L’IA est passée de la réponse à de simples questions de chat pour devoirs scolaires à la tentative de détection d’armes dans le métro de New York. Elle est maintenant reconnue comme complice d’un criminel qui l’a utilisée pour créer du matériel pédophile truqué (CSAM) à partir de de vraies photos et vidéos, choquant les personnes (entièrement habillées) dans les documents originaux.
L’IA continuant de progresser, certains cherchent à créer des garde-fous plus efficaces pour éviter qu’elle n’emprunte la mauvaise voie.
Aujourd’hui, on utilise l’IA dans un contexte de sécurité, mais on sait que ce n’était pas une solution miracle car elle peut provoquer des erreurs critiques. Les logiciels de sécurité qui ne se trompent qu’ « occasionnellement » sur des éléments critiques auront pourtant un impact assez négatif en générant massivement des faux positifs. Cela incitera les équipes de sécurité à bosser inutilement, ou à manquer une attaque malveillante qui semble « juste assez différente » des logiciels malveillants que l’IA connaissait déjà.
C’est pour cela qu’ESET l’a associé à plein d’autres technologies pour fournir des vérifications et des contrepoids. Si la réponse de l’IA semble une hallucination numérique, on peut alors la réintroduire dans le reste des technologies.
Bien que les adversaires n’aient pas lancé beaucoup d’attaques purement basées sur l’IA, il vaut mieux penser à une IA adverse automatisant les maillons de la chaîne d’attaque pour être plus efficace, en matière de phishing et de clonage de voix et d’images jusqu’aux efforts d’ingénierie sociale de grande envergure. Si les acteurs malveillants peuvent gagner en confiance numériquement et pousser les systèmes à s’authentifier à l’aide de données générées par l’IA, cela constitue une tête de pont suffisante pour pénétrer dans une organisation et lancer manuellement des outils d’exploitation personnalisés.
Pour stopper cela, les fournisseurs peuvent y superposer une authentification multi facteurs afin que les attaquants aient besoin de plusieurs méthodes d’authentification (sensibles au temps, espérons), plutôt que d’une simple voix ou d’un mot de passe. Cette technologie est désormais largement déployée mais elle est aussi largement sous-utilisée. Pourtant, c’est un moyen simple de se protéger sans lourdes charges de travail ni gros budget.
Est-ce la faute à l’IA ? Lorsqu’on leur demande des justifications à propos des erreurs de l’IA, les gens répondent en plaisantant : « c’est très compliqué ». Mais alors que l’IA se rapproche de sa capacité à causer des dommages physiques et à avoir un impact sur le monde réel, ce n’est ni une réponse satisfaisante ni adéquate. Cette explication ne peut faire comprendre à un tribunal combien les choses peuvent être compliquées et opaques.
Qu’en est-il de la vie privée ? Nous avons vu les règles du RGPD réprimer la technologie devenue sauvage en matière de vie privée. Des œuvres originales dérivées de l’IA, coupées en morceaux et produisant des dérivés à des fins lucratives, vont à l’encontre de l’esprit de la vie privée et génèreront des lois de protection. Mais dans quelles mesures précises l’IA doit-elle copier pour être considérée comme contournant la législation ?
Et comment pourrait-on le prouver devant un tribunal, avec une jurisprudence limitée qui prendra des années pour être mieux adaptée juridiquement ? Des éditeurs de journaux poursuivent Microsoft et OpenAI pour ce qu’ils considèrent comme une régurgitation d’articles de haute technologie publiés sans crédit ; il sera intéressant de voir l’issue du procès. Ce sera peut-être un présage pour de futures actions en justice.
Dans l’intervalle, l’IA est un outil, et souvent un bon outil, mais un grand pouvoir implique de grandes responsabilités. La responsabilité des fournisseurs d’IA est actuellement à la traine par rapport à ce qui serait possible si cette nouvelle force devenait malveillante.