Le paysage de l’intelligence artificielle s’enrichit d’une nouveauté significative.
Comment les mesures de contrôle de l’IA entravent le travail des chercheurs en cybersécurité offensive | TechCrunch
Depuis des mois, les géants de l’IA ont mis au point des programmes spécialement contrôlés et des mesures de protection strictes afin de limiter l’utilisation de leurs modèles par des pirates malveillants. Mais ces restrictions entravent désormais le travail des défenseurs légitimes des réseaux, de ce fait que celui des chercheurs en cybersécurité offensive.
En juin, le gouvernement américain a imposé des restrictions en matière de contrôle des exportations sur les modèles d’IA très médiatisés d’Anthropic, Mythos et Fable. Cette décision a été motivée, au moins en partie, par un rapport affirmant qu’il était possible de contourner les mécanismes de sécurité de ces modèles, conçus pour empêcher les utilisateurs finaux de s’en servir pour mettre au point et mener des cyberattaques malveillantes.
En juin, le gouvernement américain a imposé des restrictions en matière de contrôle des exportations sur les modèles d’IA très médiatisés d’Anthropic, Mythos et Fable.
Que cet incident ait réellement été motivé par la crainte d’une évasion ou non, le fait est qu’Anthropic a, à plusieurs reprises, présenté Mythos comme une sorte de cybermachine apocalyptique qui ne peut être confiée qu’à des utilisateurs soigneusement sélectionnés, et ce, même en respectant des mesures de sécurité strictes. (Les contrôles à l’exportation concernant Fable 5 et Mythos 5 ont depuis été levés.) « Fable 5 a été remis à la disposition du grand public le 1er juillet ; Mythos 5 n’a été réintroduit que pour les organisations américaines agréées, dans le cadre du processus d’examen mené par le gouvernement. »)
Dans la foulée, ce genre de sélection n’est pas propre à Mythos. Tant Anthropic, avec ses autres modèles, qu’OpenAI proposent aux chercheurs en cybersécurité des programmes auxquels ils peuvent postuler pour faire l’objet d’une vérification et, s’ils sont approuvés, accéder à des modèles soumis à moins de restrictions en matière de cybersécurité : le programme « Trusted Access for Cyber » d’OpenAI et le « Cyber Verification Program » d’Anthropic.
Ces mesures de protection ont fait l’objet de nombreuses critiques, notamment de la part de chercheurs dont le métier consiste à détecter les failles inconnues des systèmes et à trouver des moyens de les exploiter avant que les criminels ne s’en emparent.
Lors d’une récente intervention dans un podcast consacré à la cybersécurité, Mark Dowd, un chercheur en sécurité réputé, a déclaré : « Je ne suis pas vraiment à l’aise à l’idée que ces grandes structures, choisies au hasard, prennent des décisions arbitraires sur ce qui est sûr ou non en matière de sécurité. »
Depuis des décennies, Dowd se consacre à la recherche et à la vente de « zero-days » — des failles logicielles jusque-là inconnues et les exploits qui permettent d’en tirer parti — à des gouvernements occidentaux, au lieu de les signaler aux éditeurs de logiciels afin qu’ils puissent y remédier. Les gouvernements sont prêts à payer le prix fort pour ces failles précisément parce qu’elles restent exploitables, ce qui s’avère utile pour les opérations de renseignement.
Pour les professionnels du domaine, cette annonce mérite d’être surveillée.
Sur le même sujet :
Tel que rapporté par TechCrunch AI : TechCrunch AI