Lorsque le Centre national de cybersécurité (NCSC) a publié son premières prédictions autour de l'IA En 2024, la communauté de la cybersécurité a connu un moment de grande actualité. L'analyse a permis de mesurer la menace à court terme liée à l'utilisation malveillante de cette technologie. L'avertissement selon lequel l'IA « augmenterait très certainement le volume et l'impact des cyberattaques au cours des deux prochaines années » a constitué un signal d'alarme pour de nombreux défenseurs des réseaux.
Après avoir constaté la réalisation de nombreuses prédictions du NCSC, la communauté n'a plus d'excuses maintenant que l'agence a publié son évaluation de suivi. Les experts affirment que les organisations doivent prendre des mesures dès maintenant pour éviter de se retrouver dans une situation où la fracture numérique se creuse entre celles qui sont capables de faire face à la menace et celles qui en sont incapables.
Ce que dit le NCSC
Le rapport du NCSC Une fois de plus, la lecture est sombre. L'article prévient que l'IA continuera de rendre les cyberintrusions plus efficaces et efficientes, et qu'un nombre croissant d'acteurs malveillants auront accès à ces outils au cours des deux prochaines années. Il ajoute que l'utilisation croissante de l'IA par les organisations, en particulier les fournisseurs d'infrastructures critiques (ICN), élargira également considérablement leur surface d'attaque.
Voici ces évaluations plus en détail :
1. Une augmentation de la « fréquence et de l’intensité » des cybermenaces
Les acteurs malveillants utilisent déjà l'IA pour améliorer la reconnaissance, la recherche de vulnérabilités et le développement d'exploits (VRED), l'ingénierie sociale, la génération de logiciels malveillants de base et l'exfiltration de données. Cela augmentera le volume et l'impact des intrusions au cours des deux prochaines années, plutôt que de déclencher de nouvelles attaques. Le VRED assisté par l'IA sera probablement le cas d'utilisation le plus significatif.
2. De plus en plus d'acteurs malveillants utilisent l'IA
L'utilisation criminelle de l'IA augmentera d'ici 2027, à mesure qu'elle sera intégrée à un plus grand nombre de produits. Les acteurs malveillants parviendront à contourner les barrières intégrées aux modèles légitimes et aux outils de test d'intrusion basés sur l'IA pour les déployer dans des offres « as-a-service », offrant ainsi un avantage aux acteurs novices.
3. L'automatisation arrive
Une « cyberattaque avancée, entièrement automatisée et de bout en bout » est peu probable avant 2027. Cependant, les acteurs malveillants expérimenteront l'automatisation de certains éléments de la chaîne d'attaque. Il s'agira notamment d'identifier et d'exploiter les vulnérabilités et de mettre à jour rapidement les logiciels malveillants et l'infrastructure pour échapper à la détection. Cela rendra l'identification, le suivi et l'atténuation des menaces plus difficiles sans IA.
4. Une menace zero-day croissante provenant d'acteurs avancés
Des acteurs qualifiés capables de « peaufiner » les modèles d’IA ou de construire des « systèmes d’IA souverains » les utiliseront pour concevoir des exploits zero-day, rendant les systèmes critiques plus vulnérables d’ici 2027.
5. L'IA élargit la surface d'attaque des entreprises
L'IA est de plus en plus connectée aux systèmes d'entreprise (y compris aux technologies opérationnelles) et aux données. Cela présente un risque croissant lié à l'injection directe d'informations, aux vulnérabilités logicielles, à l'injection indirecte d'informations et aux attaques de la chaîne d'approvisionnement. Ces techniques permettent déjà d'exploiter l'IA pour un accès plus large aux systèmes.
