Peser le pour et le contre de ChatGPT en matière de cybersécurité

Maintenant qu'il est devenu évident que les plateformes d'intelligence artificielle (IA) générative telles que ChatGPT constituent un outil de plus dans une longue lignée d'outils qui, du point de vue de la cybersécurité, sont à double tranchant, il est temps de déterminer comment les utiliser au mieux tout en mettant en place des barrières de protection qui, nous l'espérons, limiteront les dommages qui peuvent clairement en résulter.

Un rapport de la Cloud Security Alliance (CSA) se penche sur la menace que représentent les plateformes d'IA générative en matière de cybersécurité, avec notamment des exemples très détaillés illustrant comment les campagnes de phishing gagneront à la fois en sophistication et en nombre, mais aussi comment ces plateformes peuvent être utilisées pour optimiser la reconnaissance, la découverte et l'exploitation des vulnérabilités plus efficacement, et l'écriture de code polymorphe capable de modifier son apparence afin de ne pas être détecté par les scanners.

Le rapport identifie d'autres types d'attaques potentielles préoccupantes :

1.    Injection SQL pour exposer les systèmes internes, les interfaces de programmation d'applications (API) et les sources de données
2.   Questions et requêtes entraînant des réponses massives ou en boucle jusqu'à ce que le service soit à court de jetons
3.   Injection SQL pour obtenir des réponses à des questions sur le produit que le pirate peut utiliser à son avantage
4.   Demandes qui génèrent des réponses juridiquement sensibles liées à la calomnie et à la diffamation
5.   Attaques susceptibles d'injecter des données dans des modèles de formation

En outre, le rapport note que les entreprises doivent établir des politiques pour l'utilisation de plateformes telles que ChatGPT afin de s'assurer que les données contenant des données à caractère personnel (PII) ne sont pas partagées par inadvertance avec un service cloud public. Le rapport souligne que la connexion à la plateforme doit également être sécurisée, car il est toujours possible que le résultat d'une requête ait été modifié avant d'être affiché.

En revanche, les plateformes d'IA générative devraient permettre aux développeurs d'exploiter plus facilement des outils tels que GitHub Copilot pour concevoir des codes plus sécurisés, tout en fournissant aux équipes de cybersécurité un outil qui leur permet de rechercher plus facilement les vulnérabilités outre l'identification des cyberattaques à l'aide du cadre ATT&K de MITRE, améliorant les délais de réponse aux incidents en simplifiant la traque des menaces et en automatisant les playbooks, en analysant les fichiers et le code, en créant des tests, en rédigeant de meilleures politiques, en fournissant aux utilisateurs finaux de meilleurs conseils sur les meilleures pratiques, et même en détectant les codes générés par une plateforme d'IA générative.

OpenAI et Microsoft ont imposé des limites à l'utilisation de ChatGPT.  Par exemple, les requêtes jugées préoccupantes ou identifiées comme des menaces sont laissées sans réponse. Cependant, il est clair que les risques sont encore nombreux. Le légendaire génie de l'IA est sorti de sa lampe et il n'y a aucun moyen de l'y remettre.

Les professionnels de la cybersécurité avertis savent que, quel que soit le degré d'utilisation de l'IA, la prévention est la meilleure arme qui soit. Qu'on le veuille ou non, on assiste à une course à l'armement en matière d'IA dans le domaine de la cybersécurité. Il ne reste plus qu'à déterminer comment la prochaine bataille relative à la cybersécurité sera livrée et gagnée, sachant que ne rien faire équivaut à accepter la défaite.