Chaque employé est désormais en première ligne de la cybersécurité IA

Les responsables de la sécurité des entreprises doivent agir rapidement pour instaurer une culture collective axée sur la sécurité dans toute l'organisation.

Le paysage technologique des entreprises évolue à une vitesse que peu avaient anticipée avant qu'il ne soit trop tard. Nous avons officiellement franchi le cap du code écrit par l'humain et de l'assistance basique par copilote pour entrer dans l'ère du cycle de vie de développement agentique (ADLC). Si les agents IA autonomes promettent une efficacité sans précédent dans de multiples fonctions, ils apportent également une toute nouvelle catégorie de risques en matière de sécurité et de réglementation.

Vous pensez que les cyberrisques réels sont encore lointains ? La récente attaque par agent OpenAI sur Hugging Face, les révélations ultérieures de la plupart des entreprises d'IA sur des événements similaires, et le message du PDG d'Anthropic sur la nécessité de « ralentir » prouvent que la plupart d'entre nous sommes terriblement mal préparés à ce qui peut être exécuté de manière autonome et affecter nos chaînes d'approvisionnement logicielles. Lors d'évaluations internes, une nuée d'agents IA a fait preuve d'une coopération émergente, a rétro-conçu des systèmes de notation automatisés, a falsifié des transcriptions de commandes et a même exploité des vulnérabilités pour obtenir un accès administrateur à un cluster de recherche. Lorsque des systèmes autonomes peuvent coopérer, se sacrifier et dissimuler leurs traces, nous devons admettre que les frontières de sécurité traditionnelles sont obsolètes.

Parallèlement, ce pouvoir ne se limite pas à l'ingénierie. Nous assistons à une explosion des « développeurs citoyens », ces employés non techniques qui utilisent des outils low-code, no-code et de « vibe coding » pilotés par l'IA. Des assistants de direction soumettent du code sur GitHub (oui, cela vient d'arriver dans mon entreprise) sans vraiment comprendre ce qu'il fait. Les opérations commerciales réclament des clés API parce qu'elles ont construit leur propre « centre de commande », et Claude leur a recommandé de le déployer sur une infrastructure informatique fantôme. Et ce week-end, j'ai moi-même utilisé Lovable pour créer un site web communautaire pour moins de 25 dollars, simplement en discutant tout en lavant ma voiture et en faisant mes courses. Le résultat ressemble à quelque chose qui aurait dû prendre des semaines à un développeur professionnel. Lovable m'a même averti de la présence de « paquets obsolètes » et d'« attaques par injection »... il en a même corrigé certaines correctement. D'autres ? Pas vraiment, et elles ont nécessité une intervention manuelle.

‍Gartner estime qu'à l'horizon 2026, les développeurs citoyens dans les grandes entreprises seront quatre fois plus nombreux que les développeurs professionnels, et que 70 % des nouvelles applications déployées utiliseront des plateformes low-code et no-code pour répondre à une demande qui croît cinq fois plus vite que ce que l'informatique traditionnelle peut supporter.

Si cette transformation numérique pilotée par les métiers favorise l'agilité, elle élargit exponentiellement notre surface d'attaque. Le personnel non technique manipule régulièrement du code source sensible, exposant des données propriétaires à des modèles d'IA externes non autorisés et déployant des applications « vibe-codées » avec des dépendances invisibles.

Dans le cadre de nouvelles réglementations mondiales comme l'EU AI Act, ce « vibe coding » sans garde-fous est une recette pour l'échec en matière de conformité. L'EU AI Act exige une responsabilité, une transparence et une supervision humaine strictes. Les organisations ne peuvent plus ignorer l'IA fantôme, les failles de sécurité dans les modèles utilisés, ou l'observabilité de qui utilise les outils et si ces personnes connaissent les meilleures pratiques de sécurité pour leur rôle.

Chez Secure Code Warrior, nous avons passé cette année à bâtir les fondations pour gouverner ce nouveau paradigme. Plus tôt cette année, nous avons introduit le SCW AI Adoption Model, offrant aux RSSI une feuille de route pratique pour gérer la transition du SDLC traditionnel vers l'ADLC en toute sécurité. Nous avons lancé le SCW AI Trust Index, répondant à la question : « Un LLM peut-il réellement fournir un code 100 % sécurisé ? Et comment se comparent-ils ? » Nous avons analysé 1 760 bases de code générées par IA sur seize modèles de pointe et avons révélé que le code généré par IA contient en moyenne 15 vulnérabilités confirmées par base de code, dont 4,3 sont considérées comme « sévères ». Nous avons livré Adaptive Learning, qui injecte un micro-apprentissage précis dans les flux de travail des développeurs au moment exact où un risque est introduit, fournissant des preuves auditables de formation par développeur qui soutiennent la conformité avec l'EU AI Act, l'ISO/IEC 42001 et le NIST AI Risk Management Framework.

Mais sécuriser les développeurs n'est que la moitié de la bataille. Si 57 % des organisations ont intégré l'IA dans leurs processus fondamentaux, mais que seulement 23 % estiment que leurs effectifs sont prêts, nous faisons face à un écart de risque humain massif.

Afin d'aider chaque RSSI et équipe L&D à gérer le risque lié à l'explosion du nombre d'employés non techniques créant des solutions, nous lançons Citizen AI by Secure Code Warrior.

Citizen AI est un programme révolutionnaire de littératie en sécurité IA conçu spécifiquement pour les équipes métier non techniques. Il aide les organisations à dépasser les politiques passives, en dotant chaque employé des compétences pratiques et des habitudes responsables nécessaires pour naviguer en toute sécurité dans les flux de travail pilotés par l'IA, tout en soutenant la gouvernance globale de l'IA en entreprise et la conformité réglementaire.

Notre programme de lancement se concentre sur quatre domaines vitaux :

1. Comprendre le fonctionnement de l'IA : Démystifier la nature prédictive des LLM et leur différence avec la recherche.
2. Prompting intelligent et vérification des résultats : Apprendre à repérer les hallucinations et à utiliser le « provenance prompting » pour vérifier les affirmations de l'IA.
3. Gérer les artefacts d'IA : Reconnaître les risques liés aux automatisations tierces et aux dépendances invisibles.
4. Reconnaître les risques du « vibe-coding » : Savoir quand un site web ou une application « vibe-codée » nécessite une ingénierie professionnelle et une supervision de sécurité.

Avec Citizen AI, nous transformons la sécurité d'un contrôle technique réactif en une habitude proactive à l'échelle de l'organisation. Ensemble, nous pouvons bâtir une main-d'œuvre prête pour l'IA qui stimule l'innovation en toute sécurité, en conformité et à la vitesse de l'avancée technologique la plus fulgurante de notre époque.