Intelligence artificielle : un « game changer » en matière de cyberdéfense

(par Guillaume Tissier, Président de CEIS)

L’Homme est incapable de répondre seul aux attaques informatiques. Tel est le constat partagé par les professionnels de la cybersécurité. Plusieurs raisons : le volume des attaques, leurs mutations permanentes, la vitesse de réaction qu’elles exigent, mais aussi le manque de spécialistes sur le marché. Déjà largement utilisée en matière de lutte anti-fraude, l’intelligence artificielle apparaît donc de plus en plus comme un « game changer » majeur en matière de cybersécurité, en particulier dans la lutte informatique défensive. Le récent rapport Villani cite d’ailleurs la défense comme l’un des 4 débouchés stratégiques en la matière. A l’inverse, la généralisation de l’intelligence artificielle, y compris dans des systèmes d’arme totalement automatisés, soulèvera demain de nombreux problèmes de cybersécurité, la technologie pouvant être utilisée à des fins malveillantes.

Quel rôle pour l’IA en matière de cybersécurité ?

L’Intelligence artificielle est devenue en quelques années un buzzword marketing chez les éditeurs de cybersécurité. Avec succès puisqu’un tiers des entreprises disent aujourd’hui utiliser des solutions de sécurité basée sur de l’IA[1]. Ce chiffre ne peut cependant pas masquer des réalités très diverses, certaines solutions s’appuyant davantage sur des moteurs de règles sophistiqués que sur de réelles fonctionnalités d’IA. Pour parler d’intelligence artificielle, il faut en effet qu’il y ait 1) une capacité de perception de l’environnement au moyen d’un apprentissage supervisé ou non, 2) une capacité d’analyse et de résolution de problème, 3) une capacité de proposition d’action, voire de décision autonome.

Au plan théorique, les apports de l’IA en matière de cybersécurité sont donc nombreux, qu’il s’agisse de prévention, d’anticipation, de détection ou de réaction. Dans la pratique, la détection de vulnérabilités ou de menaces internes ou externes apparaît aujourd’hui l’un des usages les plus matures. Et il y a urgence tant les systèmes de détection actuels basés sur des signatures montrent leurs limites : nombre élevé de faux positifs, incapacité à s’adapter aux dernières menaces, notamment aux APT, lourdeur des bases de signature, ce qui a un impact sur les performances. Différents acteurs comme iTrust[2] en France (solution Reveelium), Darktrace[3] au Royaume-Uni ou Cylance[4] (société américaine venant de s’implanter en France[5]) se sont ainsi spécialisés dans le développement de solutions à base d’intelligence artificielle pour la détection d’anomalies et l’analyse comportementale. De leur côté, la plupart des éditeurs de solutions de sécurité endpoint et réseau (Symantec, Sophos, F-secure, SentinelOne, Fortinet, Palo Alto Networks…) ont intégré des briques d’intelligence artificielle plus ou moins évoluées dans leurs solutions, parfois en rachetant des petits acteurs spécialisés (comme Invicea racheté par Sophos ou RedOwl par Forcepoint en 2017).

Après la détection, la réponse à incident est aussi largement touchée par le mouvement. Il s’agit en effet de démultiplier l’efficacité des SOC et CSIRT en donnant davantage toujours plus d’intelligence aux SIEM. Splunk[6] a ainsi annoncé il y a quelques jours le rachat de Phantom Cyber[7], un spécialiste de l’automatisation et de l’orchestration de la réponse à incident. De son côté, IBM a intégré son Watson dans Qradar et propose maintenant une « sécurité cognitive »[8] permettant d’exploiter de façon combinée données structurées (les logs par exemple) et non structurées (avis d’expert, réseaux sociaux…).

Ajoutons également à ces différents usages défensifs la possibilité d’utiliser l’IA pour l’authentification des utilisateurs à partir d’une empreinte constituée grâce à l’analyse de leur propre comportement (cf. le programme Active Authentification de la DARPA[9]).

Principaux usages de l’intelligence artificielle en cybersécurité

	*Usage*	*Description*	*Maturité*
Prévention	Sécurité du code	Assistance à la programmation, correction automatique des bugs	˜˜™™
Prévention	Cyber-résilience	Systèmes auto-adaptatifs capables de se reconfigurer automatiquement face à des attaques	˜™™™
Anticipation	Cyber Threat Intelligence	Prévention des fuites de données, analyse et caractérisation des attaques passées, surveillance des attaquants potentiels	˜˜™™
	Attribution des attaques	Identification des auteurs d’une attaque informatique	˜™™™
	Cybersécurité cognitive	Agrégation et traitement d’un ensemble de données non structurées (écrits des experts, réseaux sociaux…) et structurées (logs) afin d’assister les équipes sécurité	˜™™™
Détection	Détection de vulnérabilités	Tests d’intrusion automatisés, simulation d’attaques, détection de failles dans un logiciel	˜˜˜™
Détection	Détection de menaces internes ou externes	Détection d’anomalies à partir d’une analyse comportementale, lutte anti-APT, analyse de logs, lutte anti-fraude	˜˜˜™
Réaction	Réponse à incident	Automatisation et orchestration de la réponse à incident (analyse des incidents, application de contre-mesures, filtrage de contenus, collecte de preuves…)	˜˜™™
Réaction	Attribution des attaques	Identification des auteurs d’une attaque informatique	˜™™™

Au-delà des couches techniques du cyberespace, l’intelligence artificielle peut enfin jouer un rôle ambivalent sur la couche sémantique puisqu’elle permet à la fois de fabriquer de façon industrielle des fake news, à l’image du faux discours de Barack Obama produit par l’Université de Washington[10], tout en facilitant leur détection. La DARPA vient ainsi de lancer un programme de media forensic permettant de certifier des informations[11].

