Points clés à retenir
- Mythos devrait permettre d’accélérer la détection des vulnérabilités à une échelle et à un rythme qui dépasseront ceux des processus de correction traditionnels, menés par des intervenants humains.
- Les principes fondamentaux de la sécurité, tels que l’application des correctifs, les sauvegardes dans un environnement isolé et une gestion rigoureuse des vulnérabilités, restent essentiels, mais pourraient ne plus suffire à eux seuls.
- Le principal défi consiste à passer de la détection à la capacité d’agir, alors que le nombre de vulnérabilités augmente de manière exponentielle et dépasse les limites opérationnelles actuelles.
- La résilience de l’IA repose sur la capacité à rétablir des systèmes cohérents – et pas seulement des données – à travers les modèles, les pipelines et les autorisations.
- Les organisations qui s’adaptent de manière proactive dès cette phase initiale bénéficieront probablement d’un avantage considérable par rapport à celles qui tardent à agir.
Il y a quelques semaines, je me trouvais dans une salle avec un groupe de DSI et de RSSI lorsque la conversation a dérivé sur Mythos et le projet Glasswing. L’enthousiasme a été immédiat : ce sont des personnes qui ont déjà connu de nombreux cycles de battage médiatique, et ce sujet a immédiatement retenu leur attention. Les réactions se sont divisées en deux camps. Premièrement : ces types de menaces ne sont pas nouveaux ; les organisations disposant d’une gestion solide des vulnérabilités et de sauvegardes « air-gapped » fiables seront mieux placées que celles qui n’en disposent pas. Deuxièmement : la vitesse est différente – il ne s’agit pas seulement de ce que Mythos peut détecter, mais aussi de la rapidité avec laquelle les acteurs malveillants pourraient exploiter l’IA pour mener des attaques à la vitesse de la machine, et de l’impact que cela a sur les principes mathématiques sur lesquels reposent la plupart des programmes de gestion des vulnérabilités. Ils avaient tous les deux raison. C’est ce qui a rendu cette conversation digne d’être rapportée.
Ce que « Mythos » change… et ce qu’il ne change pas
Mythos est le modèle d’IA développé par Anthropic pour la détection autonome des vulnérabilités. Il est capable d’identifier et d’enchaîner des exploits critiques sur les principaux systèmes d’exploitation, avec un taux de réussite qui, selon toute vraisemblance, est sans précédent dans ce domaine.
Le projet Glasswing – ce consortium d’entreprises chargé de tester et de renforcer la sécurité de leurs systèmes avant que Mythos ou des technologies similaires ne tombent entre les mains d’adversaires – montre clairement que cette menace est bien réelle, qu’elle est déjà là, et que le délai pour prendre les devants est court. Le principe fondamental reste valable : les correctifs sont essentiels, les sauvegardes pratiquement isolées (air-gapped) sont essentielles, la rigueur en matière de gestion des vulnérabilités est essentielle. Rien de tout cela ne change avec Mythos. Ce qui change, c’est le rythme de production de l’autre côté de ces programmes. Après l’affaire Glasswing, la question n’est plus de savoir si vous disposez d’un programme de gestion des vulnérabilités. Il s’agit plutôt de déterminer s’il a été conçu pour faire face à des découvertes qui arrivent au compte-gouttes… ou à un véritable tsunami. La plupart des programmes ont été conçus pour un rythme au compte-gouttes. Évaluations périodiques, files d’attente de priorisation basées sur le CVSS, cycles de correctifs et de tests mesurés en semaines. Ce rythme avait du sens lorsque la cadence des découvertes correspondait à celle des processus menés par l’homme. Les capacités de la classe Mythos remettent en cause cette hypothèse : le volume de vulnérabilités exploitables peut dépasser ce que la plupart des organisations sont en mesure de traiter via leurs workflows actuels. Le problème ne réside pas dans la détection. Il s’agit plutôt de la capacité à agir – et de ce qui se passe lorsque l’écart entre la détection et la correction se creuse plus vite que vous ne pouvez le combler.
Lorsque la prévention est compromise, la résilience prend le relais
Lorsque les délais de prévention sont raccourcis, la question de la résilience passe au premier plan. Si vous ne pouvez pas garantir que vous aurez appliqué tous les correctifs avant qu’une faille ne soit exploitée – et c’est de plus en plus souvent le cas –, les questions essentielles changent : à quelle vitesse détectez-vous la faille ? Comment la contenez-vous ? Et une fois la situation rétablie, à quel état précis revenez-vous exactement ?