Les développeurs d'IA peuvent aggraver ces risques en commercialisant à la hâte des produits non sécurisés qui collectent de vastes ensembles de données, augmentant ainsi le risque de démasquer les utilisateurs lors d'attaques ciblées. D'autres problèmes de sécurité peuvent également survenir :
- Cryptage faible (rendant les données vulnérables à l'interception)
- Mauvaise gestion et stockage des identités (augmentant le risque de vol d'informations d'identification)
6. La cybersécurité à grande échelle devient essentielle
Alors que de plus en plus d'acteurs malveillants utilisent l'IA pour exploiter les systèmes VRED à grande échelle et réduire encore le délai entre la divulgation et l'exploitation, les systèmes CNI et OT seront de plus en plus exposés. Une « fracture numérique » pourrait se creuser entre les systèmes capables de gérer cette menace induite par l'IA et un nombre plus important de systèmes plus vulnérables.
Le bon côté de la fracture
« De part et d'autre, l'automatisation permet de gagner du temps et d'accroître la productivité. Cependant, les acteurs malveillants sont souvent les plus rapides à identifier les avantages des avancées technologiques », prévient Andy James, PDG de MSSP Custodian360.
Nous entrons dans un monde où certaines organisations pensent disposer de contrôles et de protections adéquats, tandis que d'autres savent qu'elles ne les ont pas, mais sont prêtes à accepter les risques. En réalité, aucune d'elles ne sait si ses contrôles sont adéquats et la ruée vers l'exploitation de ces faiblesses ne fera que s'accentuer.
Il explique à ISMS.online qu'une meilleure formation et sensibilisation du personnel aidera les utilisateurs à repérer les tentatives d'ingénierie sociale utilisant l'IA, même si celles-ci gagnent rapidement en sophistication. Les menaces décrites par le NCSC devraient également inciter à une plus grande adoption du Zero Trust dans les entreprises, soutient James.
Ruth Wandhöfer de la Centre de politique de cybersécurité et de résilience des entreprises (CSBR)) ajoute que les organisations devraient abandonner les outils obsolètes comme le SIEM et les outils inefficaces comme les pare-feu, et adopter de manière proactive des « renseignements sur les menaces directes » (DTI) alimentés par l'IA.
« Contrairement aux renseignements généraux sur les cybermenaces (CTI), qui vous fournissent un amas de données comprenant inévitablement des tas de faux positifs et de points de données non pertinents, le DTI fournit aux organisations des renseignements sur les menaces fondés sur des preuves, spécifiquement conçus pour votre organisation en particulier », explique-t-elle à ISMS.online.
Dans les meilleures conditions, cette technologie offre un système sophistiqué où l'IA et l'apprentissage automatique analysent les schémas d'attaque et assurent une surveillance des menaces en temps réel. Cette DTI spécifique à l'entreprise est organisée et automatiquement intégrée à sa pile de sécurité, agissant comme une couche de défense automatisée contre les menaces entrantes.
Il s’agit de prévenir les attaques avant qu’elles ne puissent avoir un impact sur une organisation, en profilant les adversaires, leur infrastructure et leurs TTP.
« Cela est encore plus critique dans le contexte des exigences réglementaires croissantes pour les postures de cybersécurité des organisations et de celles des tiers, comme dans DORA et NIS 2 », ajoute Wandhöfer.
En ce qui concerne l’IA comme cible : elle conseille aux organisations de développer des solutions telles que des modèles de langage de grande taille (LLM) en interne plutôt que de connecter des systèmes internes sensibles à des solutions d’IA open source externes.
« En termes d'extension des surfaces d'attaque de l'IA, l'essor de l'IA agentique est une autre réalité à risque imminente », prévient Wandhöfer. « L'IA agentique peut être piratée, infectée par des logiciels malveillants pour extraire des données ou effectuer des activités frauduleuses, et bien plus encore. »
Une grâce salvatrice pour les équipes informatiques sous-équipées pourrait être une meilleure collaboration au sein de la communauté de sécurité.
« Avec l’adoption définitive de la loi sur l’utilisation et l’accès aux données, on espère qu’un meilleur partage de renseignements entre l’industrie et le secteur public, et entre les secteurs verticaux de l’industrie, atténuera l’impact de l’IA malveillante », conclut-elle.
En attendant, les responsables informatiques et de la conformité seraient bien avisés de garder un œil sur les derniers développements et de commencer à intégrer sérieusement les menaces liées à l’IA dans leur planification des risques.
