Keith Stewart, Fondateur et PDG de Humanix – Série d’entretiens

Keith Stewart, Fondateur et PDG de Humanix, est un vétéran de la cybersécurité avec plus de 25 ans d’expérience dans la gestion de produits, l’ingénierie, le développement commercial et le leadership exécutif dans certaines des entreprises les plus reconnues de l’industrie, notamment Cisco, Brocade, Riverbed et vArmour. Avant de fonder Humanix en 2023, il a occupé le poste de PDG intérimaire et de vice-président des produits et de l’ingénierie chez vArmour, où il a aidé à guider l’entreprise à travers son acquisition et sa transition vers un modèle d’entreprise basé sur le SaaS. Tout au long de sa carrière, Stewart a dirigé des équipes mondiales, mené des initiatives majeures de produits de cybersécurité, participé à des activités de collecte de fonds et de fusions et acquisitions, et joué un rôle clé dans le développement de technologies de sécurité de nouvelle génération. Son expérience approfondie en matière de sécurité d’entreprise et sa compréhension approfondie de la manière dont les attaquants exploitent le comportement humain l’ont amené à créer Humanix avec pour mission de protéger les personnes contre les attaques d’ingénierie sociale de plus en plus sophistiquées.

Humanix est une entreprise de cybersécurité qui est pionnière dans ce qu’elle appelle la détection et la réponse aux menaces humaines (HTDR), une nouvelle catégorie axée sur la protection de la « couche humaine » de la sécurité de l’entreprise. Plutôt que de se concentrer uniquement sur les points de terminaison, les réseaux et les infrastructures, Humanix utilise une intelligence artificielle conversationnelle formée sur la psychologie humaine et les modèles d’attaque par langage naturel pour détecter la manipulation, la tromperie, l’usurpation d’identité et d’autres tactiques d’ingénierie sociale à travers les interactions vocales, les chats, les e-mails, les vidéos et les interactions de service. La plateforme est conçue pour identifier les attaques en temps réel, aidant ainsi les organisations à stopper les violations de sécurité avant que les attaquants n’exploitent les employés, les sous-traitants ou les clients. L’approche de Humanix reflète une reconnaissance croissante du fait que la plupart des cyberattaques réussies ciblent les personnes plutôt que les systèmes, et l’entreprise vise à fournir aux équipes de sécurité le même niveau de visibilité et de capacités de réponse pour les menaces ciblant les humains que celles dont elles disposent déjà pour les menaces traditionnelles de cybersécurité.

Vous avez dirigé des transformations majeures au sein d’entreprises comme vArmour, notamment des transitions SaaS, le développement d’équipes d’ingénierie et la navigation dans une acquisition. Quelle faille spécifique ou quel tournant vous a amené à fonder Humanix, et pourquoi vous concentrez-vous autant sur la sécurisation des humains plutôt que des systèmes ?

Le plus grand défi dans la posture de sécurité de toute organisation est le risque humain. Les humains sont à la fois notre atout défensif le plus puissant et notre zone de vulnérabilité la plus persistante. Pourtant, c’est un problème qui n’a pas été continuellement abordé. La réponse de l’industrie a été la formation – essentiellement essayer de transformer l’employé moyen en un expert en cybersécurité en une heure. Nous savons que cela ne fonctionne pas, mais nous n’avons pas eu de meilleures solutions.

Deux choses ont changé récemment, l’une pour le pire et l’autre pour le mieux. Premièrement, le pire : l’IA rend les attaques qui ciblent directement les humains beaucoup plus accessibles. Vous pouvez maintenant être un adolescent de l’autre côté du monde, ne pas parler un mot d’anglais, ne rien savoir sur une entreprise en particulier, et soudainement, un LLM vous permet de savoir presque tout et de ressembler à presque n’importe qui. Cela crée un danger réel et présent.

Deuxièmement, un changement pour le mieux : nous avons maintenant la technologie pour détecter ces attaques. Les LLM sont très bons pour comprendre la nuance et la complexité des interactions humaines. Avec l’IA conversationnelle, nous pouvons identifier des modèles dans ces interactions et répondre en quasi-temps réel.

Nous n’avons plus besoin de nous appuyer uniquement sur des stratégies de formation obsolètes. Pour la première fois, nous avons un moyen de résoudre directement le problème de vulnérabilité humaine. C’est pourquoi nous avons créé Humanix.

Votre travail a longtemps porté sur les grandes données, l’analyse comportementale et les modèles de sécurité basés sur les graphes. Comment ces expériences ont-elles façonné l’approche de Humanix pour détecter les attaques qui ne ressemblent pas à des violations traditionnelles ?

