Le développement technologique a donné naissance à différentes formes d'IA, dont l'IA agentique, qui non seulement répond aux questions, mais agit également. Ces IA agentiques peuvent prendre des décisions de manière autonome, planifier et atteindre des objectifs. L'avènement de cette technologie ouvre un monde de productivité, offrant des assistants autonomes, la collecte et la consolidation de données, mais créant également de nouvelles failles de sécurité. Auparavant, le débat autour de l'IA agentique était théorique ; il est désormais devenu concret. Cependant, compte tenu de la manière dont elles sont manipulées par les attaquants, il est nécessaire de disposer de stratégies à la fois techniques et réalistes pour contrer leurs attaques.   Pourquoi l'IA agentive change l'équation de la sécurité  La principale menace que représentent les modèles d'IA traditionnels réside dans leurs résultats inappropriés ou indésirables, principalement dus aux instructions qui leur sont données. En revanche, les systèmes agentiques intègrent l'autonomie, des comportements orientés vers un objectif, la perception et le raisonnement, l'apprentissage et l'adaptation, ainsi que l'interactivité, en fonction de l'évolution de l'environnement. Par exemple, un agent peut enchaîner des actions, comme se connecter à un tableau de bord, extraire des données et appeler des interfaces de programmation d'applications (API) externes, sans intervention humaine. Toutefois, un agent mal configuré peut propager une erreur à la vitesse de la machine ; un agent compromis peut devenir un point d'entrée furtif au sein d'un réseau d'entreprise.   Piliers pratiques de la sécurité de l'IA moderne agentielle  Pour une sécurité efficace de l'IA agentielle, les équipes de sécurité de l'information des organisations devraient adopter un cadre pragmatique en trois parties comprenant la modélisation des menaces, des contrôles d'exécution sécurisés et une gouvernance auditable.   1. Modélisation des menaces  Il est crucial de modéliser le pire scénario avant de fournir des identifiants ou une clé API à un agent. En effet, il est impératif d'examiner les problèmes affectant la portée des agents et les services susceptibles d'être compromis par leurs activités, ce qui pourrait entraîner des conséquences catastrophiques. La solution appropriée réside dans une modélisation des menaces efficace, capable de cartographier les graphes d'actions et de révéler les risques transitifs. Cette approche a été proposée récemment par de nombreux chercheurs et experts industriels, qui ont également souligné l'importance de la modélisation des menaces et des protections en temps réel comme bonnes pratiques pour la sécurité des agents.   2. Autorisations et intervention humaine dans le processus  Les agents doivent opérer avec le principe du moindre privilège et un accès limité dans le temps. L'activation de ces outils est indispensable pour garantir que les privilèges et l'accès soient accordés aux personnes compétentes, conformément à leurs rôles, et permet aux agents de demander directement des identifiants. Bien que ces outils doivent être hautement sécurisés, ils aident également les agents à accomplir toutes les tâches requises sans exfiltrer de données confidentielles, grâce notamment au remplissage automatique sécurisé et à l'accès négocié.   3. Audit  Pour renforcer la sécurité des IA agentives, les journaux et les traces du système doivent être exécutés par les agents selon une séquence en plusieurs étapes. Cela permettra à l'IA agentive non seulement d'enregistrer les appels d'API, mais aussi d'atteindre ses objectifs généraux et de mettre en œuvre les plans générés en interne. Ces éléments sont essentiels pour l'analyse forensique post-incident et pour les processus de contrôle mis en place par les équipes de conformité d'une organisation. Ceci explique pourquoi les recommandations de sécurité de l'OWASP fournissent des indications sur les menaces agentives et insistent sur la nécessité de décisions et de mesures d'atténuation traçables en cas de non-conformité lors des audits.   Des modèles concrets qui fonctionnent  De nombreux modèles ont été identifiés comme des mesures pratiques et applicables pour sécuriser l'IA agentielle, dont certains sont présentés ci-dessous. L'un de ces modèles est le contrôle d'accès aux capacités, qui permet de restreindre les actions de l'IA agentielle et de fournir des approbations pour l'escalade des privilèges. Il existe également une surveillance des dérives inhabituelles des objectifs et une suspension automatique des agents qui s'en écartent. Enfin, l'analyse des flux de travail des agents est menée de la même manière que les équipes de sécurité (Red Teams) testent les microservices à des fins de tests d'intrusion. Il est donc impératif pour les équipes de sécurité informatique des organisations de cesser de considérer les agents comme des boîtes noires et de s'abstenir d'accorder des identifiants larges et permanents simplement par facilité.   Le côté éthique et humain  Les avantages apportés par l'IA agentive, de par son mode de fonctionnement, ont eu un impact positif sur les progrès de l'IA. Cependant, compte tenu du risque de perte de contrôle humain lié à la poursuite d'objectifs non intentionnels, au non-respect des valeurs éthiques et à la difficulté de revenir sur leurs actions une fois déployées, la technologie des agents doit être améliorée de manière à garantir une supervision humaine. Faute d'une approche adéquate, des questions telles que « Qui valide les actions d'un agent ? » et « Comment responsabiliser les humains sans entraver l'innovation ? » resteront sans réponse. Par conséquent, pour garantir la pleine prise en compte des dimensions éthiques et humaines dans l'IA agentive, les points suivants doivent être vérifiés :  Cartographier le graphe d'actions de l'agent et identifier les points de contact à fort impact.  Mise en sécurité de toutes les informations d'identification et fourniture de jetons éphémères via un courtier.  Appliquer le principe du moindre privilège et des durées de vie courtes pour les jetons.  Exécution de tests adverses simulant la compromission d'un agent.  Ajouter un processus d'approbation humaine pour toute action modifiant la production ou impliquant des transferts de fonds.   Conclusion  L'IA agentique transforme déjà nos méthodes de travail plus vite que prévu. Malgré quelques défis orchestrés par des attaquants malveillants, la bonne approche n'est pas de freiner l'innovation en IA agentique, mais de concevoir des garde-fous pratiques garantissant la valeur et la sécurité des agents. Nous souhaitons un avenir où les agents automatisent les tâches quotidiennes, où les équipes de sécurité sont sereines et où l'humain reste le garant ultime. C'est précisément ce que propose l'IA agentique. Ainsi, même si l'IA gère l'exécution, les humains doivent continuer à superviser les décisions stratégiques pour assurer des pratiques commerciales éthiques et prévenir les conséquences imprévues.

This story contains new, firsthand information uncovered by the writer.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Read My Stories

Cet audio est produit dans la langue originale de l'histoire !

Le guide pragmatique pour stopper les agents d'IA malveillants

About Author

COMMENTAIRES

ÉTIQUETTES

CET ARTICLE A ÉTÉ PARU DANS

Related Stories

Le modèle Bitcoin UTXO, alimentant un écosystème unique

Naviguer sur les eaux : développer des applications RAG de qualité production avec des lacs de données

La fuite de l'invite du système Claude Sonnet 3.5 : une analyse médico-légale

Vous voulez gagner un concours d’écriture HackerNoon ? Voici ce que recommandent les gagnants du concours #crypto-api

Le modèle Bitcoin UTXO, alimentant un écosystème unique

Naviguer sur les eaux : développer des applications RAG de qualité production avec des lacs de données

La fuite de l'invite du système Claude Sonnet 3.5 : une analyse médico-légale

Vous voulez gagner un concours d’écriture HackerNoon ? Voici ce que recommandent les gagnants du concours #crypto-api

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps