Chaque employé est désormais en première ligne de la cybersécurité liée à l'IA

Les responsables de la sécurité des entreprises doivent agir rapidement pour instaurer une culture collective axée sur la sécurité à l'échelle de l'organisation.

Le paysage technologique des entreprises évolue à une vitesse que peu avaient anticipée avant qu'il ne soit trop tard. Nous avons officiellement franchi le cap du code écrit par l'humain et de l'assistance basique par copilote pour entrer dans l'ère du cycle de vie de développement agentique (ADLC). Si les agents IA autonomes promettent une efficacité sans précédent dans de multiples fonctions, ils apportent également une toute nouvelle catégorie de risques en matière de sécurité et de réglementation.

Vous pensez que les cyberrisques réels sont encore loin ? Le récent piratage par agent OpenAI sur Hugging Face, les révélations ultérieures de la plupart des entreprises d'IA sur des événements similaires, et le message du PDG d'Anthropic sur la nécessité de « ralentir » ont prouvé que la plupart d'entre nous sommes terriblement mal préparés à ce qui peut être exécuté de manière autonome et affecter nos chaînes d'approvisionnement logicielles. Lors d'évaluations internes, un essaim d'agents IA a fait preuve d'une coopération émergente, a rétro-conçu des systèmes de notation automatisés, a falsifié des transcriptions de commandes et a même exploité des vulnérabilités pour obtenir un accès administrateur à un cluster de recherche. Lorsque des systèmes autonomes peuvent coopérer, se sacrifier et effacer leurs traces, nous devons réaliser que les frontières de sécurité traditionnelles sont devenues obsolètes.

Parallèlement, ce pouvoir ne se limite pas à l'ingénierie. Nous assistons à une explosion des « développeurs citoyens », ces employés non techniques qui utilisent des outils low-code, no-code et de « vibe coding » pilotés par l'IA. Des assistants de direction soumettent du code sur GitHub (oui, cela vient d'arriver dans mon entreprise) sans vraiment comprendre ce qu'il fait. Les opérations commerciales réclament des clés API parce qu'elles ont construit leur propre « centre de commande » et que Claude leur a recommandé de le déployer sur une infrastructure informatique fantôme. Et le week-end dernier, j'ai moi-même utilisé Lovable pour créer un site web communautaire pour moins de 25 dollars, simplement en discutant tout en lavant ma voiture et en faisant mes courses. Le résultat ressemble à quelque chose qui aurait dû prendre des semaines à un développeur logiciel professionnel. Lovable m'a même averti de la présence de « paquets obsolètes » et d'« attaques par injection »... il en a même corrigé certaines correctement. D'autres ? Pas vraiment, et elles ont nécessité une intervention manuelle. 

‍Gartner estime qu'à l'horizon 2026, les développeurs citoyens dans les grandes entreprises seront quatre fois plus nombreux que les développeurs professionnels, et que 70 % des nouvelles applications déployées utiliseront des plateformes low-code et no-code pour répondre à une demande qui croît cinq fois plus vite que ce que l'informatique traditionnelle peut supporter.

Si cette transformation numérique pilotée par les métiers favorise l'agilité, elle élargit exponentiellement notre surface d'attaque. Le personnel non technique manipule régulièrement du code source sensible, exposant des données propriétaires à des modèles d'IA externes non autorisés et déployant des applications « vibe-codées » avec des dépendances invisibles.

Dans le cadre des nouvelles réglementations mondiales comme l'IA Act de l'UE, ce « vibe coding » sans garde-fous est une recette pour l'échec en matière de conformité. L'IA Act de l'UE exige une responsabilité, une transparence et une supervision humaine strictes. Les organisations ne peuvent plus ignorer l'IA fantôme, les failles de sécurité dans les modèles utilisés, ou l'observabilité de qui utilise les outils et si ces personnes connaissent les meilleures pratiques de sécurité liées à leur rôle.

Chez Secure Code Warrior, nous avons passé cette année à bâtir les fondations pour gouverner ce nouveau paradigme. Plus tôt cette année, nous avons introduit le modèle d'adoption de l'IA SCW, fournissant aux RSSI une feuille de route pratique pour gérer en toute sécurité la transition du SDLC traditionnel vers l'ADLC. Nous avons lancé le Indice de confiance SCW AI, répondant à la question : « Un LLM peut-il réellement fournir un code sécurisé à 100 % ? Et comment se comparent-ils ? » Nous avons analysé 1 760 bases de code générées par IA sur seize modèles de pointe et avons révélé que le code généré par IA comporte en moyenne 15 vulnérabilités confirmées par base de code, dont 4,3 sont considérées comme « critiques ». Nous avons fourni Apprentissage adaptatif, qui intègre un micro-apprentissage précis dans les flux de travail des développeurs au moment exact où un risque est introduit, fournissant des preuves auditables de formation par développeur qui soutiennent la conformité avec l'IA Act de l'UE, la norme ISO/IEC 42001 et le cadre de gestion des risques liés à l'IA du NIST.

Mais sécuriser les développeurs n'est que la moitié de la bataille. Si 57 % des organisations ont intégré l'IA dans leurs processus fondamentaux, alors que seulement 23 % estiment que leurs effectifs sont prêts, nous sommes confrontés à un écart de risque humain massif.

Afin d'aider chaque RSSI et équipe de formation et développement à gérer le risque lié à l'explosion du nombre d'employés créant des outils en entreprise, nous lançons Citizen AI par Secure Code Warrior.

Citizen AI est un programme révolutionnaire de littératie en sécurité de l'IA conçu spécifiquement pour les équipes métier non techniques. Il aide les organisations à dépasser les politiques passives, en dotant chaque employé des compétences pratiques et des habitudes responsables nécessaires pour naviguer en toute sécurité dans les flux de travail assistés par l'IA, tout en soutenant la gouvernance globale de l'IA en entreprise et la conformité réglementaire.

Notre programme de lancement se concentre sur quatre domaines essentiels :

1. Comprendre le fonctionnement de l'IA : Démystifier la nature prédictive des LLM et leurs différences avec la recherche classique.
2. Prompting intelligent et vérification des résultats : Apprendre à repérer les hallucinations et à utiliser le prompting de provenance pour vérifier les affirmations de l'IA.
3. Gérer les artefacts d'IA : Reconnaître les risques liés aux automatisations tierces et aux dépendances invisibles.
4. Reconnaître les risques du « vibe-coding » : Savoir quand un site web ou une application développée au « feeling » nécessite une expertise en ingénierie et une supervision de sécurité professionnelle.

Avec Citizen AI, nous transformons la sécurité, passant d'un contrôle technique réactif à une habitude proactive à l'échelle de toute l'organisation. Ensemble, nous pouvons bâtir une main-d'œuvre prête pour l'IA qui stimule l'innovation en toute sécurité, en conformité et au rythme de l'avancée technologique la plus fulgurante de notre époque.