Le Centre national britannique de cybersécurité (NCSC) a expliqué pourquoi l’intelligence artificielle pourrait être adoptée différemment par les défenseurs que par les attaquants, estimant que les risques organisationnels et la responsabilité restent des contraintes majeures pour les opérations de sécurité autonomes.
Dans un article de blog, Dave Chismon du NCSC a indiqué que les activités cyber offensives impliquent souvent des défis techniques assortis de critères de réussite relativement clairs, comme l’exploitation d’une vulnérabilité ou le contournement de mécanismes de détection. Les défenseurs, en revanche, doivent prendre en compte l’impact opérationnel potentiel de chacune de leurs actions, notamment pour déterminer si l’application d’un correctif, la modification d’un pare-feu ou l’analyse d’un système pourraient perturber des services métier essentiels.
Cette distinction signifie que les organisations ne peuvent pas simplement déployer des outils d’IA agentique afin d’apporter des changements défensifs sans supervision. Les équipes de sécurité opèrent dans le cadre de budgets, de processus de gestion des changements, d’exigences juridiques et de priorités métier concurrentes, indique l’article. Une réponse automatisée qui interrompt accidentellement des services peut être considérée par la direction comme aussi grave qu’une attaque externe perturbatrice.
L’automatisation exige des limites clairement définies
Le NCSC a indiqué que l’IA peut néanmoins apporter une valeur considérable à la cyberdéfense lorsqu’elle est utilisée dans le cadre de contraintes soigneusement établies. Il a mis en avant des activités de nature technique, notamment la découverte de vulnérabilités, les tests d’intrusion et la surveillance de la sécurité, comme des domaines dans lesquels l’automatisation peut aider les défenseurs.
Toutefois, ces capacités nécessitent généralement une préparation importante avant de devenir courantes. Par exemple, les organisations peuvent devoir s’assurer que les analyses de vulnérabilités n’affecteront pas les systèmes de production, ou convenir de politiques et d’accords de partage de données avant de mettre en place un centre des opérations de sécurité.
Une fois les processus de détection en place, les résultats sont généralement transmis aux personnes responsables de la remédiation, telles que les développeurs de logiciels, les propriétaires de systèmes et les équipes de réponse aux incidents. Cette approche reflète un modèle plus large dans lequel la technologie identifie les problèmes potentiels, tandis que les humains conservent la responsabilité des décisions ayant des conséquences importantes.
- Les technologies de détection doivent être conçues de manière à ne pas nuire aux opérations métier.
- Les actions automatisées doivent avoir un périmètre restreint et bien compris.
- Les équipes humaines doivent rester responsables des décisions de remédiation et de réponse à plus fort impact.
L’article fait référence à une étude sur la cyberdéfense autonome commandée par le NCSC et menée par le Centre for Emerging Technology and Security. Cette étude a révélé que les organisations présentent des niveaux de confiance variables à l’égard des activités de sécurité pilotées par l’IA. L’analyse du NCSC suggère que le succès de la défense agentique dépendra moins de la nécessité d’égaler l’autonomie des attaquants que du déploiement de l’automatisation dans les cas où son autorité, ses risques et ses résultats attendus sont clairement définis.