Cette dernière question est plus complexe qu’il n’y paraît, en particulier pour les organisations dont les interactions entre agents sont en constante évolution. Un système d’IA ne se résume pas à des données. C’est une version de modèle, un pipeline d’entraînement, une base de données vectorielle, un ensemble d’identités et d’autorisations d’agents – qui doivent tous refléter le même état opérationnel pour constituer un ensemble auquel vous pouvez réellement faire confiance. La plupart des organisations sont capables de restaurer des composants individuels. Très peu d’entre elles peuvent prouver que ce qu’elles ont restauré forme un tout cohérent.
La remise en état d’un système d’IA n’est pas un problème de restauration des données. Il s’agit d’un problème de cohérence – et c’est précisément dans cet écart entre ces deux aspects que la plupart des entreprises sont actuellement vulnérables. C’est ce fil conducteur qui relie Mythos au débat plus large sur la résilience de l’IA. Ce n’est pas que Mythos introduise un nouveau type de risque nécessitant un nouveau cadre.
En effet, Mythos condense la chronologie de telle sorte que les failles existantes apparaissent plus rapidement, laissant moins de temps pour les corriger avant qu’un incident ne se produise, ce qui augmente le risque qu’un incident survienne avant qu’une organisation ne puisse remédier correctement à ces vulnérabilités.
La fenêtre est ouverte. Ça ne va pas durer.
Glasswing a été conçu pour donner une longueur d’avance aux défenseurs. Les organisations qui exploitent délibérément cette fenêtre d’opportunité – en soumettant leurs programmes de gestion des vulnérabilités à des tests de résistance en termes de volume, en portant leur infrastructure de résilience basée sur l’IA à un niveau leur permettant de se défendre, et en considérant la reprise comme un élément qui doit être démontrable avant un incident, et non mis en place pendant celui-ci – se trouveront dans une position nettement plus favorable que celles qui attendent. Les principes fondamentaux restent d’actualité. C’est l’urgence qui est nouvelle.
« L’entreprise agentique : pourquoi la résilience en matière d’IA nécessite un système d’enregistrement » – le dernier rapport « Readiness Report » de Commvault – examine les lacunes de l’infrastructure de résilience en matière d’IA qui déterminent si les organisations sont en mesure de répondre aux questions complexes liées à la reprise lorsque l’intensité des menaces l’exige.
FAQ
Q : Qu’est-ce que Mythos et en quoi est-ce important ?
R : Mythos est un modèle d’IA conçu pour la détection autonome des vulnérabilités, capable d’identifier et d’enchaîner des exploits d’un système à l’autre à une vitesse sans précédent. Son importance réside dans sa capacité à réduire considérablement le délai entre la découverte d’une vulnérabilité et son exploitation potentielle, ce qui rend la tâche des défenseurs d’autant plus difficile.
Q : Mythos modifie-t-il les principes fondamentaux de la cybersécurité ?
R : Non, les pratiques fondamentales telles que l’application de correctifs, les sauvegardes et la gestion des vulnérabilités restent essentielles. Ce qui change, c’est le volume et la vitesse des menaces, ce qui met à rude épreuve les processus existants, conçus pour des flux de travail plus lents et plus prévisibles.
Q : Pourquoi les programmes actuels de gestion des vulnérabilités peuvent-ils rencontrer des difficultés ?
R : De nombreux programmes ont été conçus pour traiter un flux régulier de résultats, et non pour faire face à l’afflux massif de vulnérabilités généré par la détection basée sur l’IA. Par conséquent, les entreprises sont confrontées à un décalage croissant entre l’identification des vulnérabilités et leur correction effective.
Q : Que signifie le terme « résilience » dans le contexte des systèmes d’IA ?
R : La résilience ne se limite pas à la restauration des données : elle implique la remise en état de l’ensemble d’un système d’IA dans un état cohérent et fiable. Cela suppose que les modèles, les pipelines d’entraînement, les bases de données vectorielles et les contrôles d’accès soient tous correctement alignés.
Q : Pourquoi la gestion devient-elle plus importante que la prévention ?
R : Les délais de prévention se raccourcissant en raison d’une exploitation plus rapide des failles, il devient irréaliste d’appliquer tous les correctifs à temps. L’accent est donc désormais mis sur la rapidité avec laquelle les organisations sont capables de détecter les incidents, de les contenir et de s’en remettre.
Q : Comment les organisations peuvent-elles commencer à se préparer ?
R : Les organisations peuvent soumettre leurs processus de gestion des vulnérabilités à des tests de résistance, moderniser leurs infrastructures de résilience et valider leurs capacités de reprise. Agir dès cette phase précoce leur confère un avantage stratégique significatif.
Tim Zonca est vice-président chargé de la gestion de portefeuille chez Commvault.
