L’IA comme prédateur apical dans le monde du développement

Pression évolutive : Un bref aperçu

Avant de plonger dans le vif du sujet, il y a quelques concepts à établir. Le premier est la pression évolutive.

L’évolution n’est pas un choix. Les animaux n’ont pas le choix d’évoluer d’une manière ou d’une autre — leur environnement les force à le faire, ou leur environnement les élimine. Lorsque nous parlons de la façon dont un animal a évolué, ou pourquoi il existe tel qu’il est aujourd’hui, nous ne parlons pas d’une série de décisions conscientes. Nous parlons de mutations aléatoires et de pressions environnementales qui ont poussé une espèce dans une direction ou une autre.

Actuellement, les sociétés de logiciels entrent dans un moment évolutif similaire. Les systèmes d’IA capables d’identifier de manière autonome les vulnérabilités, de générer des exploits et d’accélérer les cyberattaques sont en train de changer la pression sous laquelle les développeurs et les équipes de sécurité opèrent.

L’IA crée désormais la même sorte de pression environnementale pour les sociétés de logiciels. Les modèles capables de découverte autonome de vulnérabilités, de génération d’exploits et d’automatisation d’attaques à grande échelle sont en train de changer le paysage de la sécurité beaucoup plus rapidement que la plupart des organisations ne sont prêtes à le faire.

La pression évolutive spécifique que je veux aborder est le prédateur apical sur Terre en ce moment : les humains. Et la façon dont trois animaux très différents ont répondu à cette pression.

Qui a fait pire : Le wombat géant ou le poulet ?

Le wombat géant

Le wombat géant — je ne me souviens pas du nom exact, mais il vivait en Australie — pesait environ 6 000 livres. Avant l’arrivée des humains, l’Australie était un endroit verdoyant, presque paradisiaque. Souhaitons que nous n’y soyons jamais allés. Ces énormes wombats vivaient largement sans être dérangés. Certains prédateurs les tuaient occasionnellement, mais étant donné leur taille, l’abondance de la nourriture et leur capacité à se reproduire, ils se défendaient contre tout ce que le continent avait à leur offrir.

Puis les humains sont arrivés.

Deux choses se sont produites immédiatement. Premièrement, les humains ont vu une source massive de protéines qui pouvaient nourrir un groupe pendant des semaines — plus longtemps, s’ils pouvaient conserver la viande. Deuxièmement, ils ont commencé à défricher les forêts dont le wombat dépendait, soit en coupant des arbres pour le bois de feu, soit en brûlant de vastes étendues de terre pour chasser les animaux à l’extérieur où ils pouvaient être tués. Les humains sont extrêmement doués pour ce type de destruction coordonnée et efficace.

En très peu de temps — géologiquement parlant, pratiquement du jour au lendemain — les humains ont défriché de grandes parties du continent et ont chassé jusqu’au dernier wombat géant pour l’extirper de l’existence.

Il est important de noter que tous les animaux australiens n’ont pas disparu. Le kangourou, les petits wombats, les koalas et d’autres ont survécu — parce qu’ils étaient suffisamment petits, suffisamment rapides ou suffisamment adaptables pour rester hors de portée. Lorsque les Européens sont arrivés, le continent avait été façonné en quelque chose de dur et impitoyable. Une population humaine plus petite, rustique et adaptée à des conditions extrêmes. Des animaux qui étaient soit très petits, soit très mortels, soit les deux. Comme on le dit : tout en Australie essaie de vous tuer.

C’est la version un.

Le poulet

Maintenant, à sa manière, le poulet est sans doute l’animal terrestre le plus réussi sur Terre. Environ 70 % de la biomasse totale des oiseaux sur la planète est constituée de poulets domestiques. Il y a même des poches où les poulets sont devenus sauvages — sur des îles où ils n’ont pas de prédateurs naturels, comme les îles Caïmans — et ils ont prospéré.

Les poulets ont évolué en quelque chose que les humains trouvent extrêmement utile : ils se reproduisent rapidement, ils grandissent rapidement, ils produisent des œufs. Les humains les nourrissent, les protègent et encouragent activement leur multiplication. Selon presque tous les indicateurs de succès biologique — taille de la population, répartition géographique, accès aux ressources — le poulet gagne.

Sauf, bien sûr, pour la partie où on les mange.

Donc, le poulet a réussi en devenant la nourriture parfaite. Ce n’est pas rien. Mais il y a un plafond à ce type de réussite.

Le chat : La bonne réponse

Il y a un animal qui, je dirais, a presque exactement raison.

Le chat.

Les chats ne sont pas des prédateurs apicaux. Ils ne dominent pas les humains ni ne les attaquent. Mais au lieu d’être écrasés par l’expansion humaine ou de se soumettre aux appétits humains, ils ont fait quelque chose de différent : ils ont coévolué avec nous. Ils se sont rendus utiles en chassant les rats et les petits oiseaux attirés par les établissements humains et, à un moment donné, ils se sont rendus désirables. Ils sont devenus des compagnons.

Le résultat ? Les chats se reproduisent rapidement. Ils ont des sources de nourriture abondantes, soit comme animaux de compagnie, soit comme chasseurs opportunistes autour des habitations humaines. Ils font face à peu de prédateurs sérieux. Ils sont partout où les humains sont.

