Gardez le contrôle sur les usages de l'IA en entreprise avec Cyril Demonceaux [4/4]

L'essentiel de votre hack'tu cybersécurité

• Claude Mythos, dernier modèle d'IA proposé par la société Anthropic, serait capable de détecter des vulnérabilités logicielles et de rechercher des chemins d’attaque. Son accès élargi aux entreprises européennes, ainsi que la diffusion du modèle grand public Claude Fable 5, est actuellement suspendu suite à la  demande du gouvernement américain ; 
• Ce contexte de course à l’IA soulève des enjeux stratégiques et régaliens, notamment en cybersécurité. Cyril Demonceaux, Responsable du Defense Center d'Orange Cyberdefense, décrit les enjeux actuels liés à l’automatisation et la détection proactive des vulnérabilités, qui deviennent essentielles pour faire face à la vitesse des attaques ; 
• L’expertise humaine reste cruciale pour qualifier, analyser et remédier aux alertes, même avec l’intégration de l’IA, qui automatise les tâches chronophages tout en nécessitant une supervision continue. 

La course à l'IA et ses implications stratégiques

Cela fait deux mois que Claude Mythos d’Anthropic fait parler de lui dans la cybersécurité et le digital. La décision du gouvernement américain de stopper net l’ouverture du projet Glasswing à 150 entreprises européennes et la diffusion grand public de Claude Fable 5, déclinaison aux capacités plus restreintes de Claude Mythos, en dit long sur les implications régaliennes, technologiques et stratégiques de cette course à l’IA. Pour ce dernier épisode de notre série d’interviews menée par Jérôme Colombain, Cyril Demonceaux, Responsable du Defense Center chez Orange Cyberdefense, aborde le sujet crucial de la détection et remédiation des vulnérabilités à l’ère de l’IA… et de Claude Mythos d’Anthropic. 

Claude Mythos : LE « frontier model » pour détecter les failles de cybersécurité ?

Depuis la mise à disposition de ChatGPT auprès du grand public en 2022, nos vies digitales connaissent à nouveau une accélération comparable à celles apportées par l'avènement successif d'internet et du smartphone. Depuis, chaque semaine ou presque, les principaux fournisseurs de modèles IA - Google Gemini, Facebook Meta, OpenAI avec ChatGPT, Mistral AI et Perplexity - sortent une nouvelle version de leur bébé, dans le but de supplanter leurs concurrents. A tel point que l'on parle de « frontier model » à leur sujet, où quand la course à l'IA se confond avec la conquête de l'Ouest. En effet, dans le vocabulaire américain, la Frontière est cette limite qu'il faut sans cesse repousser, d'Est en Ouest, pour conquérir l'ensemble du territoire. Le dernier en date, Claude Mythos d’Anthropic, a principalement fait parler de lui depuis le mois d’avril pour deux raisons.

1. La première est qu’il serait incroyablement doué et autonome pour la détection de vulnérabilités logicielles et la recherche de chemins d’attaque exploitables ;  
2. La seconde est qu’il serait tellement puissant qu’Anthropic, son développeur, le réserve à un groupe de grandes sociétés américaines triées sur le volet du secret technologique, économique et industriel au sein du projet Glasswing.

Pour résumer la position d’Anthropic, on pourrait la comparer à celle du savant John Hammond, joué par Richard Attenborough dans Jurassic Park : « Mince, j’ai créé un T-Rex ». Et comme dans le film de Steven Spielberg, le dit T-Rex suscite l'émerveillement et l'effroi : quelles sont les capacités réelles de Claude Mythos en matière de détection des failles et des vulnérabilités logicielles ? Quel danger entre de mauvaises mains ? Quel est son impact sur les métiers de la cybersécurité et les enjeux stratégiques de l’IA en matière d’automatisation ? Et pourquoi diable faudrait-il garder ce T-Rex artificiel sous enclos ? 

La spécificité du modèle Mythos, dernier issu de la famille de LLM Claude d’Anthropic, aux côtés de Claude Opus, Claude Sonnet ou Claude Haïku, est de pouvoir analyser des logiciels complexes, identifier des vulnérabilités et tester leur exploitabilité. Sa capacité essentielle est de pouvoir combiner des vulnérabilités pour établir des chemins d’attaque complexes, explique Cyril Demonceaux, Responsable du Defense Center chez Orange Cyberdefense. 

Une détection avancée des vulnérabilités : mythe ou réalité pour la cybersécurité ?

Le problème est qu’à date, en dehors du projet Glasswing, peu de personnes peuvent se targuer d’avoir pu essayer Claude Mythos. Après une tentative d’ouverture d’Anthropic au début du mois de juin envers les grandes entreprises européennes, le gouvernement des Etats-Unis s’est interposé. Par le biais d’une décision radicale, celui-ci a décrété du jour au lendemain l’arrêt pur et simple de la mise à disposition de Claude Mythos aux entreprises étrangères… et de son modèle grand public Claude Fable 5, aux facultés restreintes et dont la publication était prévue le 9 juin dernier.  

