Ramutė Varnelytė, PDG d’IPXO – Série d’entretiens

Ramutė Varnelytė, PDG d’IPXO, compte plus de 15 ans d’expérience dans le leadership commercial et a été nommée pour diriger l’entreprise au début de 2025. Dans son rôle, elle impulse la croissance stratégique, l’excellence opérationnelle et le positionnement sur le marché, en veillant à ce qu’IPXO reste à la pointe de l’innovation dans la location et la gestion d’adresses IP.

IPXO, qui signifie Organisation d’échange de protocoles Internet, a été fondée en 2021 pour répondre à la pénurie mondiale d’adresses IPv4 en créant une plate-forme de location et de monétisation dynamique. Elle est devenue le plus grand marché entièrement automatisé pour la location d’adresses IP au monde. La plate-forme prend en charge des millions d’adresses IP dans le monde, appuyée par des relations solides avec les registres Internet régionaux et une mission visant à construire un écosystème IP unifié et efficace.

Nous allons discuter de la manière dont IPXO utilise des profils de risque basés sur le comportement et l’apprentissage automatique pour distinguer entre l’automatisation benigne basée sur l’IA et l’activité de bot malveillante. La conversation explorera l’essor des agents IA dans le trafic Internet, les défis de cybersécurité des fournisseurs de services Internet et les stratégies pour équilibrer la sécurité avec l’efficacité opérationnelle.

Quelles tendances vous ont-elles amené à la conclusion que les agents IA – et non seulement les bots de scraping – dominent désormais les modèles de trafic dans de nombreuses organisations ?

Les bots sont partout maintenant, dépassant considérablement le trafic humain. Plus d’un tiers du trafic de bots est constitué de la part de « mauvais bots » qui contribue à de nombreuses activités malveillantes. La tendance est claire dans divers rapports d’incidents : lorsque les entreprises enquêtent sur un trafic inhabituel ou nuisible, des pics inhabituels dans l’utilisation des API ou d’autres irrégularités, les preuves montrent que de nombreux systèmes automatisés se comportent plus comme des agents IA, car ils prétendent être différents navigateurs ou appareils (usurpation d’agent utilisateur), changent rapidement leurs adresses IP (rotation rapide d’IP), sont incohérents par rapport à l’activité typique de scraping et ainsi de suite. Fondamentalement, le simple volume de trafic, ainsi que la complexité accrue de leurs actions, pointent vers les agents IA, plutôt que de simples bots.

Quels signaux de comportement sont utilisés pour construire des profils de risque IP – comme la fréquence des requêtes, les en-têtes ou les modèles géographiques ?

Il est possible d’évaluer le « score de réputation » d’une adresse IP sans même regarder le contenu réel des requêtes, mais simplement en observant son comportement dans le réseau. Ces modèles irréguliers sont « indépendants du contenu », ce qui signifie que vous n’avez pas besoin de données réelles. Les métadonnées et le comportement spécifique suffisent pour évaluer le profil de risque de l’IP. Cela fonctionne également à grande échelle, car le comportement suspect n’est pas caché par les cryptages modernes comme TLS 1.3 ou ECH. Il y a encore beaucoup de données observables qui ne sont simplement pas chiffrées.

Comment votre système distingue-t-il entre l’automatisation benigne et l’activité malveillante comme le scraping, les botnets ou le remplissage de mots de passe – notamment sans inspecter le contenu de la charge utile ?

Il est important de considérer comment l’automatisation se comporte sur une certaine période, et non seulement ce qu’elle demande. Les « bons » bots sont généralement très prévisibles, ont une certaine structure et des étapes qu’ils suivent. Les bots malveillants, en revanche, sautent souvent de manière imprévisible, utilisent des identificateurs jetables, maintiennent un rythme « mécanique » rigide et répartissent les requêtes sur de nombreux serveurs pour éviter la détection. Cela se résume à la modélisation du comportement étendu, en évaluant comment il se déplace sur le site au fil du temps.

Pouvez-vous expliquer comment les fournisseurs de services Internet existants luttent pour gérer le trafic de proxy croissant tout en maintenant de solides défenses contre les cyberattaques ?

