inclut également les bibliothèques et frameworks utilisés.
Face à cette réalité, une gouvernance proactive devient essentielle pour protéger la chaîne logicielle. L’application de politiques cohérentes et d’intelligence adaptative est cruciale pour maintenir la sécurité dans un monde technologique en constante évolution.
Source : Shlomi Ben Haim, CEO & Co-founder, JFrog.
