La plupart des entreprises d’IA ne sont pas sécurisées. Voici ce que les entreprises peuvent faire

Les entreprises sont en train de se lancer dans l’adoption de l’intelligence artificielle (IA) générative pour rester compétitives sur leurs marchés. Cependant, les équipes de sécurité font face à un défi important car elles s’appuient sur des cadres obsolètes conçus pour une autre ère technologique. Les outils qui ont réussi à protéger les organisations pendant des décennies laissent maintenant des vulnérabilités critiques exposées lorsque les employés interagissent avec des plateformes d’IA basées sur le navigateur. Pour adopter en toute sécurité la dernière technologie, les entreprises doivent complètement repenser la façon dont elles contrôlent l’accès à l’information et détectent les menaces émergentes.

La menace croissante de l’IA fantôme dans l’entreprise

L’IA fantôme émerge lorsque les employés contournent les canaux IT officiels et utilisent des outils d’IA de consommation non autorisés pour les tâches de travail. Ces plateformes offrent de la rapidité et de la commodité que les processus d’approbation internes ne peuvent pas égaler, les rendant irrésistibles pour les travailleurs axés sur la productivité.

Des recherches récentes révèlent que 73,8 % de l’engagement des employés avec ChatGPT se produit sur des comptes non corporatifs, ce qui signifie que des informations sensibles sont directement introduites dans les modèles publics. De même, l’utilisation de Gemini et de Bard sur des comptes personnels atteint respectivement 94,4 % et 95,9 %.

La sous-traitance de tâches à des plateformes externes non vérifiées comporte des conséquences importantes. L’analyse montre que 55 % de tous les échecs de l’IA proviennent de ces solutions de tiers, créant des risques qui s’étendent aux dommages à la réputation et aux pertes financières. La méfiance des consommateurs, les pénalités de conformité et les poursuites judiciaires suivent souvent. Pour les entreprises qui utilisent des outils d’IA de tiers sans effectuer d’analyse de risque avant le déploiement, cela est alarmant.

Sans lignes directrices applicables, les employés partagent des informations sensibles de l’entreprise, créant des responsabilités de confidentialité massives, tandis que de nombreuses plateformes de tiers manquent de mesures de sécurité rigoureuses nécessaires pour protéger les dossiers d’entreprise confidentiels. Les politiques et les pratiques de stockage à travers ces solutions peuvent involontairement exposer les informations des clients et les dossiers financiers à des failles potentielles.

Pourquoi la prévention traditionnelle de la perte de données échoue

Les outils de prévention de la perte de données (DLP) traditionnels ont été conçus pour empêcher les fichiers d’être téléchargés ou envoyés par pièces jointes de courrier électronique. Ces solutions excellent dans leur objectif initial, mais elles sont confrontées à une limitation fondamentale à l’ère de l’IA basée sur le navigateur. Par exemple, ils ne peuvent pas facilement surveiller ou bloquer le texte que l’employé tape manuellement ou colle directement dans une fenêtre de prompte d’IA, créant un angle mort dans la couverture de sécurité qui devient de plus en plus problématique avec chaque trimestre.

L’écart devient clair lors de l’examen de ce que ces outils peuvent et ne peuvent pas protéger :

• DLP attrape : Les téléchargements de fichiers, les pièces jointes de courrier électronique, les transferts USB et les téléchargements de documents
• DLP manque : Les actions de copier-coller dans les fenêtres du navigateur, les invites manuellement tapées, les captures d’écran converties en texte et la saisie directe de texte dans les applications Web

À mesure que l’adoption de l’IA s’accélère dans les organisations, cet écart de couverture s’élargit et génère un chemin pour l’exfiltration d’informations que les infrastructures de sécurité traditionnelles n’ont jamais été conçues pour résoudre. Les équipes de sécurité se retrouvent dans une position réactive, découvrant les failles uniquement après que le contenu sensible a déjà quitté le contrôle de l’organisation.

Quelle est la meilleure approche pour une IA d’entreprise sécurisée ?

S’accrocher aux solutions DLP traditionnelles tout en ignorant la réalité de l’adoption de l’IA ne constitue pas une stratégie commerciale viable à long terme. Les entreprises doivent passer à une détection de menaces basée sur l’IA qui s’adapte aux attaques nouvelles et impose des limites strictes sur l’utilisation de l’IA qui protègent les informations sensibles. La centralisation des pratiques de gouvernance pour prévenir l’exposition accidentelle complète cette fondation de sécurité.

Passer à un contexte d’IA multilayer

Les outils de détection de menaces traditionnels s’appuient sur des règles réactives qui recherchent des signatures historiques d’attaques connues. Cette approche génère soit de fausses alertes en signalant le comportement normal des employés comme suspect, soit manque complètement les attaques nouvelles qui ne correspondent à aucun modèle précédent dans sa base de données.