Les protocoles modernes cachent davantage les détails de connexion pour une plus grande confidentialité, il est donc de plus en plus difficile et coûteux pour les fournisseurs de services Internet d’évaluer le type de trafic ainsi que de le classer correctement. Puisqu’il est plus difficile de voir ce qui se trouve à l’intérieur, les fournisseurs de services Internet s’appuient davantage sur le comportement du trafic, et non sur le contenu. La lutte réside dans le changement forcé de leur approche, passant d’une confiance principale dans l’inspection du trafic, ce qui a augmenté les coûts opérationnels, à l’intégration de nouveaux outils d’intelligence sur les menaces pour s’adapter à la nouvelle approche.

Quels sont les compromis en matière de cybersécurité que les fournisseurs de services Internet doivent affronter s’ils assouplissent les restrictions pour accueillir le trafic des agents IA ?

Assouplir les filtres peut réduire les faux positifs et la friction, pour maintenir les agents en cours d’exécution de tâches en douceur. Mais cela peut également potentiellement augmenter le nombre de menaces et d’attaques, car la part de « mauvais bots » représente déjà une quantité importante de trafic. Des filtres plus souples équivalent à des risques plus élevés. Une façon de compromettre entre les deux serait l’approche de contrôle pondéré par le risque. Par exemple, si le trafic est suspect, la première étape pourrait consister à le ralentir, plutôt que de le bloquer complètement. Des contrôles plus nuancés doivent être mis en place.

Quelles sont les technologies de base qui alimentent votre notation de risque en temps réel – utilisez-vous l’apprentissage automatique, les flux d’intelligence sur les menaces ou la détection d’anomalies de comportement ?

Nous utilisons un mélange sain de surveillance de données en direct et d’évaluation, d’apprentissage automatique et de divers outils d’intelligence sur les menaces. L’objectif est de repérer rapidement les irrégularités dans le comportement, de comprendre l’intention du trafic et s’il y a des raisons de croire qu’il est nuisible ; si oui, signaler les cas à haut risque et y répondre en conséquence.

Comment votre système s’intègre-t-il aux flux de travail existants des fournisseurs de services Internet ou des centres de sécurité des entreprises – peut-il déclencher des alertes ou une mitigation automatiquement ?

Oui, notre système envoie des alertes aux flux de travail existants, ainsi que bloque certaines menaces au niveau du réseau. Il peut fonctionner dans différents modes, en fonction de la tolérance au risque.

Ce système de profilage a-t-il découvert des modèles d’attaque ou des cas d’utilisation abusive surprenants pendant les tests ou les déploiements initiaux ?

Oui, il y en a eu plusieurs. Un exemple à travers l’industrie pourrait être les « crawls d’hallucination », lorsque les LLM inventent des URL inexistants, puis tentent de les récupérer. Ou des pics soudains de requêtes, se répétant à exactement les mêmes intervalles de temps, comme 15 minutes ou une heure. Tous ces modèles sont utiles pour nous afin d’affiner encore la traque du comportement et de réduire les faux positifs.

Quelles sont les implications en matière de confidentialité et de sécurité de la construction de profils basés sur le comportement sans inspecter le contenu chiffré – notamment sous les lois mondiales de protection des données ?

Les métadonnées de comportement peuvent être considérées comme des données personnelles, mais il y a des exceptions, par exemple, si l’intérêt est légitime, peut être justifié et est nécessaire à la surveillance de la sécurité. Cela étant dit, l’intérêt pour accéder et la quantité de données conservées doivent être proportionnés aux risques évalués.

Comment empêchez-vous les faux positifs de signaler des automatisations bénignes, comme des crawlers de recherche ou des agents IA whitelisted, comme des menaces cybernétiques ?

Nous testons de nouvelles garanties et règles avant de les déployer, évaluons plusieurs signaux avant de prendre une mesure, utilisons également des défis doux en premier pour tester la légitimité du trafic, plutôt que de le bloquer purement et simplement. Il s’agit d’une liste de contrôle à plusieurs couches, qui est constamment affinée.

Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter IPXO.