En surface, détecter les attaques d’ingénierie sociale interactives semble une tâche difficile. Chaque personne est différente. Le langage naturel est extrêmement à haute dimension. Les modèles de comportement basés sur le ML classique ne comprennent pas le contexte et déclenchent donc fréquemment de fausses alarmes.

Cependant, lorsqu’on creuse un peu plus, on peut voir que cette classe d’attaque a des modèles comme n’importe quelle autre. Au lieu de débordements de tampon ou de jours zéro, les attaquants exploitent les lacunes des processus métier et la confiance humaine. Les attaquants ont des cahiers des charges qu’ils exécutent systématiquement contre les organisations, ce qui signifie que nous devrions être en mesure de détecter et de répondre à ces attaques de la même manière que nous le faisons sur les points de terminaison, les réseaux, le cloud ou l’identité.

Cette compréhension nous permet de combiner des modèles de détection et de réponse classiques que nous savons efficaces – y compris l’analyse comportementale et la théorie des graphes – avec les capacités de raisonnement sémantique des modèles de langage. Humanix utilise cette combinaison pour comprendre les entités, les relations, le comportement, le risque et l’interaction elle-même. C’est ainsi que nous créons une nouvelle classe de produit de détection et de réponse : la détection et la réponse aux menaces humaines.

Des groupes émergents comme BlackFile utilisent le phishing vocal et l’ingénierie sociale en temps réel au lieu de tactiques lourdes de logiciels malveillants. Qu’est-ce que ce changement nous indique sur la manière dont le paysage des menaces évolue ?

BlackFile fait partie d’un changement plus large vers des attaques qui sont moins axées sur l’introduction de logiciels malveillants dans un environnement et plus sur l’utilisation du langage naturel pour amener une personne à ouvrir la porte.

Ces groupes ont découvert qu’un appel téléphonique convaincant, un prétexte plausible et la bonne dose d’urgence peuvent être tout aussi efficaces qu’une faille technique, et souvent plus difficiles pour les équipes de sécurité à détecter. La surface d’attaque n’a pas changé autant que la focalisation de l’attaquant a changé. Les personnes ont toujours fait partie de la surface d’attaque. Ce qui a changé, c’est l’échelle, la maturité et la reproductibilité du cahier des charges.

L’ingénierie sociale est copiée, affinée et industrialisée parce qu’elle fonctionne. Elle profite de la manière dont les entreprises fonctionnent réellement, en particulier dans les flux de travail où les personnes sont censées aider rapidement, résoudre des exceptions et maintenir le mouvement.

Nous voyons des attaquants se faire passer pour des services d’assistance informatique et exploiter directement les employés pour accéder. Pourquoi les techniques comme le vishing et la manipulation de l’assistance sont-elles devenues des points d’entrée primaires si efficaces ?

Ces techniques sont si efficaces parce qu’elles exploitent la combinaison de confiance, d’urgence et d’accès trouvée dans de nombreux flux de travail de support et d’administration.

Si je veux accéder à votre environnement, je peux passer des semaines à chercher une faille technique. Ou je peux appeler quelqu’un qui est formé pour aider, créer une histoire crédible et l’amener à faire ce que j’ai besoin qu’il fasse, que ce soit réinitialiser un mot de passe, enregistrer un nouveau facteur d’authentification multifacteur, modifier une autorisation ou approuver une demande.

La personne à l’autre bout de l’appel est souvent en train d’essayer de résoudre un problème réel sous pression, avec des informations incomplètes. C’est exactement ce qui rend le service d’assistance une cible attrayante. C’est l’un des rares endroits où une conversation peut se transformer directement en accès. Une fois l’accès accordé, le reste peut se produire très rapidement.

L’industrie a investi lourdement dans la formation des employés, et pourtant, les violations ciblant les personnes continuent d’augmenter. Où la sensibilisation à la sécurité traditionnelle échoue-t-elle, et qu’est-ce qui doit changer ?

La formation à la sensibilisation à la sécurité a été traitée comme la principale défense contre l’ingénierie sociale, même si les résultats montrent clairement ses limites. Les organisations continuent à investir lourdement dans la formation, et pourtant, les attaquants continuent de réussir parce qu’ils ciblent les personnes dans des interactions en temps réel, et non en testant si les employés se souviennent du matériel d’un cours.

Une attaque d’ingénierie sociale n’est pas un quiz. C’est une personne à l’autre bout d’un appel téléphonique ou d’un fil de discussion qui crée de l’urgence, construit la confiance et tente d’amener quelqu’un à prendre une action qu’il ne devrait pas prendre. Le modèle actuel se brise parce qu’il attend que l’employé reconnaisse et arrête l’attaque tandis que l’attaquant manipule activement l’interaction.