Par exemple, l’hôpital général Artesia a reconnu ces limites dans la protection de ses opérations de soins aux patients et de ses écosystèmes numériques, ce qui a conduit l’organisation à déployer la technologie Darktrace. Sans aucune liste pré définie de menaces, la plateforme apprend chaque appareil, utilisateur et interaction au sein du réseau de l’hôpital pour développer une compréhension de ce que ressemble le comportement normal de la base.

Le composant Cyber AI Analyst examine les alertes à l’aide de méthodes similaires à celles des analystes humains tout en reliant les anomalies subtiles qui pourraient indiquer de véritables menaces pour les dossiers des patients et les opérations de l’hôpital. Le système examine de manière autonome les menaces du réseau d’Artesia pour déterminer lesquelles des alertes représentent de véritables incidents de sécurité.

Cette approche d’IA multilayer réduit considérablement les fausses alertes qui pèsent sur les équipes de sécurité. Lorsque l’on passe de 100 alertes bénignes par jour à seulement deux ou trois incidents critiques qui nécessitent réellement l’attention humaine, leur focalisation se resserre. Les analystes reçoivent exactement les informations dont ils ont besoin sans passer des heures sur une enquête manuelle.

Imposer des politiques d’utilisation interne d’IA strictes

Établir des limites fermes et déployer des garde-fous techniques qui contrôlent les informations qui peuvent entrer dans les modèles d’IA publics répondent aux vulnérabilités que les solutions DLP traditionnelles ne peuvent pas fermer seules.

Samsung fournit un exemple de ce qui se passe lorsque les employés accèdent à des outils d’IA sans mesures de sécurité techniques adéquates. Dans les 20 jours suivant l’autorisation de l’accès à ChatGPT en avril 2023, l’entreprise a connu trois fuites distinctes qui ont compromis des informations hautement confidentielles dans plusieurs départements.

Les ingénieurs ont collé le code source de la base de données de semi-conducteurs propriétaire dans ChatGPT pour vérifier les erreurs de codage, révélant des détails critiques sur les processus de fabrication de Samsung. Dans un autre incident, un employé a téléchargé un code spécialisé conçu pour identifier les défauts d’équipement tout en recherchant des suggestions d’optimisation. Le personnel a également converti des réunions internes enregistrées en texte avant de les alimenter à ChatGPT pour la génération automatique de procès-verbaux.

Une fois que les informations entrent dans la base de connaissances d’un modèle d’IA public, il n’y a pas de bouton de suppression pour récupérer ou effacer ces informations. Samsung a finalement interdit ChatGPT entièrement car le contenu propriétaire divulgué ne peut pas être récupéré.

Établir une gouvernance des données centralisée

Une solution d’IA d’entreprise n’est sécurisée que dans la mesure où les informations auxquelles elle peut accéder au sein de l’organisation sont sécurisées, et la normalisation des autorisations sur tous les systèmes constitue la fondation du déploiement sécurisé de l’IA. Lorsqu’un réseau interne d’une entreprise souffre de contrôles d’accès incohérents et de pratiques de gestion fragmentées, même les outils d’IA approuvés peuvent accidentellement exposer des dossiers confidentiels RH ou des dossiers financiers à des employés non autorisés.

Par exemple, AXIS Capital a été confronté à ce défi lorsqu’il a traité des plateformes de police et de réclamations autonomes et cloisonnées réparties sur différents territoires. Chaque ligne d’activité avait créé ses propres normes de référence pour les rapports, et les incohérences ont conduit à des erreurs dans les devis, les souscriptions et les ajustements des réclamations qui ont rendu les rapports au niveau de l’entreprise extrêmement difficiles.

La société d’assurance a élaboré une stratégie à l’échelle de l’entreprise en utilisant des formulaires de tutelle basés sur le Web et des règles de sécurité strictes pour normaliser les hiérarchies de référence de base. En commençant par le système de classification des industries de l’Amérique du Nord et le code de classification industrielle standard, AXIS a ensuite étendu les codes de notation et de souscription qui variaient précédemment par emplacement.

En mettant en œuvre une gestion des données centralisée et contrôlée, l’entreprise a créé une source unique et sécurisée de vérité accessible à toutes les opérations. Cela a éliminé les incohérences qui avaient affligé leurs plateformes tout en permettant à AXIS d’accélérer les processus d’assurance essentiels tels que l’introduction de nouvelles offres de produits, la réduction des risques opérationnels et la réalisation d’analyses fiables au niveau de l’entreprise.

Sécuriser l’avenir de l’innovation d’entreprise

L’adoption de l’IA dans les entreprises est inévitable dans la mesure où les organisations concourent pour un avantage sur le marché. S’appuyer sur des cadres de sécurité traditionnels et tolérer des pratiques de gouvernance non structurées ne fera que précipiter les fuites et les violations de conformité. La question n’est pas de savoir si les entreprises adopteront l’IA, mais si elles le feront de manière sécurisée. En mettant en œuvre une détection de menaces d’IA multilayer et en établissant une surveillance rigoureuse de l’accès à l’information, les entreprises peuvent embrasser l’innovation de l’IA tout en protégeant leur contenu le plus sensible.