A ce stade, Claude Mythos est un projet fermé et non rendu public. Uniquement accessible à une quarantaine d’éditeurs via l’initiative Glasswing - on peut citer par exemple Amazon, Apple, Microsoft, Palo Alto ou d’autres - ce projet vise à mettre Claude Mythos à leur disposition afin d’éprouver et d’identifier de potentielles vulnérabilités dans leurs systèmes. Le fait est que l’on ne peut actuellement se référer qu’aux publications qui sont faites dessus. Sur le papier, potentiellement et de manière autonome, Claude Mythos est capable de trouver des milliers de vulnérabilités, développe Cyril Demonceaux.

Renforcer ses appuis en cybersécurité : pour entrer dans la course à l'IA, il faut être bien chaussé

Le bruit informationnel qui précède la disponibilité du LLM d'Anthropic, ses capacités réelles ou exagérées et l’ingérence du pouvoir Américain représentent un signal fort : celui d’une attention critique pour les enjeux de l'IA et l’importance d’une gouvernance bien rôdée en matière de cybersécurité. 

Un point sur lequel Orange Cyberdefense possède de sérieux atouts, comme son intelligence de la menace propriétaire, une base de données sans cesse alimentée par plus de 500 sources et partenaires, 3300 experts et 36 SOCs répartis à l’international. Et une expertise de bout en bout pour protéger nos clients. 

En tant que prestataire de cybersécurité, nous recommandons aux entreprises d’assurer les fondamentaux, qui contribuent à réduire la surface d’exposition aux cyberattaques. Dresser un inventaire des actifs numériques de l’entreprise, identifier les vulnérabilités et les corriger via du patching peut sembler basique mais c’est un point essentiel, qui nécessite des moyens techniques, une organisation et des process. Une fois ces étapes assurées, il est nécessaire d’effectuer un contrôle et optimisation continues. Le pentest, en revêtant les chaussures d’un attaquant, peut servir à évaluer et identifier régulièrement  d’éventuels chemins d’attaque, rappelle Cyril Demonceaux. 

Le rôle et contrôle de l’analyste augmenté à l’ère de l’IA embarquée

L’IA demeure néanmoins une arme à double tranchant et si les attaquants ne vont pas se gêner pour s'en servir, il est impératif d’en doter les solutions du marché, tout en conservant l’expertise humaine « on top ». Car l’un des facteurs essentiels sur lequel l’IA pèse de tout son poids est la vitesse. Comme l'a rappelé Christel Heydemann, Directrice Générale d'Orange à VivaTech : « L'IA n'est pas seulement une promesse de productivité et de performance pour les entreprises. Elle change drastiquement la nature des risques cyber.  Ces nouveaux modèles identifient des chaînes de vulnérabilités, des faiblesses exploitables ou des failles systémiques à une vitesse et une échelle qui représentent un défi pour les équipes d'experts ». 

Entre la publication d’une vulnérabilité et son exploitation, il faut compter entre 1 et 2 jours, et la moyenne d’application des patchs est de 30 jours. Avec l’arrivée de l’IA et de modèles comme Claude Mythos, on voit bien que la temporalité n’est plus adaptée. Ce que l’on essaie de faire avec l’IA, notamment avec Qevlar AI est de détecter des signaux faibles. Grâce à l’IA nous sommes en train de passer d’une cybersécurité réactive à proactive, en ayant une vue globale de ces signaux qui permettent d’identifier les prémices d’une attaque plus complexe et réagir beaucoup plus tôt, explique Cyril Demonceaux. 

Dans ce contexte, le rôle de l'expert en cybersécurité demeure vital : comprendre et connaître le contexte et les assets numériques des organisations, leur surface d'exposition, mener la bonne investigation sur les systèmes en cas d'alerte positive et proposer les bonnes réponses. Ce rôle est essentiel et garant d'un écosystème qui tend à l'automatisation, que ce soit en matière de productivité, de déploiement des attaques... et de remédiation cyber. Sur ce point, Chez Orange Cyberdefense, on parle d'analyste augmenté.    

L’IA ne peut pas gérer entièrement le cycle de remédiation des alertes. Nos experts connaissent le contexte de l’entreprise et interviennent pour qualifier, interpréter et agir sur les alertes pertinentes. Sur 1000 événements de sécurité, une seule alerte est généralement significative. Il est donc crucial de filtrer, d’établir des règles et d’avoir des capacités d’analyse solides. L’IA permet d’automatiser les tâches non complexes et chronophages, mais l’intervention humaine reste indispensable. Prenons l'exemple d'un pilote de ligne : il reste maître à bord, malgré la présence du pilotage automatique, conclut Cyril Demonceaux. 

En 10 ans d’existence, les experts d’Orange Cyberdefense ont toujours été au devant des besoins de leurs clients et intégré les  solutions les plus pertinentes du marché pour apporter ce mix unique d'expertise humaine et technologique. Nul doute que les semaines et mois à venir vont être passionnants à suivre sur le blog d'Orange Cyberdefense. 

D'ici là vous pouvez : 

• Retrouver l’intégralité de l’interview de Cyril Demonceaux en vidéo à la fin de cet article ;  
• Regarder le troisième épisode avec l'interview d'Emilie Brochette, AI Sec business program leader chez Orange Cyberdefense ; 
• Regarder le second épisode avec l’interview de Kader Seddak, Directeur Commercial IA et Cloud chez Orange Cyberdefense ; 
• Regarder le premier épisode avec l’interview de Vivien Mura, CTO d’Orange Cyberdefense ; 
• Consulter le second numéro de notre revue quadrimestrielle « Ctrl », accessible via l’encart ci-dessous.