Les \u00e9quipes de s\u00e9curit\u00e9 et informatiques sont r\u00e9guli\u00e8rement oblig\u00e9es d’adopter des logiciels avant de comprendre pleinement les risques de s\u00e9curit\u00e9. Et les outils d’IA ne font pas exception.<\/p>\n
Les employ\u00e9s et les chefs d’entreprise affluent vers les logiciels d’IA g\u00e9n\u00e9rative et les programmes similaires, souvent inconscients des principales vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 SaaS qu’ils introduisent dans l’entreprise. Un f\u00e9vrier 2023 enqu\u00eate sur l’IA g\u00e9n\u00e9rative aupr\u00e8s de 1 000 cadres<\/a> a r\u00e9v\u00e9l\u00e9 que 49\u00a0% des personnes interrog\u00e9es utilisent ChatGPT maintenant, et 30\u00a0% pr\u00e9voient d’exploiter bient\u00f4t l’outil d’IA g\u00e9n\u00e9rative omnipr\u00e9sent. Quatre-vingt-dix-neuf pour cent de ceux qui utilisent ChatGPT ont revendiqu\u00e9 une certaine forme d’\u00e9conomies, et 25 % ont attest\u00e9 avoir r\u00e9duit leurs d\u00e9penses de 75 000 $ ou plus. Comme les chercheurs ont men\u00e9 cette enqu\u00eate \u00e0 peine trois mois apr\u00e8s la disponibilit\u00e9 g\u00e9n\u00e9rale de ChatGPT, l’utilisation actuelle de ChatGPT et des outils d’IA est sans aucun doute plus \u00e9lev\u00e9e. <\/p>\n Les \u00e9quipes de s\u00e9curit\u00e9 et de gestion des risques sont d\u00e9j\u00e0 d\u00e9bord\u00e9es pour prot\u00e9ger leur parc SaaS (qui est maintenant devenu le syst\u00e8me d’exploitation de l’entreprise) contre les vuln\u00e9rabilit\u00e9s courantes telles que les erreurs de configuration et les utilisateurs trop autoris\u00e9s. Cela laisse peu de bande passante pour \u00e9valuer le paysage des menaces des outils d’IA, les outils d’IA non autoris\u00e9s actuellement utilis\u00e9s et les implications pour la s\u00e9curit\u00e9 SaaS. <\/p>\n Avec les menaces \u00e9mergentes \u00e0 l’ext\u00e9rieur et \u00e0 l’int\u00e9rieur des organisations, les RSSI et leurs \u00e9quipes doivent comprendre les risques les plus pertinents des outils d’IA pour les syst\u00e8mes SaaS – et comment les att\u00e9nuer.<\/p>\n Alors que des employ\u00e9s ambitieux con\u00e7oivent des outils d’IA pour les aider \u00e0 accomplir plus avec moins, les cybercriminels font de m\u00eame. L’utilisation de l’IA g\u00e9n\u00e9rative avec une intention malveillante est tout simplement in\u00e9vitable, et c’est d\u00e9j\u00e0 possible.<\/p>\n La capacit\u00e9 de l’IA \u00e0 se faire passer pour des humains extr\u00eamement bien rend les protocoles d’authentification SaaS faibles particuli\u00e8rement vuln\u00e9rables au piratage. Selon Techop\u00e9dia<\/em>, les pirates peuvent utiliser l’IA g\u00e9n\u00e9rative \u00e0 mauvais escient pour deviner les mots de passe, craquer les CAPTCHA et cr\u00e9er des logiciels malveillants plus puissants. Bien que ces m\u00e9thodes puissent sembler limit\u00e9es dans leur port\u00e9e d’attaque, les Janvier 2023 Faille de s\u00e9curit\u00e9 CircleCI<\/strong><\/a> a \u00e9t\u00e9 attribu\u00e9 \u00e0 l’ordinateur portable d’un seul ing\u00e9nieur infect\u00e9 par un logiciel malveillant. <\/p>\n De m\u00eame, trois universitaires renomm\u00e9s en technologie ont r\u00e9cemment pos\u00e9 une hypoth\u00e8se plausible pour l’IA g\u00e9n\u00e9rative ex\u00e9cutant une attaque de phishing\u00a0: <\/p>\n “Un pirate utilise ChatGPT pour g\u00e9n\u00e9rer un message de harponnage personnalis\u00e9 bas\u00e9 sur les supports marketing de votre entreprise et les messages de phishing qui ont r\u00e9ussi dans le pass\u00e9. Il r\u00e9ussit \u00e0 tromper les personnes bien form\u00e9es \u00e0 la sensibilisation aux e-mails, car il ne semble pas comme les messages qu’ils ont \u00e9t\u00e9 entra\u00een\u00e9s \u00e0 d\u00e9tecter.”