La sécurité nationale nécessite la sécurisation des charges de travail modernes basées sur l’IA

Alors que les pratiques de codage et les modifications de charge de travail basées sur l’IA prétendent accélérer les performances des missions, elles introduisent également des vulnérabilités système. Le défi est bien compris – les pratiques actuelles de gestion des vulnérabilités ne peuvent pas suivre l’évolution rapide des outils d’IA, ce qui augmente finalement le risque pour les troupes qui mènent des missions opérationnelles.

Savoir que vos outils réussiront, qu’il s’agisse d’un M27 IAR ou de l’IA tactique C2 qui met des feux sur la cible, inspire confiance sur le terrain. Lorsqu’il s’agit de systèmes logiciels, ils peuvent augmenter leur fiabilité en éliminant les risques liés aux conteneurs logiciels grâce à une sécurité complète de la chaîne d’approvisionnement logicielle (SSC).

Les vulnérabilités des conteneurs constituent un risque croissant pour les logiciels de défense

Toute organisation logicielle est confrontée à des vulnérabilités de sécurité liées aux conteneurs. Le Département de la Guerre (DoW) vise à déployer les meilleurs systèmes pour les troupes opérationnelles, mais cela augmente le risque. La raison en est que la plupart des systèmes de mission reposent sur des logiciels de base provenant de distributions Linux et de bases de logiciels communautaires avec des bases de logiciels trop grandes. Les systèmes construits sur ces logiciels open source contiennent généralement des vulnérabilités et des expositions critiques (CVE) connues et inconnues.

Pour résoudre ce problème, des images curatoriales qui incluent des correctifs pour ces CVE réduisent considérablement la surface d’attaque. De plus, le code inutile représente un risque supplémentaire, car ce code peut cacher des CVE. Le déploiement d’images de logiciels durcies atténue ce risque en éliminant le code inutile. Sans durcissement, le code excédentaire augmente la surface d’attaque vulnérable et introduit des CVE cachés. Il est également crucial d’évaluer chaque CVE dans le contexte dans lequel il se manifeste. Les CVE sont exploitables dans les environnements, les systèmes d’exploitation et les matériels où ils sont découverts pour être reproductibles. L’analyse, le profilage et la compréhension intelligents du logiciel de production détermineront si chaque CVE individuelle affecte l’environnement cible et identifieront lesquelles sont dupliquées et apparaissent simplement dans plusieurs packages.

Les outils de codage basés sur l’IA aggravent le problème

Les outils de codage basés sur l’IA sont des moteurs gourmands en ressources utilisés pour développer, former et déployer des modèles, mais se concentrent souvent sur les états finals plutôt que sur l’optimisation du calcul et du stockage opérationnels. En conséquence, ils amplifient les problèmes de sécurité en utilisant indistinctement des distributions open source plutôt que des images curatoriales et durcies.

Les outils de codage basés sur l’IA changent constamment, ont de nombreuses dépendances open source et sont déployés de manière plus envahissante que les outils traditionnels. Les modèles, les cadres et les services de support sont mis à jour quotidiennement ou hebdomadairement plutôt que trimestriellement ou annuellement, et chaque artefact logiciel non durci mis en œuvre par ces outils magnifie le risque. Ce ne sont pas de nouveaux risques, mais avec l’IA, ils s’accélèrent désormais. Par exemple, les retards de vulnérabilités augmentent plus rapidement à mesure que davantage de logiciels sont déployés. Comme preuve, la liste des CVE en 2025 a faites en moyenne 132 nouvelles vulnérabilités par jour, soit une augmentation de 20 % par rapport à l’année précédente, et le triple du nombre de 2020.

Une mauvaise gestion des vulnérabilités entraîne des conséquences opérationnelles

Les conséquences opérationnelles d’une mauvaise gestion des vulnérabilités incluent :

• Des restrictions sur les technologies accessibles à l’ATO, avec moins d’outils d’IA approuvés pour la production
• Un ralentissement du déploiement de l’IA, car les piles de conteneurs échouent à la conformité sur les délais de mission
• L’incapacité à rivaliser avec les tactiques d’IA de l’adversaire, ce qui augmente les risques de mission
• Des coûts financiers élevés récurrents pour gérer les retards de vulnérabilités
• Des ingénieurs hautement qualifiés se concentrant sur la poursuite et la correction des CVE plutôt que sur la livraison de nouvelles capacités

Avec ou sans l’IA, les pratiques de gestion des vulnérabilités pour les solutions DoW doivent répondre aux délais de mission. Les plateformes basées sur l’IA doivent améliorer la défense cybernétique, et non augmenter l’exposition à la sécurité. Les solutions de choix doivent aborder l’exposition pertinente au niveau de l’exécution, réduire le nombre de CVE et permettre aux autorités d’autorisation de faire la distinction entre le bruit et l’impact de la mission. Résoudre ce problème empêche les unités de poursuivre des efforts de durcissement ponctuels, créant un pipeline cohérent et fondé sur les données.

L’approche gagnante pour la défense nationale

Le processus sécurisé le plus efficace est celui qui permet des opérations plus rapides et plus sûres basées sur l’IA, un fondement de confiance zéro pour les conteneurs et des données de risque de chaîne d’approvisionnement logicielle de haute fidélité pour les commandants.

Les agences de défense devraient commencer par des images avec un nombre de CVE proche de zéro, puis éliminer les vulnérabilités supplémentaires en supprimant les composants inutilisés plutôt que de les corriger pour réduire les chemins de risque acceptables. Les images durcies aboutissent à des surfaces d’attaque plus petites et à des récits de risque plus clairs pour accélérer l’agrément des systèmes basés sur l’IA, libérant ainsi les équipes de cybersécurité pour se concentrer sur des missions de plus haute priorité plutôt que sur une triage de vulnérabilités sans fin.

En outre, les factures de matériaux logicielles (SBOM), les factures de matériaux d’exécution (RBOM) et les images durcies donnent aux opérateurs et aux équipes de sécurité une vue en couches, précise au niveau de l’exécution, des charges de travail d’IA conteneurisées. Cette approche soutient directement les principes de confiance zéro et correspond aux exigences de visibilité de la chaîne d’approvisionnement logicielle de l’équipe Enduring Security Framework (ESF), montrant ce qui se trouve dans le logiciel, son comportement et les mécanismes de livraison.

Les pratiques de notation et d’attestation des risques DoW devraient accompagner les conteneurs avec des artefacts lisibles par machine et des bulletins de sécurité techniques. Cela permet aux développeurs et aux opérateurs de s’abonner aux conteneurs nécessaires et de recevoir des scores de risque cohérents et des alertes si de nouveaux problèmes surviennent. Pour le Commandement, cela agit comme un « voyant de contrôle du moteur » pratique sur les piles de logiciels critiques, permettant des décisions pour aller au-delà de la découverte commerciale et entrer dans l’alignement de la mission à la vitesse des opérations basées sur l’IA.