TELECOM PARIS ALUMNI
Retour aux actualités
Article suivant Article précédent

Revue TELECOM 190 - L'irréductible intentionnalité humaine face à l'intelligence artificielle

Articles Revue TELECOM

-

01/10/2018

L'IRRÉDUCTIBLE INTENTIONNALITÉ HUMAINE FACE A L'INTELLIGENCE ARTIFICIELLE


Par Laura Peytavin (1990) dans la revue TELECOM n° 190


Tant que l’intentionnalité restera exclusivement humaine¹, et que l’IA en sera dépourvue à l’échelle globale, le facteur humain, restera le maillon faible de toute notre sécurité numérique. L’intelligence artificielle devenant un outil de plus pour l’attaque comme pour la défense, changeant la nature des surfaces d’attaque sans pouvoir démobiliser l’intention de ceux qui veulent profiter de ses pannes et de ses failles, l’expertise de cyberdéfense deviendra peut-être l’ultime métier chargé de continuer à comprendre et surveiller ce qu’il y a sous le capot de l’intelligence artificielle.


Faut-il anticiper un monde numérique qui soit un jour administré entièrement par l’intelligence artificielle dite « forte », capable d’auto-assurer la sécurité de son infrastructure et être jugé assez fiable pour prendre en charge à 100% celle des utilisateurs humains ? Un moment de véritable singularité qui supposerait qu’il n’y ait plus aucune interaction de l’opérateur humain sur le cerveau artificiel ni pour sa maintenance, ni pour son évolution.


Avant cet horizon, que l’on devine très lointain, et qui n’est pas certain d’être désiré par nos sociétés, l’opérateur humain, qu’il soit utilisateur, administrateur ou concepteur garde malheureusement la capacité de compromettre intentionnellement ou à ses dépens l’intégrité et l’efficacité des multiples processus d’intelligence artificielle en charge de notre sécurité numérique.


Qu’en est-il aujourd’hui en 2018 ?

L’intelligence artificielle a déjà investi le domaine de la cybersécurité depuis quelques années. Les outils de machine learning notamment, sont présents dans les processus d’identification des menaces de nombreuses offres de services. Mais, à peine mises à disposition, ces techniques nouvelles participent déjà au jeu du chat et de la souris entre attaquants et défenseurs.


Osons ce petit scénario d’anticipation ?

Nous sommes en 2122. L’humanité a fini par satisfaire son appétit d’innovations successives de sorte qu’elle s’est dotée d’un écosystème numérique, robotique et d’intelligence artificielle qui la dégage de toutes les taches obligatoires et fastidieuses de la vie quotidienne. Et cet écosystème non humain assure sa propre sécurité et sa propre maintenance.

L’épopée de l’intelligence artificielle annoncée plus de 100 ans plus tôt dans la Silicon Valley a fini par atteindre l’objectif fixé, une singularité espérée et atteinte malgré toutes les tentatives pour s’y opposer. Bien entendu, l’architecture de ce super cerveau artificiel régissant tous les processus, robots, objets connectés, chatbots et autres êtres cyborgs reste le fruit de ses concepteurs humains, qui ne l’ont accepté que parce qu’une autorité humaine planétaire supérieure garde un point de contrôle unique. De quoi initier ou autoriser des mises à jour majeures, voire même d’arrêter si besoin les prérogatives du cerveau artificiel (kill switch).

Une partie de l’humanité cherche encore à résister de l’intérieur, tandis qu’une autre, encore plus grande vit totalement en marge de ce monde numérique. Les solutions concrètes pour s’y opposer ne pourraient passer que par un « hacking » du cerveau artificiel central. Et cela n’est plus considéré comme faisable.

Le point de contrôle unique est localisé dans un bâtiment, une sorte de bunker enterré, reprenant le concept des infrastructures des Autorités de Certification des certificats numériques utilisés au XXIe siècle, avec notamment une machine numérique qui ne peut se mettre à jour que par l’intervention humaine et qui n’est connectée physiquement au réseau et au cerveau artificiel que lors des mises à jour.

En cette matinée du 14 avril 2122, l’opérateur habilité pénètre dans l’enceinte avec une nouvelle carte mémoire chargée de la mise à jour annuelle. Il n’a pas remarqué qu’un message reçu le matin même, de son meilleur ami, l’invitant à s’inscrire à un concert de musique immersive avait introduit à son insu dans son terminal un fichier texte en tout point identique à celui qu'il allait devoir parcourir pour suivre la procédure d’installation de la nouvelle carte mémoire. Mais une seule information a changé, l’emplacement de la carte à modifier. Changement subtil, qui, au moment de faire l’opération, en présence des assesseurs, eux aussi munis du même fichier synchronisé sur le sien, trompe tout le monde. Sitôt la carte mémoire enfichée dans son support, la machine reboote, et ouvre une demi-seconde la connexion avec le réseau mondial. Le nouveau code substitué au mauvais endroit introduit une séquence de code erreurs qui a été étudiée en simulation par les hackers et qui leur permet de déployer leur chaine d’attaque sur le cerveau artificiel central. Le jour zéro de l’Alzheimer numérique mondial a commencé.


Coté attaquant, l’objectif est d’une part d’aller polluer les données ce qui oblige les outils de big data à tenir compte de données compromises (adversarial machine learning), et d’autre part de faire de l’ingénierie sociale, aidée par les outils d‘IA qui permettent de démultiplier l’efficacité et la volumétrie des attaques de phishing. En plus des courriels, des réseaux sociaux et des messages instantanés, tous les canaux numériques utilisés par les humains et leurs assistants personnels numériques sont tour à tour touchés : les échanges avec chatbots, les commandes vocales sur les objets connectés, les images, les flux vidéo et la réalité augmentée. Au centre des menaces cyber il est clair que se jouent et se joueront encore longtemps les bases de l’ingénierie sociale, à savoir recourir aux tactiques suivantes :

• Créer un sentiment d’urgence

• Imiter des enseignes ou tiers de confiance

• Exploiter notre curiosité naturelle

• Tirer parti des réactions conditionnées à des évènements fréquents, telles que des mises à jour logicielles par exemple.

