Sécurité IA : le danger qui venait des fournisseurs technologiques
Les responsables informatiques seraient-ils schizophrènes ? Une étude pointe l’aveuglement des CIO en matière de sécurité des outils IA ainsi qu'un manque de transparence dans le traçage des données. Chris McBrayne, vice president chez Red Hat explique comment cette confiance en la maîtrise des agents autonomes se heurte au manque de visibilité de la chaîne d’approvisionnement logicielle.
L’éditeur de solutions open source Red Hat a sondé quelque 1.400 CIO dans le monde (dont 100 en Belgique) sur l’adoption de l’IA et la gestion des risques en entreprise. Il ressort de l’enquête que les agents autonomes s’installent à toute vitesse dans nos environnements de production : 99 % des entreprises belges interrogées font déjà tourner des agents en production.
Mais un fossé se creuse entre la maîtrise que les entreprises pensent avoir de la situation et leur visibilité réelle des processus de travail.
En effet, la plupart des CIO belges interrogés (80 %) se disent très confiants quant à la sécurité de leurs agents IA et au respect de la réglementation, notamment grâce à des garde-fous et au monitoring qu’ils effectuent. Mais en réalité, les chiffres montrent que cet optimisme masquer un manque de visibilité patent.
« La plupart des CIO belges pensent que leurs agents IA fonctionnent en toute sécurité, alors qu’ils sont moins nombreux à pouvoir retracer avec précision les endroits où les données sont stockées et traitées », confirme Chris McBrayne, vice president, global enterprise sales chez Red Hat.
Les résultats de l’étude montrent qu’à peine un sondé sur quatre (23 %) dispose vraiment d’une vue complète de sa propre chaîne d’approvisionnement logicielle. Y compris les composants open source, leur provenance, leurs versions et leurs dépendances directes et indirectes. Tandis que seulement 28 % des CIO évaluent en continu les risques des fournisseurs d’IA, même après l’intégration initiale.
Autrement dit, les CIO pensent disposer des bons contrôles de sécurité et de souveraineté pour leurs agents IA et leurs environnements, alors qu’il leur manque en réalité des preuves vérifiables.
Chris McBrayne, vice president, global enterprise sales chez Red Hat, résume les résultats de l’étude. « La plupart des entreprises sondées sont assez sûres de pouvoir suivre et contrôler efficacement leurs agents IA. Mais, cette confiance en leurs propres capacités n’est pas toujours justifiée, car notre étude révèle un manque de transparence sur les flux de données, les dépendances logicielles et les risques liés aux fournisseurs. Des architectures ouvertes dotées d’une gestion centralisée aident en revanche les entreprises à garder le contrôle et à rester flexibles dans le choix des modèles et des fournisseurs. »
Le risque majeur des dépendances logicielles indirectes
Autre raison de se faire du mouron. La plupart (80 %) des CIO belges interrogés affirment pouvoir corriger les vulnérabilités logicielles critiques en moins de 24 heures dès qu’un correctif est disponible. Alors que les autres admettent y consacrer quelques jours, voire une semaine pour 1% des répondants.
L’étude montre également que la plupart des entreprises ne savent pas précisément quels composants logiciels elles utilisent lorsqu’elles travaillent avec des agents IA. Bien que 4 CIO belges sur 10 aient une bonne visibilité sur les composants open source et leurs versions, peu d’entre eux connaissent précisément leur provenance ou leurs dépendances indirectes. Bref, un CIO sur quatre admet connaitre précisément les composants utilisés, sans toutefois disposer d’une vue d’ensemble sur la chaîne logicielle.
Stef Schampaert, country managing director BeLux de Red Hat, apporte sa conclusion. « Pour gouverner efficacement l’IA, les politiques et les processus d’audit ne suffisent pas. Il faut avant tout une visibilité complète. Les entreprises doivent savoir comment circulent leurs données, quels composants logiciels elles utilisent et quels risques accompagnent leurs fournisseurs d’IA, et ce tout au long du cycle de vie de leurs agents. Celui qui veut déployer l’IA et les agents à grande échelle doit mettre en place des mécanismes de monitoring et de gouvernance, afin de détecter les risques tôt. Surtout depuis que l’IA facilite la découverte et l’exploitation des vulnérabilités. Les chaînes logicielles fiables et les projets communautaires qui développent des correctifs rapidement, les testent à fond et les rendent aussi disponibles pour d’anciennes versions réduisent les risques de sécurité comme les risques opérationnels. »
L’évaluation des risques, une tâche « éternelle »
Le sondage élaboré par Red Hat fait apparaître que 36 % des CIO belges interrogés réalisent une évaluation des risques avant d’adopter une nouvelle technologie d’IA. Mais l’étude montre également qu’il s’avère difficile de suivre et d’évaluer ces risques par la suite. E effet, 16 % s’appuient sur des certifications indépendantes, des audits, des contrats et d’autres garanties externes. Fait marquant : 1 % se fie à la réputation, à l’expérience et aux relations existantes avec le fou
Bref, l’innovation en IA va à toute vitesse et le marché ne cesse de bouger. Un système peut donc être parfaitement sécurisé et conforme au moment du déploiement, puis se retrouver totalement exposé peu après.
