Cybersécurité : l'IA ouvre un âge sombre, selon un expert
D'après The Verge - Decoder : AI broke the cybersecurity world. What's next? (Alex Stamos), relayé par The Verge AI
Image : générée (Gemini)
Rédigé à partir du média cité; chaque fait est vérifié contre le texte source.
À retenir
- Selon Stamos, l'IA inverse la logique de l'attaque : un système peut trouver les failles et écrire le code d'attaque presque en temps réel. Et pour l'attaquant, le coût par jeton de calcul tend vers zéro, alors que défendre reste cher.
- Il prévient que les choses vont empirer avant de s'améliorer. Il parle d'un âge sombre, surmontable selon lui, mais sans donner d'échéance et sans promettre une sécurité parfaite un jour.
- Son conseil aux organisations : se tester soi-même avant les pirates (red teaming) sans attendre, et, pour du vieux code truffé de bogues, envisager de le réécrire à partir de tests plutôt que de corriger bogue après bogue.
- Il décrit la vulnérabilité des organisations à la petite équipe de sécurité et TI : même une entreprise de bonne taille, avec un seul responsable de la sécurité et une dizaine de personnes en TI, peine selon lui à tenir tête à des groupes de rançongiciel organisés.
- S'il faut confier la défense à des agents d'IA, il insiste pour qu'ils aient des limites strictes et prédéfinies, avec une validation humaine au-delà d'un seuil, pour qu'un agent qui déraille ne paralyse pas tout.
Pourquoi ça compte
La cybersécurité ne concerne plus seulement les géants de la techno : si l'attaque devient quasi gratuite et automatisée, l'enjeu s'étend, selon lui, aux organisations ordinaires qui dépendent de logiciels. Reste qu'il s'agit ici de l'avis d'un spécialiste dans une entrevue, pas de données vérifiées. Stamos dirige aussi la sécurité d'une entreprise qui vend des outils d'IA, un intérêt à garder en tête, et la plupart des chiffres qu'il avance sont ses propres estimations.
Chiffre-clé
Pour Stamos, la sécurité des logiciels ne représente qu'environ 25 % de son propre travail, même à la tête de la sécurité d'une entreprise de logiciels : tout le reste, la sécurité des opérations au quotidien, a peu profité de l'IA jusqu'ici.
Citation
« Nous n'avons jamais été en sécurité. Tout cela n'était qu'une illusion. » Alex Stamos, directeur de la sécurité chez Cognition (traduit de l'entrevue au balado Decoder)
Ce que ça change au Québec
🇨🇦 Rien dans cette entrevue ne porte sur le Québec ni sur la Loi 25. Ce que Stamos décrit : les organisations à la petite équipe de sécurité et TI peinent à tenir tête aux groupes de rançongiciel, et il conseille de se tester soi-même sans attendre d'être visé. Il raconte aussi avoir demandé à ses parents de l'appeler s'ils reçoivent une vidéo de leurs petits-enfants disant avoir été enlevés. Adaptation de la rédaction pour les organisations d'ici : le même réflexe de rappel vaut pour toute demande d'argent urgente, à vérifier à un numéro déjà connu avant de payer.
Action concrète
Ce que Stamos recommande : se tester soi-même avant les pirates (red teaming) et corriger les bogues de façon automatisée plutôt qu'à la main. Il raconte aussi avoir appris à ses parents à l'appeler s'ils reçoivent une vidéo de leurs petits-enfants disant avoir été enlevés. Adaptation pratique de la rédaction : devant toute demande d'argent urgente par message, appel ou vidéo, rappelez vous-même la personne à un numéro déjà connu avant de payer.
Repères datés
D'après un média relais