Et encore une fois, ce n’était pas un choix qu’ils ont fait. Ce n’était pas une stratégie. C’est juste la façon dont la pression évolutive s’est déroulée. Mais le résultat est remarquable : au lieu de lutter contre le prédateur apical, ou de se nourrir du prédateur apical, ils l’ont amitié.

Ce que cela a à voir avec l’IA

Alors, pourquoi cela est-il important ?

L’arrivée de modèles comme Mythos d’Anthropic et Project Glass Wing est, je dirais, l’équivalent du jour où les humains ont débarqué en Australie. Sauf que le calendrier est compressé de manière dramatique. Ce qui a pris des générations pour se produire sur ce continent va se produire en années — peut-être moins.

Il y a beaucoup d’écrits en ce moment sur la façon dont les équipes de sécurité devraient répondre à la menace des attaques de piratage activées par l’IA. Je pense que ce cadrage est une erreur. Ce n’est pas principalement un problème de sécurité. C’est un problème d’ingénierie.

Voici ce qui change : avant cette nouvelle vague d’IA, les défenseurs et les attaquants opéraient dans un monde à enjeux relativement limités. Les attaques se produisaient. Les violations de sécurité se produisaient. Mais le rythme et la sophistication étaient limités par la capacité humaine. Cela a fondamentalement changé. Il y a maintenant des modèles d’IA spécifiquement conçus pour trouver et exploiter des vulnérabilités de manière autonome, à grande échelle, sans fatigue.

La plupart des équipes de développement sont le wombat géant dans cette histoire. Ils ont vécu dans un environnement où oui, il y avait des menaces, mais rien de comparable à cela. Ils ont construit des systèmes qui étaient raisonnablement sécurisés contre les pressions qu’ils ont réellement rencontrées. Ils n’avaient pas rencontré quelque chose de semblable à ce qui arrive.

C’est sur le point de changer.

Les trois options — et pourquoi seule une fonctionne

Lorsque cette nouvelle menace arrive, les organisations auront effectivement trois choix :

1. Être le wombat. Ne pas s’adapter. Se faire éliminer. Cela arrivera à beaucoup d’entreprises. Certaines ne reviendront jamais.
2. Être le poulet. Devenir réactif, se précipitant pour corriger chaque nouvelle vulnérabilité à mesure qu’elle apparaît. C’est l’approche « sortir la lance et traiter la blessure ». C’est mieux que rien, mais lorsque 45 lances vous arrivent de toutes parts, cette compétence ne vous sauvera pas. Vous êtes toujours de la nourriture ; vous êtes juste plus lent pour atteindre la table.
3. Être le chat. Changer fondamentalement sa relation avec la menace. Utiliser l’IA pour se défendre contre l’IA. Intégrer la sécurité dans l’ingénierie dès le départ. Conception de systèmes en supposant une faille — et non en espérant la prévenir.

L’objectif n’est pas d’embaucher plus d’analystes de sécurité pour patrouiller la périphérie. C’est essayer de protéger les éléphants de la savane. Cela ne fonctionne pas à l’échelle de cette menace. L’objectif est de reconcevoir la savane.

Ce que signifie « devenir le chat »

Ce n’est pas un travail de surface. Ce n’est pas exécuter un analyseur de sécurité basé sur l’IA sur votre base de code une fois par trimestre. Cela nécessite une réflexion sur la façon dont le développement est effectué.

Pratiquement, cela signifie des choses comme :

• Des bases de code plus simples qui sont plus faciles à comprendre et à auditer
• La récupération de bibliothèques avec des postures de sécurité connues et vérifiées
• La construction d’infrastructures en supposant que la faille est un quand, et non un si — et en rendant le mouvement latéral aussi difficile que possible une fois qu’un acteur malveillant est à l’intérieur
• Se lier d’amitié avec le prédateur en exploitant l’IA de la même manière que l’attaquant. Les modèles d’IA peuvent amplifier les équipes d’ingénierie et de sécurité pour faire évoluer leurs défenses et prendre les devants.

Les entreprises fondées demain ont une feuille de route vierge. Ils peuvent construire de cette façon dès le premier jour. Les entreprises qui existent déjà, avec des clients, des données sensibles, des systèmes en direct, n’ont pas ce luxe. Ils doivent commencer à passer à la vitesse supérieure dès maintenant.

L’appel à l’action

Anthropic l’a dit lui-même : il y aura un jugement. Il y aura une perturbation économique et sociale due aux attaques activées par l’IA. Certaines entreprises ne survivront pas. Elles seront compromises par des personnes utilisant ces outils et elles ne se remettront jamais complètement. Cela va se produire.

Alors, voici le message : commencez maintenant.

L’ingénierie et la sécurité doivent s’asseoir dans la même salle. Passer ensemble par le paysage des menaces. Construire une feuille de route partagée. Là où le travail principal est effectué par les équipes d’ingénierie et de conception, validé par la sécurité, et non l’inverse. La sécurité ne peut pas mener cela. La sécurité peut vérifier le travail. Mais le changement fondamental doit venir des personnes qui construisent les systèmes.

Les entreprises qui commencent ce processus aujourd’hui ne survivront pas toutes. Mais elles auront créé les conditions de survie. Et dans l’environnement qui vient, c’est le mieux que nous puissions faire.

Soyez le chat.