Le NCSC souligne les vérifications essentielles à effectuer avant d’utiliser l’IA pour rechercher des vulnérabilités

Le Centre national de cybersécurité du Royaume-Uni a publié des recommandations à l’intention des organisations qui envisagent d’utiliser des modèles d’intelligence artificielle pour identifier des failles logicielles. Le message est simple : l’IA peut soutenir les activités de sécurité, mais elle peut aussi introduire de nouveaux risques si elle est adoptée sans plan clairement défini.

Le NCSC avertit que l’analyse du code avec un outil d’IA ne revient pas à améliorer la sécurité. Les organisations doivent toujours disposer d’une gestion solide des vulnérabilités, appliquer rigoureusement les correctifs et avoir une compréhension claire de leurs systèmes. Dans de nombreux cas, une cyberhygiène de base réduira les risques plus efficacement que la recherche d’un grand nombre de problèmes nouvellement découverts.

Les questions à se poser avant de déployer l’IA

Ces recommandations invitent les équipes de sécurité à examiner plusieurs questions pratiques avant d’autoriser les systèmes d’IA à accéder au code, à la documentation ou aux environnements de production.

• Quel objectif métier l’organisation cherche-t-elle à atteindre ?
• L’IA est-elle le meilleur moyen d’améliorer la sécurité, ou les efforts devraient-ils d’abord porter sur les mesures d’hygiène essentielles ?
• Un processus est-il en place pour recevoir, hiérarchiser et corriger les vulnérabilités ?
• Comment les résultats seront-ils classés afin que les problèmes les plus facilement exploitables soient traités en premier ?
• Quels sont les risques liés à l’exposition d’informations sensibles ou à l’attribution de permissions excessives au modèle ?

Le centre conseille également aux organisations d’examiner le modèle qu’elles choisissent, notamment son lieu d’hébergement, la juridiction applicable et les règles de conservation des données associées au service. Il recommande de commencer par la surface d’attaque externe et de faire vérifier les résultats par un humain, plutôt que de s’en remettre uniquement à l’IA.

Planifier sur le long terme

Le NCSC indique que les organisations doivent également réfléchir au-delà d’un projet unique. Les systèmes d’IA de pointe évoluent rapidement, et les équipes de sécurité devront mettre en place un plan durable pour évaluer les nouveaux modèles, gérer les mises à jour et répondre aux vulnérabilités touchant les produits et services dont elles dépendent.

Il ajoute qu’il vaut mieux considérer l’IA comme un outil capable d’accélérer le travail de spécialistes, et non de remplacer les professionnels expérimentés. Les organisations qui associent l’automatisation à une gestion rigoureuse des actifs, à l’application des correctifs et à une solide expertise en sécurité sont davantage susceptibles d’obtenir des gains concrets.