IA et cybercriminalité

L'intelligence artificielle est désormais omniprésente dans notre environnement et nous en mesurons et en apprécions (en général) les bénéfices quotidiennement. Mais elle a également son côté obscur, dont Avivah Litan, vice-présidente et analyste chez Gartner, nous offre un panorama à l'occasion d'une interview pour Bank Info Security.
Les liaisons dangereuses entre cybercriminalité et intelligence artificielle s'expriment dans deux dimensions distinctes, illustrant la véritable course aux armements que se livrent en permanence « bons » et « mauvais » acteurs. Il s'agit, d'une part, de mettre au point des méthodes permettant de contourner ou dévoyer les solutions défensives déployées dans les entreprises et, d'autre part, d'exploiter directement les technologies disponibles afin d'optimiser les attaques, voire développer de nouvelles approches.
Sur le premier volet, Avivah explique par exemple que les fraudeurs s'organisent pour comprendre le fonctionnement des dispositifs de protection mis en place par leurs victimes : ils émettent des requêtes en grand nombre, l'analyse des réponses les aidant alors à déterminer les profils de détection d'anomalies et, bien sûr, les moyens de les éviter. Pour lutter contre ces pratiques, il faut, en amont, identifier les tentatives de sondage et, en aval, faire évoluer rapidement et dynamiquement les algorithmes.
Mais la fraude n'est pas le seul danger qui guette les entreprises : les risques juridiques et réputationnels, induits par des décisions automatiques incohérentes, sont tout aussi importants. Dans ce registre, il existe d'autres types de menaces à prendre en compte. Tel est le cas des manipulations de données, soit par empoisonnement des sources de référence (cf. l'affaire Tay de Microsoft), soit par déformation des informations transmises (une altération des images soumises à une assurance pour indemnisation…).
Sur le deuxième front, Avivah évoque plus particulièrement les usages de l'IA au service de l'ingénierie sociale. Elle cite notamment une escroquerie dans laquelle l'instigateur d'une fraude au président a eu recours à une imitation logicielle de la voix du dirigeant pour détourner des centaines de milliers de dollars. La sophistication croissante et la démocratisation des systèmes de falsification profonde de vidéo (« deep fake ») laissent entrevoir la multiplication de ces épisodes, surtout avec la généralisation du télétravail.
Face à ces mutations, les mesures de défense doivent elles-mêmes se transformer. Ainsi, aux côtés de la sécurisation des réseaux, de la surveillance des accès (et des comportements sous-jacents)…, il faut dorénavant ajouter de nouveaux remparts, dont, entre autres, les outils de validation de l'intégrité des modèles d'analyse et des bases de données. Ces mécanismes ont, par ailleurs, autant d'utilité dans la lutte contre les malveillances que contre les erreurs des collaborateurs… ou des clients.
Enfin, et dans le prolongement de ce dernier constat, le facteur humain reste une composante essentielle de toute stratégie. La première action à engager, toujours, en vue de réduire les risques et de limiter les conséquences des offensives réussies, consiste à sensibiliser et éduquer les parties prenantes – pas uniquement les équipes spécialisées, mais tous les employés, les partenaires, les clients… – et à maintenir leur vigilance et leurs connaissances à niveau, au fil des progrès des technologies.