Objets connectés: des attaques plus rapides et à plus grande échelle grâce à l'IA

L’intelligence artificielle ouvre une nouvelle ère dans la cybercriminalité en permettant aux pirates informatiques de multiplier les attaques contre les objets connectés, avec une rapidité et une capacité de propagation inédites. Selon Nicolas Papernot, professeur à l’université de Toronto, les logiciels malveillants pilotés par l’IA peuvent désormais adapter leurs stratégies aux vulnérabilités de chaque appareil, rendant leur neutralisation plus difficile. Face à cette menace, quelque 225 scientifiques appellent à renforcer les normes de sécurité et la surveillance des modèles d’IA.

L'utilisation de l'intelligence artificielle (IA) par des pirates informatiques permet de lancer des cyberattaques plus rapidement et à plus grande échelle en passant par des objets connectés, explique à l'AFP Nicolas Papernot, professeur à l'université de Toronto.

En juin, ce chercheur a montré avec son équipe que des IA pouvaient se servir de ces appareils connectés pour se propager, désormais omniprésents dans notre quotidien.

Mardi, la start-up Anthropic a publié une étude évoquant la possibilité qu'un tel mécanisme soit exploité par une IA de façon spontanée, sans intervention humaine.

Question: les cyberattaques sur des objets connectés ne sont pas nouvelles. Que change l'IA dans ce domaine?

Réponse: Jusqu'ici, les vers informatiques (des logiciels) exploitaient un nombre fini de vulnérabilités. Cela signifiait que vous pouviez combler ces failles et empêcher le ver de se transmettre à d'autres appareils qui avaient bénéficié d'une mise à jour. Maintenant, avec l'IA, un pirate peut concevoir un ver susceptible d'adapter sa stratégie d'attaque à chaque objet connecté, à ses caractéristiques. Cela les rend sensiblement plus difficiles à stopper parce qu'il faut anticiper toutes les vulnérabilités que peut présenter un appareil. D'autant que certaines de ces fragilités ne sont pas des bugs logiciels. Cela peut être lié à une mauvaise configuration, l'utilisation d'un même mot de passe pour plusieurs applications.

Q: Y a-t-il des moyens d'y remédier?

R: Il est possible pour les gens de réduire les risques auxquels ils sont exposés, même si cela ne va pas les écarter complètement. Mais il faut se rendre à l'évidence: les gens ne font pas les mises à jour ou n'installent pas les correctifs logiciels suffisamment rapidement, même lorsque les vulnérabilités peuvent être colmatées. Or, un logiciel malveillant conduit par IA accélère la vitesse et l'échelle auxquelles ces failles peuvent être exploitées. Auparavant, le vieil ordinateur portable que vous aviez à la cave n'était pas à jour, mais un pirate ne s'en prenait pas à lui parce qu'il n'en avait ni les ressources ni le temps. Désormais, tous ces équipements qui étaient des cibles secondaires deviennent intéressants pour servir de rampe de lancement à des attaques sur des objectifs plus pertinents. Malgré les appels de spécialistes de cybersécurité depuis des décennies, nous vivons toujours dans un monde où l'on pourrait investir beaucoup plus dans l'amélioration de la sécurité de nos systèmes informatiques.

Q: Que suggérez-vous à court terme?

Nous venons de publier aujourd'hui une lettre ouverte (qui a réuni quelque 225 scientifiques spécialisés) dans laquelle nous soumettons des recommandations concrètes à très court terme aux dirigeants politiques. La première consiste à changer la manière de développer et de tester (l'IA) pour s'assurer que les modèles sont bien coupés d'Internet à titre de précaution. La deuxième est la création d'un organe international pour définir des standards de développement et de contrôle des modèles d'IA. Nous voulons des modèles plus sûrs. Et la troisième recommandation est de rendre obligatoire la divulgation d'incidents de sécurité. Aujourd'hui, les développeurs ne communiquent que les informations qu'ils veulent bien partager. La communauté scientifique a besoin de beaucoup plus de données sur ces incidents pour pouvoir mettre au point plus rapidement des contre-mesures.