<\/em><\/p><\/blockquote>\n Les acteurs malveillants \u00e9viteront le point d’entr\u00e9e le plus fortifi\u00e9 – g\u00e9n\u00e9ralement la plate-forme SaaS elle-m\u00eame – et cibleront \u00e0 la place des portes lat\u00e9rales plus vuln\u00e9rables. Ils ne s’emb\u00eateront pas avec le p\u00eane dormant et le chien de garde situ\u00e9s pr\u00e8s de la porte d’entr\u00e9e lorsqu’ils pourront se faufiler vers les portes-fen\u00eatres non verrouill\u00e9es.<\/p>\n S’appuyer uniquement sur l’authentification pour assurer la s\u00e9curit\u00e9 des donn\u00e9es SaaS n’est pas une option viable. Au-del\u00e0 de la mise en \u0153uvre de l’authentification multifacteur (MFA) et des cl\u00e9s de s\u00e9curit\u00e9 physiques, les \u00e9quipes de s\u00e9curit\u00e9 et de gestion des risques ont besoin d’une visibilit\u00e9 et d’une surveillance continue pour l’ensemble du p\u00e9rim\u00e8tre SaaS, ainsi que d’alertes automatis\u00e9es en cas d’activit\u00e9 de connexion suspecte. <\/p>\n Ces informations sont n\u00e9cessaires non seulement pour les activit\u00e9s d’IA g\u00e9n\u00e9rative des cybercriminels, mais \u00e9galement pour les connexions des outils d’IA des employ\u00e9s aux plateformes SaaS.<\/p>\n Les employ\u00e9s s’appuient d\u00e9sormais sur des outils d’IA non autoris\u00e9s pour faciliter leur travail. Apr\u00e8s tout, qui veut travailler plus dur lorsque les outils d’IA augmentent l’efficacit\u00e9 et l’efficience\u00a0? Comme toute forme de informatique fant\u00f4me<\/a>l’adoption des outils d’IA par les employ\u00e9s est motiv\u00e9e par les meilleures intentions. <\/p>\n Par exemple, un employ\u00e9 est convaincu qu’il pourrait mieux g\u00e9rer son temps et ses t\u00e2ches, mais l’effort de surveiller et d’analyser sa gestion des t\u00e2ches et sa participation aux r\u00e9unions semble \u00eatre une grande entreprise. L’IA peut effectuer facilement cette surveillance et cette analyse et fournir des recommandations presque instantan\u00e9ment, donnant \u00e0 l’employ\u00e9 l’augmentation de productivit\u00e9 dont il a besoin en une fraction de temps. L’inscription \u00e0 un assistant de planification IA, du point de vue de l’utilisateur final, est aussi simple et (apparemment) anodine que\u00a0:<\/p>\n Cependant, ce processus cr\u00e9e des conduits invisibles vers les donn\u00e9es les plus sensibles d’une organisation. Ces connexions AI-SaaS h\u00e9ritent des param\u00e8tres d’autorisation de l’utilisateur, permettant au pirate qui peut compromettre avec succ\u00e8s l’outil AI de se d\u00e9placer silencieusement et lat\u00e9ralement \u00e0 travers les syst\u00e8mes SaaS autoris\u00e9s. Un pirate informatique peut acc\u00e9der aux donn\u00e9es et les exfiltrer jusqu’\u00e0 ce qu’une activit\u00e9 suspecte soit remarqu\u00e9e et trait\u00e9e, ce qui peut durer des semaines ou des ann\u00e9es. <\/p>\n Les outils d’intelligence artificielle, comme la plupart des applications SaaS, utilisent Jetons d’acc\u00e8s OAuth pour les connexions continues aux plateformes SaaS<\/strong><\/a>. Une fois l’autorisation termin\u00e9e, le jeton de l’assistant de planification AI maintiendra une communication coh\u00e9rente bas\u00e9e sur l’API avec les comptes Gmail, Google Drive et Slack, le tout sans obliger l’utilisateur \u00e0 se connecter ou \u00e0 s’authentifier \u00e0 intervalles r\u00e9guliers.. <\/em>L’acteur mena\u00e7ant qui peut capitaliser sur ce jeton OAuth est tomb\u00e9 sur l’\u00e9quivalent SaaS des cl\u00e9s de rechange “cach\u00e9es” sous le paillasson. <\/p>\n1 – Les acteurs de la menace peuvent exploiter l’IA g\u00e9n\u00e9rative pour duper les protocoles d’authentification SaaS <\/h3>\n
2 \u2014 Les employ\u00e9s connectent des outils d’IA non autoris\u00e9s aux plateformes SaaS sans tenir compte des risques <\/h3>\n
\n
![\"Outil](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1687799516_269_Comment-lIA-generative-peut-duper-les-protocoles-dauthentification-SaaS.jpg\" "\\"Outil")
<\/td>\n<\/tr>\n