Volume relatif de messages pour le 20 principaux leurres de phishing en 2017

Figure 2 : Extrait du rapport Facteur Humain 2018² de Proofpoint



Coté défense, le défi est énorme. La multiplicité de nouvelles surfaces d’attaque qui incluent désormais tous les objets connectés et en particulier les futurs véhicules autonomes ouvre un gouffre de nouveaux risques qui fait l’objet de toutes les attentions. On peut commencer à dresser un panorama d’outils et de processus de cyberdéfense qui se dotent d’algorithmes d’IA :

• contre les attaques sur les objets connectés, on peut citer la sécurisation des systèmes cyber-physiques avec processus d’IA (voir l’article dans ce dossier d’Adrien Facon),

• contre les tentatives d’intrusion ou d’actes malveillants sur l’infrastructure numérique et électrique, l’identification, le tag et la classification d’images par réseaux neuronaux profonds (deep-learning),

• contre l’ingénierie sociale mise au service de l’attaquant, , le « machine learning » au profit de l’assistant personnel intelligent qui ambitionne de combattre les menaces qui ciblent leur maître en caractérisant la tentative d’échanges malicieux ou de phishing comme un évènement inhabituel,

• contre les attaques par téléphone, les robots conversationnels pour filtrer les tentatives de harcèlement et de fraude,

• contre les nouvelles attaques sur les services en nuage, la coopération de solutions de « Cloud App. Security Broker » traditionnelles avec des bases de données massives des menaces qui rassemblent en temps réel les indices des charges malicieuses et les composants des chaînes d’attaques utilisées (sources, cibles et profils de communication des cibles, vecteurs et vulnérabilités utilisés, empreintes, liens).


Impact sur les profils d’expertise cyber

Au final, peut-on trouver un avantage univoque de l’IA dans le domaine de la cybersécurité ?

Oui, si on raisonne sur les métiers et les parcours des professionnels du secteur.

Comme l’annonce le dernier « Cybersecurity Jobs Report »³, il y aura en 2021 3,5 millions de postes vacants dans les métiers de la cybersécurité au niveau mondial. Alors que dans le même temps l’augmentation continue du volume des attaques et donc des cas de fausses alertes (Faux Positifs) va plus que saturer la tâche quotidienne des personnes en charge de la sécurité de notre société numérique. A ce titre, les plateformes émergentes de sécurité cognitive4 pour l’aide à l’analyse des menaces au service des équipes d’analystes des Centres Opérationnels de Sécurité fondent les espoirs des prochaines années et décennies. Pour l’heure les outils d’IA classique facilitent le travail des analystes, en leur permettant d’ores et déjà de gagner du temps dans la recherche et l’analyse. Mais leur expertise et leur connaissance précise sur les mécanismes de l’attaque et sur les vulnérabilités exploitées restent primordiales, ainsi que sur les ressorts humains qui alimentent l’intentionnalité et la finalité de l’attaque.

Avec une intelligence artificielle de plus en plus intégrée aux processus métiers du domaine de la cybersécurité, le temps et l’efficacité gagnés viendront à la rencontre du manque de ressources humaines.

A plus moyen terme, on peut penser que le métier de cyber-experts deviendra l’ultime métier purement spécialiste des technologies numériques, celui qui obligera à maîtriser dans le détail les machines et robots dotés d’intelligence artificielle, qui auront eux seuls la main sur les données, les réseaux et les machines.


A PROPOS DE PROOFPOINT

Proofpoint est un éditeur de solutions de cybersécurité de nouvelle génération qui décline son offre de solutions de protection par une approche « people-centric ». Fort d’une maîtrise reconnue en sécurité de la messagerie, qui reste à 93% le premier canal utilisé à ce jour par l’attaque initiale des cybercriminels, Proofpoint étend aujourd’hui son approche et ses solutions sur les réseaux sociaux, les applications mobiles et les services en nuage, et permet également aux entreprises de mieux sensibiliser leurs utilisateurs et de mieux protéger leur réputation numérique (noms de domaine et comptes de réseaux sociaux).

1/ Voir « L’intentionnalité » de John R. Searle – éditions de Minuit

2/ https://www.proofpoint.com/fr/human-factor-2018
3/ Publiée par Cybersecurity Ventures
4/ 
ftp://public.dhe.ibm.com/software/security/pdf/SEW03134FRFR.pdf


Biographie de l'auteur


Laura Peytavin (1990) est ingénieur avant-vente chez Proofpoint, certifiée CISSP depuis 2017. Elle est co-présidente de l’association Telecom Paristech alumni et y co-anime son groupe Cybersécurité.

 @LauraPeytavin

 www.linkedin.com/in/laurapeytavin



128 vues Visites

J'aime

Commentaires0

Veuillez vous connecter pour lire ou ajouter un commentaire

Articles suggérés

Articles Revue TELECOM

Revue TELECOM 194 - Editorial Laura Peytavin et Yves Poilane

User profile picture

Rédaction Revue TELECOM

13 novembre

Articles Revue TELECOM

Revue TELECOM 193 - La kippa bleue

User profile picture

Rédaction Revue TELECOM

15 juin

Articles Revue TELECOM

Revue TELECOM 193 - La transformation digitale (numérique) 2.0

User profile picture

Rédaction Revue TELECOM

15 juin