L’intelligence artificielle va donc progressivement imprégner l’ensemble des technologies et des processus de cybersécurité. En témoigne par exemple le Cyber Grand Challenge, organisé par la DARPA lors de la DEFCON 2016, qui a vu différentes IA s’affronter pour détecter et corriger de failles de façon totalement automatisée[12].

Si l’utilisation de la technologie à des fins de cyberdéfense apparaît donc prometteuse, il faut également en mesurer les limites, qui ne sont pas tant technologiques qu’humaines (comprendre l’IA) et psychologiques (accepter l’IA). Sommes-nous prêts à laisser des machines prendre certaines décisions qui peuvent être lourdes de conséquences ? Si la détection de comportements anormaux ou l’analyse de code ne paraissent pas poser de problèmes, le filtrage de contenus, le blocage d’une adresse IP et a fortiori l’attribution d’une attaque sont des décisions « engageantes ». De façon générale, l’intelligence artificielle ne saurait donc remplacer l’intelligence humaine. Sa vocation est surtout de l’augmenter. Cela suppose que la technologie ne soit pas une boîte noire : l’utilisateur doit pouvoir suivre et comprendre les différentes étapes du raisonnement et comprendre la décision. C’est la condition sine qua non de la confiance qu’il accordera ou non au système. Le risque de voir des batailles d’IA cherchant à s’affaiblir mutuellement et à leurrer les machines adverses est en effet bien réel. Lors de la DEFCON 2017, des chercheurs ont ainsi démontré qu’il était possible d’utiliser le framework Open AI pour rendre des malwares totalement indétectables[13].

Quelle cybersécurité pour l’IA ?

La relation entre IA et cybersécurité possède donc une deuxième face, négative celle-ci, liée aux utilisations malveillantes de la technologie qui peut être victime de détournements et d’attaques. Il peut tout d’abord s’agir d’attaques par empoisonnement qui consistent à injecter, pendant la phase d’apprentissage, des données biaisées ou de mauvaise qualité. Tay, le chatbot (ou robot conversationnel) de Microsoft en a été la victime[14]… Autre méthode : les attaques par inférence qui consistent à pousser les IA à révéler leur fonctionnement interne (seuils, règles…) en jouant différents scénarios. Cette méthode est déjà largement utilisée par les cybercriminels pour leurrer les systèmes anti-fraude. Il est enfin possible de leurrer les IA en modifiant légèrement leur environnement, comme l’ont récemment démontré des chercheurs de Google en matière de reconnaissance d’image[15]. Des fragilités qui ont fait dire à Adi Shamir, co-inventeur de l’algorithme RSA qu’il ne fallait surtout pas demander à une intelligence artificielle comment sauver internet. Le risque serait en effet grand qu’elle recommande d’abord de tuer le réseau pour mieux le sauver…

Au plan militaire, ces risques sont d’autant plus inquiétants que l’IA sera demain omniprésente dans les systèmes d’arme, que certains pays imaginent en large partie autonomes dans le futur proche. Si les Etats-Unis conçoivent d’abord l’IA comme un moyen d’augmentation des performances humaines, tant sur le plan physique que cognitif, la Russie travaille ainsi à l’automatisation complète de certaines plateformes. Objectif : robotiser 30% des équipements militaires d’ici 2025 afin d’exclure progressivement l’Homme de la zone de confrontation immédiate. Dans cette compétition mondiale, la Chine n’est pas en reste et cherche aujourd’hui à utiliser les technologies civiles comme un levier pour ses capacités militaires avec pour ambition de parvenir au leadership mondial en 2030.

L’intelligence artificielle est donc devenue un enjeu de souveraineté majeure. Face au volontarisme de ses compétiteurs russes, américains et chinois, la France a une carte à jouer, tant au plan scientifique qu’en termes de données disponibles et de débouchés industriel. Il s’agit donc de créer les conditions de la sécurité et de la confiance dans l’intelligence artificielle. En premier lieu, en investissant dans la sécurité de l’intelligence artificielle. C’est ce que préconise le rapport Villani qui propose de confier une mission à ce sujet à l’ANSSI. En deuxième lieu, en définissant un cadre éthique. Comment, par exemple, concilier le droit à l’oubli et la protection des données personnelles face à des systèmes qui engloutissent et mémorisent des milliards de données ? Enfin, en troisième lieu, en concentrant les efforts sur quelques secteurs où la France est en pointe. La cybersécurité en fait assurément partie.

Quelle stratégie pour la France ?

A l’occasion de la conférence AI for Humanity au collège de France, le Président de la République a exposé les ambitions et la stratégie de la France en matière d’IA[16].

4 priorités ont été définies :

– Conforter l’écosystème de l’IA pour attirer les meilleurs talents ;

– Développer une politique d’ouverture des données ;

– Créer un cadre réglementaire et financier favorable à l’émergence de champions de l’IA ;

– Engager une réflexion sur la régulation et l’éthique de l’IA.

[1] http://www.esg-global.com/blog/artificial-intelligence-and-cybersecurity-the-real-deal

[2] https://www.itrust.fr/

[3] https://www.darktrace.fr

[4] https://www.cylance.com

[5] http://www.globalsecuritymag.fr/Florent-Embarek-Cylance-l-IA,20180605,79022.html

[6] https://www.splunk.com/fr_fr

[7] https://www.phantom.us/