Pourquoi la CISA préconise-t-elle une conception sécurisée de l'IA liée à la sécurité fondamentale ?

L'Agence américaine pour la cybersécurité et les infrastructures de sécurité (CISA) a souligné l'impératif d'intégrer la sécurité dans la structure même des systèmes d'intelligence artificielle (IA) dès leurs étapes de développement. Cette approche proactive, préconisée par la CISA, vise à empêcher l'apparition de vulnérabilités après le déploiement, un scénario qui peut être non seulement complexe mais aussi exorbitant à corriger. L'appel de l'agence à une conception sécurisée de l'IA s'aligne sur sa campagne plus large visant à intégrer la sécurité de manière transparente dans les phases de conception et de développement, plutôt que de la considérer comme une pensée après coup.

Sécurité au cœur : la mission continue de la CISA

Dans son récent article, la CISA a fermement exhorté les développeurs d'IA à adopter un paradigme de « sécurité par conception », renforçant le principe que l'IA, à sa base, est une forme de logiciel. L'agence a cherché à démystifier les notions autour de l'IA en insistant sur sa nature fondamentalement basée sur le logiciel, la soumettant ainsi aux mêmes exigences de sécurité que tout autre logiciel. Cela fait écho à une poussée mondiale de longue date des experts en cybersécurité pour traiter la sécurité comme un composant inhérent plutôt que comme un ajout périphérique.

Changement de perspective : de l'externalité à l'engagement

La directrice de la CISA, Jen Easterly, a souligné lors d'un discours plus tôt cette année la nécessité d'un changement transformateur dans la perception de la sécurité au sein de l'industrie technologique. Historiquement, la sécurité a souvent été reléguée au second plan, ses coûts étant externalisés aux utilisateurs finaux. Easterly a appelé à une refonte complète de cette approche, préconisant un nouvel engagement envers la sécurité qui consiste à l'intégrer dans le cycle de vie du développement logiciel. De plus, Easterly a suggéré un changement dans la répartition de la responsabilité, proposant que les développeurs de logiciels assument une part plus grande de la responsabilité.

Les défis interconnectés de l'apprentissage automatique

L'article de blog de la CISA attire l'attention sur les complexités de l'apprentissage automatique, en soulignant la nature étroitement tissée de son code. Notamment, toute modification d'une seule entrée dans un système d'IA peut avoir des conséquences à grande échelle. Cette interdépendance complexe a été soulignée dans un article séminal de 2014 par des chercheurs de Google, qui ont comparé avec justesse les défis techniques non résolus dans le développement de l'IA à « la carte de crédit à haut intérêt de la dette technique ».

Pratiques de sécurité adaptées à l'IA

Bien que l'article de blog reconnaisse la nécessité d'une sécurité par conception pour les systèmes d'IA, il reconnaît également les défis uniques que présente l'IA. La CISA a compilé une liste de pratiques de sécurité essentielles, indépendantes du secteur, qui sont tout aussi applicables aux logiciels d'IA. L'agence souligne l'importance de respecter ces directives, particulièrement compte tenu des cas où des acteurs malveillants exploitent des vulnérabilités connues dans les composants logiciels non liés à l'IA.

Approche holistique de la sécurité de l'IA

La CISA souligne que les pratiques et politiques de sécurité attendues par la communauté devraient régir divers aspects du développement de l'IA, y compris la conception, le développement, le déploiement, les tests, la gestion des données, l'intégration des systèmes et la gestion des vulnérabilités et des incidents. Dans les cas où les formats de fichiers de modèles d'IA sont traités, des mesures robustes doivent être en place pour contrer les tentatives d'exécution de code non fiable. De plus, l'utilisation de langages sûrs en mémoire est recommandée comme mesure de protection supplémentaire contre les menaces potentielles.

Responsabilité et transparence dans l'ingénierie de l'IA

En plus des mesures de sécurité techniques, la CISA exhorte la communauté de l'ingénierie de l'IA à adopter des pratiques qui renforcent la responsabilité et la transparence. Cela implique la mise en œuvre d'identifiants de vulnérabilité tels que les CVE (Common Vulnerabilities and Exposures) et le maintien d'une liste complète de la facturation logicielle pour les modèles d'IA et leurs dépendances. Les préoccupations en matière de confidentialité ne sont pas non plus négligées, car l'agence appelle au respect des principes fondamentaux de la confidentialité par défaut.

Un moment charnière pour la sécurité de l'IA

L'appel passionné de la CISA à une sécurité de l'IA par conception signifie un point charnière dans le domaine du développement de l'IA. En plaçant la sécurité au premier plan de la conception et du développement, l'agence préconise un changement de paradigme qui pourrait potentiellement éviter des violations de sécurité majeures à l'avenir. Dans un monde où les systèmes d'IA deviennent de plus en plus omniprésents, cette position proactive pourrait ouvrir la voie à un paysage numérique plus sûr et plus résilient.