TELECOM PARIS ALUMNI
Retour aux actualités
Article suivant Article précédent

Revue TELECOM 190 - IA et cybersécurité : les espoirs compensent-ils les menaces ?

Articles Revue TELECOM

-

01/10/2018

IA ET CYBERSECURITÉ : LES ESPOIRS COMPENSENT-ILS LES MENACES ?


Par Martin Descazeaux et Alexandre Lukat dans la revue TELECOM n° 190


Si l’IA est une préoccupation du moment en raison des menaces qui lui sont associées, cela n’empêche pas les cybercriminels d’utiliser cette technologie à leurs propres fins pour améliorer leurs attaques. Que rend l’IA possible dans les mains des cybercriminels ? Quels intérêts les États voient-ils dans l’IA ? À quoi ressemblerait la cybersécurité avec des IA qui s’affrontent ?


Les quatre menaces sur l’IA -
Source : Wavestone
Les menaces propres à l’intelligence artificielle sont multiples et se focalisent sur le cœur des systèmes d’IA : la partie apprentissage (machine learning).

Une IA - Source : Wavestone










L’IA, à la fois cible et outil des cybercriminels

On peut considérer quatre grands types de menaces pesant sur l'IA :

• l’empoisonnement, où l’attaquant tente de manipuler le système en injectant des données spécifiquement créées pour l’occasion dans le système ;

• l’évasion, où l’attaquant manipule les données d’entrée afin de tromper l’IA ;

• l’inférence, où l’attaquant s’attaque directement au modèle ;

• le vol de données, où l’attaquant parvient à mettre la main sur le modèle généré par le système et son comportement, ce qui lui permet de s’emparer de données non prévues voire de déduire les données utilisées durant l’apprentissage.

Au-delà de ces menaces sur les IA, les cybercriminels profitent, eux aussi, des bénéfices apportés par cette technologie pour les aider à peaufiner leurs attaques. L’IA a déjà été utilisées pour contourner les captchas (mécanismes de vérification de la présence d’un humain devant le clavier, imposant de recopier des chiffres ou des caractères intégrés dans une image) avec des taux de réussite supérieurs à 90% ! Cet exploit pourrait permettre à des cybercriminels d’augmenter l’ampleur ou la rapidité de leurs attaques.

Dans un autre registre, la start-up Lyrebird a démontré qu’il était possible, à l’aide d’une IA, de facilement synthétiser la voix d’une personne de manière très ressemblante, à partir de seulement soixante secondes d’enregistrement de la voix de la victime. Avec cet outil, l’on peut craindre des fraudes au président¹ encore plus difficiles à contrecarrer. Dans la même veine, une IA a récemment montré qu’il était possible d’appliquer n’importe quelle expression faciale à une personne apparaissant dans une vidéo. La combinaison des deux systèmes, sur la voix et l’image, pourrait permettre de créer une vidéo très réaliste, faisant passer n’importe quel message par une personne donnée.

Sous une angle plus classique de la cybersécurité et afin de rester discrets et de passer au travers des systèmes de détection de malwares utilisant l’IA, les cybercriminels peuvent avoir recours eux aussi à l’IA, pour créer des malwares plus difficilement détectables. Une sorte de jeu du chat et de la souris entre IA.

Enfin, l’on sait que le spear phishing² est souvent utilisé comme première phase d’une attaque, afin de s’ouvrir un point d’entrée ou de récupérer des données d’authentification. Des recherches récentes montrent que l'IA sera d’une grande aide pour les cybercriminels, puisqu’ils pourront créer automatiquement et à grande échelle des emails très crédibles, en reproduisant le style rédactionnel d’un interlocuteur pour qui ils se font passer ou en utilisant des éléments communiqués publiquement sur les réseaux sociaux.


Les États aussi s’intéressent de près à l’IA

Mais l’IA n’est pas seulement utilisée par les organisations cybercriminelles, les États comptent également sur elle pour renforcer leurs cyberdéfenses. Deux documents majeurs publiés récemment sont à noter sur le périmètre de la France.

Premièrement, le rapport Villani, qui traite de l’IA et qui en consacre une grande partie sur la défense et la cybersécurité. Ce rapport décrit l’importance croissante de l’IA pour la sécurité, notamment pour l’analyse de données (par exemple la vidéo, pour répondre à la forte augmentation des volumes à traiter), la cartographie de théâtre d’opération militaire, l’assistance à la prise de décision pour le commandement d’opérations, mais aussi l’entraînement avec des simulations opérationnelles. Le rapport mentionne notamment la nécessité d’une IA régalienne, de la mise en place d’une gouvernance et d’un environnement propice à l’expérimentation en la matière.