Quand quelque chose va mal, la réponse est souvent de blâmer l’employé et de lui attribuer plus de formation. Mais l’employé essayait généralement d’aider, ce que l’entreprise lui demande de faire chaque jour. Nous devons cesser de traiter l’ingénierie sociale comme un problème de sensibilisation uniquement. C’est une classe d’attaque, et nous devrions la détecter et y répondre pendant que l’interaction se déroule.

Humanix se positionne autour de la détection d’attaques contre les personnes en temps réel. Qu’est-ce que l’observabilité du risque humain ressemble-t-elle dans la pratique ?

L’observabilité du risque humain signifie donner aux équipes de sécurité une visibilité sur les interactions en temps réel où les attaquants tentent de manipuler les personnes pour changer l’accès, contourner une procédure requise ou prendre une autre action non sécurisée au nom de l’attaquant.

Aujourd’hui, ces interactions sont effectivement invisibles pour la sécurité. Quelqu’un appelle le service d’assistance, ouvre un ticket ou commence une conversation. Un mot de passe est réinitialisé, un facteur d’authentification multifacteur est enregistré, une autorisation est modifiée ou une exception est approuvée. Ce sont des flux de travail très sensibles, et pourtant, les équipes de sécurité n’ont aucune visibilité et aucune observabilité.

Humanix change cela. Nous nous connectons aux systèmes de communication d’entreprise déjà utilisés – Microsoft 365, ServiceNow , Zoom, Slack et plus. Humanix surveille les actions et les interactions sur ces canaux et les compare aux tactiques d’attaque et aux procédures d’entreprise.

Le appelant a-t-il été correctement vérifié ? A-t-il parlé son chemin autour de la vérification ? Y a-t-il eu de l’urgence, de l’usurpation d’identité ou de pression pour sauter une étape requise ? L’agent allait-il prendre une action à haut risque ? Comment le profil de risque a-t-il changé à mesure que l’appel progressait ? Humanix fournit une détection et une réponse de sécurité pendant que l’interaction se déroule, et permet à l’équipe de sécurité de savoir si quelque chose semble suspect.

Le but ultime de cette analyse n’est pas de punir les victimes après coup. C’est de les protéger dans l’instant. Si une conversation devient une attaque, l’équipe de sécurité doit le savoir.

À mesure que les technologies de voix et de deepfake générées par l’IA s’améliorent, combien de temps allons-nous mettre avant que la confiance humaine devienne la surface d’attaque la plus faible ?

La confiance humaine a été l’une des surfaces d’attaque les plus faibles depuis longtemps. L’IA rend les attaques contre la confiance plus faciles à créer, à personnaliser et à mettre à l’échelle.

Cependant, nous devons être prudents pour ne pas surestimer le cas spécifique du « deepfake ». Les deepfakes ne sont qu’un moyen que les attaquants peuvent utiliser pour manipuler quelqu’un. En fait, si l’on examine la grande majorité des attaques d’ingénierie sociale réussies au cours des dernières années, la plupart n’étaient pas des deepfakes – ce sont simplement des attaquants humains et des escrocs qui prennent le téléphone. Des groupes comme Scattered Spider, ShinyHunters et BlackFile ont montré qu’un appel téléphonique normal, un prétexte crédible et la bonne dose d’urgence suffisent pour amener quelqu’un à prendre une action au nom de l’attaquant.

Les équipes de sécurité doivent se concentrer sur le message, et non sur le moyen. Quelqu’un qui est poussé à enfreindre les règles ou à approuver une exception dans des circonstances suspectes – ce sont les véritables comportements à risque. Les risques se trouvent dans l’interaction elle-même et dans l’action qu’elle est conçue pour induire.

La confiance n’est pas quelque chose que nous pouvons supprimer des entreprises. Les gens doivent répondre aux appels, résoudre des problèmes, approuver des demandes et s’entraider. La réponse ne peut pas consister à rendre tout le monde moins humain. Il faut protéger les moments où la confiance est exploitée.

Quel rôle l’IA devrait-elle jouer dans la défense contre l’ingénierie sociale pilotée par l’IA, et quels sont les plus grands défis techniques pour détecter la manipulation en temps réel ?

L’IA conversationnelle ouvre la possibilité de transformer l’ingénierie sociale pilotée par l’IA d’un problème de formation en un problème de détection et de réponse. Les modèles de langage nous permettent d’appliquer toutes nos connaissances des domaines comme les points de terminaison ou les réseaux au niveau humain. Nous devons détecter et répondre à ces attaques, et non continuer à essayer de les éloigner par la formation.

