Le monde doit agir pour éviter une catastrophe cybernétique

Il était censé être le « mois de sensibilisation à la cybersécurité ». Les experts l’appellent désormais « Octobre Noir ». Au cours des dernières semaines, le flux habituel d’attaques informatiques et de défaillances que les ingénieurs doivent constamment contenir s’est transformé en un torrent. La cause en est l’intelligence artificielle, qui a considérablement amplifié les comportements malveillants en ligne. Les modèles d’IA open source ont permis aux attaquants d’opérer avec une efficacité, une compétence et une persistance inhumaines. En conséquence, en quelques jours, des failles critiques équivalentes à des années de vulnérabilités ont été exposées.

Ces failles vont de l’impactant au ridicule. Les ingénieurs se sont empressés de corriger une vulnérabilité dans PHP, un langage de programmation largement utilisé, qui permettait aux attaquants de prendre le contrôle de n’importe quel ordinateur l’utilisant. Des congélateurs de supermarchés à travers l’Europe se sont éteints en suivant les instructions de cybercriminels. Il a également été révélé qu’un certificat de sécurité internet crucial possédait une clé privée de « 4 », alors qu’il aurait dû en contenir cent chiffres. Personne ne sait quelles failles auraient pu être découvertes et exploitées en secret.

Ces événements ont été édifiants pour de nombreux commentateurs, y compris ce journal, qui espéraient que la perturbation causée par l’IA dans la cybersécurité serait de courte durée et que la technologie elle-même aiderait davantage ceux qui défendent les systèmes numériques qu’elle ne faciliterait les actions des criminels. Ces espoirs s’estompent. Au contraire, l’infrastructure numérique sur laquelle repose la vie moderne semble de plus en plus vulnérable à l’IA. Des mesures urgentes sont nécessaires pour la défendre.

Pourquoi les défenseurs ont-ils des difficultés ? La première raison est que beaucoup d’entre eux ne disposent pas des outils les plus avancés. En avril, Anthropic, un créateur de modèles de premier plan, a lancé « Project Glasswing », un club sur invitation uniquement offrant un accès à toutes les capacités cybernétiques de ses modèles de pointe. Son intention initiale était d’élargir largement la base de membres. OpenAI a lancé un programme similaire avec la promesse de démocratiser l’accès à ses outils.

Cependant, l’accès à une IA puissante est devenu une question géopolitique. Les deux créateurs de modèles ont désormais besoin de l’approbation du gouvernement fédéral américain avant d’admettre de nouveaux membres dans leurs clubs, ce qui a transformé leur expansion en un processus politique douloureux. Pendant ce temps, ceux qui se trouvent à l’extérieur des portes doivent se défendre avec les mêmes outils open source qui alimentent les attaques. Certains sont piégés dans un no man’s land : incapables d’accéder à la technologie américaine, mais également craignant d’utiliser des alternatives chinoises.

Le deuxième problème est que, lorsque l’IA est utilisée de manière bénigne, elle crée un problème de tir ami. Dès qu’un « correctif » pour une vulnérabilité nouvellement identifiée est publié, les modèles d’IA des pirates peuvent l’examiner. Cela peut révéler exactement quelle était la faiblesse et comment l’exploiter sur des systèmes qui n’ont pas encore été corrigés. Si les défenseurs ont vraiment de la malchance —comme c’est arrivé avec PHP—, le correctif peut fuiter avant sa publication, permettant aux défenseurs de l’utiliser pour corriger leur code. Les attaquants peuvent alors agir contre des systèmes qui restent sans défense.

Un dernier problème est que les attaquants peuvent exploiter des vulnérabilités banales plus rapidement et à une plus grande échelle. La cybersécurité ne consiste pas seulement à disposer, en théorie, de systèmes solides, mais à éviter la négligence dans la pratique. Malheureusement, l’IA a facilité l’exploitation de l’imprudence humaine sans rendre les utilisateurs d’ordinateurs plus prudents. Un réfrigérateur connecté à Internet exécutant un logiciel obsolète ou utilisant un mot de passe par défaut constitue un risque de sécurité depuis des décennies. Cependant, ce n’est que maintenant que les attaquants ont découvert à quel point il est facile d’automatiser la recherche et l’exploitation des points faibles, en exécutant des milliers d’attaques en parallèle.

Les entreprises et les gouvernements doivent agir avec détermination face à ces menaces. Créer un déséquilibre dans l’armement cybernétique est crucial. Avec une puissance de feu égale, les défenseurs dépendent d’un avantage naturel étroit : ils ne doivent que trouver et corriger des vulnérabilités individuelles, des problèmes isolés qui, en théorie, pourraient aider à créer une brèche. Les attaquants, en général, ont besoin de connaître toute une chaîne de ces vulnérabilités pour pénétrer dans un système.

Maintenant que les attaques pilotées par l’IA se multiplient, cet avantage est trop étroit. Les défenseurs ont besoin d’un arsenal plus large. Le gouvernement américain devrait adopter une attitude plus permissive concernant l’adhésion aux programmes de cyberdéfense ou, du moins, approuver plus rapidement les nouveaux membres. Il serait également préférable que les capacités des attaquants restent plus en retard par rapport à la frontière technologique. Le gouvernement chinois a reconnu l’insensé de distribuer de puissantes armes cybernétiques à tous et exige des laboratoires qu’ils limitent le potentiel destructeur des systèmes nouvellement lancés.

Les organisations qui n’utilisent pas encore systématiquement l’intelligence artificielle pour détecter et combler les failles de sécurité ont pris du retard et doivent rattraper leur retard. Certaines entités ont besoin de davantage d’aide. Aux États-Unis, des initiatives telles que le « Project Watershed 250 » au Texas orientent des ressources vers les fournisseurs d’infrastructures pour les aider à poser les bases. Ces efforts devraient être étendus. À long terme, l’industrie du logiciel pourrait être en mesure de vérifier formellement une partie du code et ainsi démontrer qu’il est impossible à pirater, de la même manière qu’un mathématicien démontre un théorème.

Le commerce, les infrastructures et les relations humaines dépendent désormais du postulat que l’internet est sûr. Une perte soudaine de cybersécurité constituerait donc une menace grave pour la société. La sensibilisation à la cybersécurité a augmenté au cours du dernier mois. Des mesures doivent suivre.