La Nouvelle Ère de l’Usurpation d’Identité des Cadres ne Concernera pas les Cadres

Pendant les dernières années, la plus grande menace numérique à laquelle les marques étaient confrontées était l’usurpation d’identité des cadres, souvent exécutée par le biais d’adresses e-mail falsifiées ou de comptes de réseaux sociaux usurpés. Aujourd’hui, nous sommes confrontés à un ennemi beaucoup plus complexe et convaincant : les agents IA.

L’émergence d’agents autonomes alimentés par des modèles de langage à grande échelle (LLM), conçus pour fonctionner avec peu ou pas d’intervention humaine, a ouvert de nouvelles possibilités qui rappellent l’excitation vue aux débuts de l’ère web2 et des applications mobiles.

Alors que les agents vraiment autonomes n’ont pas encore fait le saut de la vision à la réalité, les experts avertissent qu’ils pourraient être en mesure de parcourir les réseaux d’entreprise dès l’année prochaine. L’excitation et l’adoption qui suivent tomberont inévitablement sous le radar des cybercriminels, qui voient les agents autonomes comme un nouveau front pour la fraude numérique. Que se passe-t-il lorsque ces agents sont usurpés ? Ou pire, lorsqu’ils sont les usurpateurs ?

Tout comme les applications mobiles ont été confrontées à un déluge de versions contrefaites conçues pour extraire les informations de connexion ou installer des logiciels malveillants, les agents IA sont maintenant prêts à faire face à une vague similaire de copies. Cette fois, cependant, le risque sera plus difficile à détecter et les dommages potentiels plus étendus.

De l’Usurpation d’Identité des Cadres à l’Usurpation d’Agents

L’IA a déjà ouvert de nouvelles voies de fraude et de tromperie, caractérisées par des arnaques d’usurpation de voix qui peuvent recréer les modèles de parole d’un cadre en utilisant seulement quelques secondes d’audio, par exemple, et récemment, des preuves d’usurpation de vidéos et de voix en temps réel ont été signalées. Imaginez maintenant un agent autonome, prétendument représentant votre entreprise, engageant des interactions avec des clients, des investisseurs ou des partenaires. Cet agent pourrait être intégré à un site Web, intégré à un chatbot ou même interagir via e-mail, offrant des interactions plausibles, professionnelles et complètement frauduleuses.

Le prédécesseur des agents copie-collés peut se trouver dans les modèles « jailbreak », par lesquels les acteurs menaçants manipulent les LLM, souvent par le biais d’injections de invites ou de techniques à plusieurs tours, pour produire des sorties nuisibles ou fausses. Mais cela ne fait que commencer.

Selon les données de PitchBook, les entreprises d’IA ont levé 131,5 milliards de dollars en 2024, représentant plus d’un tiers des transactions de capital-risque mondiales. La course aux armements de l’IA, alimentée par des fondateurs ambitieux, des investisseurs affamés et des gouvernements impatients, accélérera rapidement les capacités de cette technologie émergente, dont les cas d’utilisation légitimes continueront à être exploités à des fins malveillantes.

L’IA générative a et continuera à démocratiser la création de tels agents. Alors que les plates-formes se disputent pour les intégrer, peu de garde-fous existent pour vérifier leur authenticité. Cela ouvre la porte à une nouvelle classe d’usurpation : non seulement de personnes, mais également de logiciels.

Un Signal d’Alarme pour les Marques Impatientes et les Consommateurs Curieux

Les consommateurs et les marques sont seulement en train de comprendre ce que signifie faire confiance à un agent. Mais la confiance est l’axe de toute interaction numérique, et lorsqu’elle est brisée, les conséquences peuvent être dévastatrices.

Comme observé avec les vidéos et les clones de voix, les agents fictifs peuvent être utilisés pour :

• Demander des paiements ou des données sensibles sous le prétexte d’une marque établie ou autrement fiable
• Rediriger les utilisateurs vers des sites Web infectés par des logiciels malveillants via les DM de réseaux sociaux ou les publicités payantes
• Éroder la confiance des clients et déclencher des dommages à la réputation à grande échelle

Selon un rapport récent de la Federal Trade Commission, les arnaques d’usurpation étaient responsables de près de 3 milliards de dollars de pertes signalées aux États-Unis seulement – un chiffre qui devrait augmenter fortement à mesure que l’usurpation d’IA deviendra plus fluide et plus rentable.

La Prolifération des Agents Fictifs : Publicités, Recherche et Réseaux Sociaux

Ce qui est particulièrement dangereux, c’est la façon dont les agents copie-collés seront distribués. Ils n’ont pas besoin de leurs propres sites Web ou de domaines pour gagner en importance. Les acteurs malveillants peuvent, et le font, utiliser les résultats de recherche payante et les plateformes de réseaux sociaux pour promouvoir des clones malveillants de marques, de cadres ou de produits de confiance. Un lien sponsorisé sur Google ou une publication sponsorisée sur Instagram, par exemple, suffit pour diriger les utilisateurs non avertis vers un agent fictif ou un portail de support.

Ce risque au niveau de l’écosystème, où les acteurs malveillants détournent les biens numériques légitimes pour faciliter les arnaques, nécessite une nouvelle école de pensée pour la cybersécurité. Il ne suffit plus de sécuriser votre réseau, votre cloud ou de sécuriser les informations d’identification de vos employés. Le périmètre de menace de votre marque comprend maintenant chaque réseau publicitaire, chaque plateforme de recherche et chaque outil tiers avec lequel vos clients interagissent.

Agir avant qu’il ne soit Trop Tard

Nous entrons dans un monde où la ligne entre les humains et les agents est de plus en plus floue. La menace n’est plus seulement l’usurpation de personnes, qui est actuellement à une croissance exponentielle en raison des outils d’IA disponibles, mais l’usurpation de personas numériques.

Alors, comment les entreprises peuvent-elles se préparer ?

1. Cartographiez la présence numérique de votre marque : Connaissez les endroits où vos clients interagissent avec votre entreprise et vos agents – que ce soit sur votre site, via une API ou par le biais de tiers – et surveillez activement ces points d’entrée pour les tentatives d’usurpation.
2. Surveillez les écosystèmes d’agents émergents : À mesure que les marchés ouverts d’agents et les plateformes (comme Hugging Face Spaces) gagnent en popularité, soyez vigilant quant aux clones ou aux forks de vos outils apparaissant ailleurs.
3. Raccourcissez le temps de détection (TTD) et le temps de remédiation (TTR) : Utilisez des solutions qui permettent d’identifier et de supprimer rapidement les usurpateurs, en particulier ceux qui abusent des publicités payantes ou des plateformes de réseaux sociaux, est crucial pour limiter les dommages.
4. Éduquez vos utilisateurs : Intégrez la transparence dans vos expériences d’agent. Vos utilisateurs doivent comprendre où et comment ils devraient interagir avec vos outils et comment repérer les signaux rouges.
5. Établissez des protocoles d’authenticité d’agent : Travaillez vers une vérification cryptographique ou basée sur des métadonnées qui peut confirmer l’origine et la légitimité d’un agent.

La solution réside dans la sécurisation de l’écosystème des agents IA, et non dans son évitement. Tout comme nous avons appris à vérifier les domaines, à authentifier les e-mails et à vérifier les applications mobiles dans les décennies passées, nous devons maintenant étendre le même degré de vigilance au monde des agents IA. Si nous ne nous occupons pas de l’usurpation d’agents maintenant, nous pourrions nous retrouver à parler à un assistant qui ressemble à un assistant familier mais qui travaille pour l’autre camp.