Il existe de nombreux défis techniques pour rendre cette vision réalité. Le langage naturel est très dimensionnel, ce qui signifie qu’il existe de nombreuses façons de transmettre le même sens. Dire « Je suis bloqué de mon système » est une déclaration fonctionnellement équivalente à dire « J’ai besoin de réinitialiser mon mot de passe », même si les mots « mot de passe » et « réinitialiser » n’ont jamais été utilisés.

Un autre défi est l’importance du contexte. Les interactions humaines sont contextuelles et cumulatives, et donc la manipulation humaine l’est aussi. Un appelant peut paraître calme, poli et crédible tout en dévoyant quelqu’un autour de la vérification ou vers une action non sécurisée. Nous devons combiner plusieurs signaux et données contextuelles pour séparer avec précision le bénin du malveillant.

Enfin, chaque organisation est différente. Elle a des procédures et des normes différentes, presque toutes non lisibles par machine. C’est un autre domaine où l’IA peut être d’une grande aide – comprendre ces politiques et les comparer aux comportements observés dans le monde réel.

De nombreux outils de sécurité se concentrent encore sur les points de terminaison, les réseaux et les systèmes d’identité. Comment les DSI devraient-ils repenser leur architecture si le champ de bataille principal se déplace vers le comportement humain ?

Tout d’abord, les DSI devraient reconnaître formellement ce que nous savons tous intuitivement : le capital humain d’une organisation est une classe d’actifs (comme les points de terminaison, les réseaux ou le cloud) qui doit être géré. Les menaces et les risques doivent être modélisés et contrôlés avec précision.

Le cadre de cybersécurité NIST fournit déjà des conseils sur la manière de procéder. L’« identification » et la « gestion » des personnes font partie du sous-ensemble de l’identification des risques (ID.AM) de l’identification des risques. Cependant, de nombreuses organisations définissent le problème de risque humain comme un problème de formation, et ne le gèrent que via l’exigence de conformité à la formation à la sensibilisation à la sécurité. Cela doit changer.

Lorsque nous traitons le capital humain comme sa propre classe d’actifs, cela ouvre les playbooks standard que nous exécutons pour chaque autre classe d’actifs. Quels sont les principaux risques (ID.RA) ? Comment puis-je défendre systématiquement contre eux (Protéger) ? Quels sont nos systèmes et processus pour détecter si un attaquant est sur le point de compromettre ces défenses, ou pire, l’a déjà fait (Détecter) ? Comment l’organisation répond-elle pour contenir la menace et rétablir finalement les services (Répondre et Recouvrer) ? En prenant la même approche systématique pour notre capital humain que nous le faisons pour toute autre classe d’actifs, nous pouvons identifier plus clairement les risques et prioriser plus efficacement les ressources pour gérer ces risques.

En regardant vers l’avenir, attendez-vous que les attaques de niveau humain dominent la cybercriminalité, ou allons-nous voir un modèle hybride où l’automatisation pilotée par l’IA et l’ingénierie sociale convergent en quelque chose de plus difficile à défendre ?

Ce sera probablement un modèle de menace hybride. Nous avons deux choses qui se produisent simultanément. Premièrement, les attaquants apprennent à mettre à l’échelle leurs attaques avec l’IA, augmentant ainsi l’accès et réduisant le coût de cette classe d’attaque. Deuxièmement, les entreprises elles-mêmes subissent une transformation agente par l’IA, menée par les mêmes services commerciaux qui sont attaqués par BlackFile et ses pairs.

Les services de support client, les services d’assistance, les services de desk, les opérations financières et les flux de travail de support interne sont tous en train d’être transformés d’une prestation humaine à une prestation par l’IA. Cela signifie que nous allons connaître une explosion de la surface d’attaque par langage naturel tout en éliminant le sens commun humain. Les grands modèles de langage sont formés pour répondre aux instructions et être utiles. Les soupçons humains ou les « pressentiments » qui ont été certaines de nos meilleures défenses contre les attaques d’ingénierie sociale ont été délibérément supprimés des réponses du modèle. La transition vers des services délivrés par l’IA augmentera finalement le risque d’attaques d’ingénierie sociale, et non le réduira.

Par conséquent, l’exposition des entreprises à cette classe d’attaque va probablement continuer à augmenter au cours des prochaines années. Les humains et les agents sont tous deux vulnérables aux attaques par langage naturel. Les équipes de sécurité doivent commencer à planifier aujourd’hui une défense et une réponse systématiques à cette nouvelle réalité. Les humains et les agents sont tous deux vulnérables aux attaques par langage naturel. Les équipes de sécurité doivent commencer à planifier aujourd’hui pour une défense et une réponse systématiques à cette nouvelle réalité. Thank you for the great interview, readers who wish to learn more Humanix.