Tirer parti de l'innovation liée à l'IA nécessite de commencer par un code sécurisé

Les développeurs de logiciels ont prouvé qu'ils étaient prêts et disposés à utiliser l'intelligence artificielle (IA) générative pour écrire du code, et ils ont généralement obtenu des résultats favorables. Cependant, de nombreux signes indiquent qu'ils pourraient jouer avec le feu.

Selon une récente enquête menée par GitHub, plus de 90 % des développeurs américains utilisent des outils de codage basés sur l'IA, citant des avantages tels qu'une exécution plus rapide, une résolution rapide des incidents et un environnement plus collaboratif, ce qu'ils considèrent comme important. Travailler avec des outils d'IA permet aux développeurs de déléguer les tâches routinières, leur laissant le temps de se consacrer à des missions plus créatives bénéfiques pour leur entreprise et, ce qui n'est pas négligeable, réduisant les risques d'épuisement professionnel.

Cependant, des études ont également montré que les outils d'IA ont tendance à introduire des failles lors de l'écriture du code. Une enquête menée par Snyk a révélé que, bien que 75,8 % des personnes interrogées estiment que le code généré par l'IA est plus sécurisé que celui écrit par un humain, 56,4 % admettent que l'IA introduit parfois des problèmes de codage. Plus inquiétant encore, 80 % des répondants ont déclaré contourner les politiques de sécurité du code liées à l'IA pendant le développement.

Depuis le lancement de ChatGPT par OpenAI en novembre 2022, l'utilisation de modèles d'IA générative s'est propagée à une vitesse fulgurante dans le processus de développement de code au sein des services financiers, comme dans de nombreux autres secteurs. L'émergence rapide d'autres modèles, tels que GitHub Copilot, OpenAI Codex et une liste croissante d'autres outils, suggère que nous n'avons fait qu'effleurer le potentiel et l'impact de l'IA générative. Mais pour que cet impact soit positif, nous devons nous assurer que le code généré est sécurisé.

Les bugs de codage peuvent se propager rapidement

Qu'il soit créé par des développeurs humains ou par des modèles d'IA, le code contiendra inévitablement des erreurs. Avec l'IA qui contribue à accélérer le développement de code pour répondre aux exigences croissantes des environnements informatiques hautement distribués et basés sur le cloud, les risques qu'un code défectueux se propage largement avant d'être détecté pourraient augmenter.

Les modèles d'IA entraînés à écrire du code ingèrent des milliers d'exemples de code effectuant diverses tâches, puis s'appuient sur ces exemples pour créer leur propre code. Mais si les échantillons utilisés contiennent des failles ou des vulnérabilités — qu'ils aient été créés à l'origine par un humain ou par une autre IA — le modèle pourrait transférer ces défauts dans un nouvel environnement.

Étant donné que la recherche a montré que les modèles d'IA ne sont pas capables de reconnaître de manière fiable les failles dans le code qu'ils utilisent, il existe peu de défenses intégrées contre la propagation de ces vulnérabilités. L'IA ne se contentera pas de faire des erreurs de codage, elle répétera ses propres erreurs et celles d'autres sources jusqu'à ce que la vulnérabilité soit identifiée plus tard — peut-être sous la forme d'une faille réussie chez une entreprise utilisant le logiciel créé.

La véritable défense contre la prolifération des failles de codage réside dans la collaboration entre les humains et les modèles d'IA. Les développeurs humains doivent superviser l'écriture du code par l'IA et servir de rempart contre les pratiques de codage non sécurisées et le code vulnérable. Mais pour que cela soit possible, les développeurs doivent être parfaitement formés aux meilleures pratiques de rédaction de code sécurisé afin de pouvoir identifier et corriger rapidement les erreurs de codage qu'une IA pourrait commettre.

Les défis de la création et de la remédiation de code par l'IA

L'explosion soudaine des grands modèles de langage (LLM) comme ChatGPT a été une arme à double tranchant. D'un côté, les entreprises et les utilisateurs quotidiens ont constaté d'énormes gains de productivité en utilisant l'IA pour gérer des tâches chronophages, fastidieuses ou complexes. De l'autre, il existe de nombreux exemples de ce qui peut mal tourner lorsque l'on fait aveuglément confiance à l'IA pour effectuer le travail.

Les modèles d'IA ont commis des erreurs flagrantes, fait preuve de biais et produit des hallucinations pures et simples. Dans de nombreux cas, la racine du problème résidait dans des données d'entraînement inadéquates ou irresponsables. Tout modèle d'IA n'est aussi bon que les données sur lesquelles il est entraîné ; il est donc essentiel que ces données soient complètes et soigneusement vérifiées. Même dans ce cas, certaines erreurs seront inévitables.

L'utilisation de l'IA pour le codage fait face à bon nombre de ces mêmes obstacles. Il a été démontré que le code généré par l'IA contient diverses failles, telles que des vulnérabilités aux injections de scripts intersites (XSS) et aux injections de code, ainsi que des attaques spécifiques à l'IA et à l'apprentissage automatique (ML), comme l'injection de prompt. Les modèles d'IA fonctionnent également comme une boîte noire, car leurs processus ne sont pas transparents, ce qui empêche une équipe de sécurité ou de développement de comprendre comment l'IA parvient à ses conclusions. Par conséquent, le modèle peut répéter les mêmes erreurs indéfiniment. Les mêmes lacunes qui peuvent affecter l'écriture de code se retrouvent également dans l'utilisation de l'IA pour la remédiation de code et le respect des exigences de conformité.

Le risque que des failles soient créées ou répétées par des modèles d'IA a atteint un tel point que les LLM disposent désormais de leur propre liste OWASP (Open Web Application Security Project) des dix principales vulnérabilités.

Les développeurs et l'IA peuvent collaborer pour créer un code sécurisé

Les inquiétudes concernant les failles potentielles du code généré par l'IA pourraient inciter certaines organisations à marquer une pause, bien que brève, avant d'adopter cette technologie. Mais les avantages potentiels sont trop importants pour être ignorés, surtout à mesure que les développeurs d'IA continuent d'innover et d'améliorer leurs modèles. Le secteur des services financiers, par exemple, ne risque pas de faire marche arrière. Les banques et les entreprises de services financiers sont déjà axées sur la technologie et opèrent dans un domaine où elles recherchent constamment un avantage concurrentiel.

L'essentiel est de déployer des modèles d'IA tout en minimisant les risques. Cela implique de s'appuyer sur des développeurs sensibilisés à la sécurité et formés aux meilleures pratiques de codage sécurisé, afin qu'ils puissent produire eux-mêmes du code fiable et surveiller étroitement celui généré par l'IA. En instaurant une collaboration étroite entre les moteurs d'IA et les développeurs, ces derniers conservant le dernier mot, les entreprises gagnent en productivité et en efficacité tout en renforçant leur sécurité, en limitant les risques et en garantissant leur conformité.

Pour un aperçu complet de la manière dont le codage sécurisé favorise la réussite, la sécurité et la rentabilité des entreprises de services financiers, consultez le nouveau guide de Secure Code Warrior : Le guide ultime des tendances de sécurité dans les services financiers.

‍

‍

Consultez les pages du blog de Secure Code Warrior pour obtenir plus d'informations sur la cybersécurité, sur l'évolution des menaces, et pour découvrir comment utiliser des technologies et des formations innovantes afin de mieux protéger votre organisation et vos clients.

‍