Deuxièmement, la revue stratégique de cyberdéfense, rédigée par l’ANSSI³, qui prévoit le soutien à la recherche et développement dans le domaine de l’IA appliquée à la cyberdéfense. En effet, dans un contexte de guerre économique entre pays, le rapport lie intimement souveraineté nationale et souveraineté numérique ; il alerte sur le fait qu’il n’y a pas ou peu d’acteurs nationaux ou européens. Le rapport met l’accent sur trois technologies essentielles, parmi lesquelles la détection d’attaques informatiques, où l’IA sera amenée à jouer un rôle prépondérant pour établir la « reconnaissance (…) d’anomalies comportementales ».

Sur le plan géopolitique, plusieurs chefs d’État, dont ceux de la Russie et de la France ont promis la domination du monde aux États qui maîtriseront l’IA. Concrètement, l'IA monte à bord des armes sur le terrain et apportent leur soutien dans les conflits dans le cyberespace. Les grands noms de la tech et de l’IA, Elon Musk en tête, ont déjà alerté sur le risque de 3e guerre mondiale engendrée par l’IA.


Le Cyber Grand Challenge : un bon aperçu des apports de l’IA pour la cybersécurité

Durant l’été 2016, la DARPA4 a organisé le Cyber Grand Challenge. Ce concours, doté d’un prix de cinquante-cinq millions de dollars visait à montrer quelle contribution pouvait apporter l’IA à la cybersécurité. Sept superordinateurs proposant des services classiques (site web, messagerie, etc.) se sont affrontés de manière automatisée, chacun essyant d’attaquer ses voisins, mais aussi de défendre son périmètre.

Les résultats de ce concours furent exceptionnels. Différents profils ont émergé. D’abord, une IA super-défensive, qui appliquait une correction systématique des vulnérabilités utilisées pour l’attaquer. Une autre, super-offensive, qui a même permis de découvrir une vulnérabilité qui n’avait pas été implantée volontairement par les organisateurs. Une autre IA étudiait systématiquement le rapport coût-bénéfice avant de corriger un système : perte de points pendant l’interruption du service en raison de la correction par rapport à la probabilité qu’un superordinateur concurrent découvre cette faille et l’exploite.


En conclusion

En définitive, les menaces associées à l’IA sont encore mal connues et l’on peut craindre que les cybercriminels en profitent. Les cybercriminels s’outillent aussi grâce à l’IA pour perfectionner leurs attaques. Les États seront également tentés d’utiliser cette technologie pour faire bouger les pions de l’échiquier géopolitique et prendre le pas sur les forces adverses. Mais, l’espoir est aussi permis, avec l’avènement de nombreuses solutions basées sur l’IA du côté défensif, qui permettront une réponse rapide et automatique aux futures aggressions.


1/ Fraude au président : attaque visant à se faire passer pour le dirigeant d’une entreprise afin de demander la réalisation d’une action (typiquement : virer une somme d’argent conséquente sur un compte donné).

2/ Spear phishing : attaque visant à envoyer des emails personnalisés et très crédibles afin de soutirer des informations aux destinataires (mot de passe, numéros de CB, etc.).
3/ ANSSI : Agence national de sécurité des systèmes d’information
4/ DARPA : Defense advanced research projects agency, une agence du département de la Défense des États-Unis.



Biographie des auteurs


Martin Descazeaux est Manager et Alexandre Lukat est Senior Consultant au sein du cabinet Wavestone. Ils possèdent tous les deux une expertise dans le conseil en cybersécurité. Passionés par les nouvelles technologies, ils animent l’initiative interne au cabinet qui s’intéresse aux liens entre IA et cybersécurité, aussi bien du point de vue des nouvelles menaces que cela implique, que des opportunités offertes.

 https://www.riskinsight-wavestone.com


608 vues Visites

J'aime

Commentaires0

Veuillez vous connecter pour lire ou ajouter un commentaire

Articles suggérés

Articles Revue TELECOM

Revue TELECOM 194 - Editorial Laura Peytavin et Yves Poilane

User profile picture

Rédaction Revue TELECOM

13 novembre

Articles Revue TELECOM

Revue TELECOM 193 - La kippa bleue

User profile picture

Rédaction Revue TELECOM

15 juin

Articles Revue TELECOM

Revue TELECOM 193 - La transformation digitale (numérique) 2.0

User profile picture

Rédaction Revue TELECOM

15 juin