3 conseils des experts en sécurité de l’IA de Snyk et Dynatrace

McKinsey qualifie 2023 d’« année de l’essor de l’IA générative ». Dans l’une de ses récentes enquêtes, un tiers des répondants ont indiqué que leur organisation utilisait régulièrement l’IA générative dans au moins une fonction métier. Mais, à mesure que les progrès de l’IA continuent de transformer le paysage technologique, de nombreux RSSI sont confrontés à cette question : quel est l’impact de l’IA sur les cycles de développement logiciel et sur la sécurité globale des applications d’entreprise ? 

Lors d’un récent échange, nos intervenants ont exploré en profondeur l’IA et ses implications pour les entreprises d’aujourd’hui. Parmi eux : 

• Simon Maple, responsable de la sensibilisation à l’IA chez Snyk

• Craig Charlton, directeur de la sécurité des systèmes d’information et vice-président de l’activation numérique des employés chez Dynatrace, avec une dizaine d’années d’expérience dans les technologies de l’information et la sécurité 

• Don Ferguson, responsable de la protection de la vie privée chez Dynatrace, qui travaille depuis dix ans sur Davis AI, le produit d’IA de Dynatrace

Au fil de leur échange, ils ont abordé plusieurs sujets : le paysage actuel de l’IA, les éléments à prendre en compte pour l’utiliser dans le développement logiciel, ainsi que des conseils pratiques pour trouver l’équilibre entre les possibilités et les risques de l’IA. Selon ces experts, utiliser l’IA en toute sécurité repose avant tout sur une gouvernance réunissant plusieurs équipes, des stratégies rigoureuses pour tester et déployer les nouvelles technologies, et une attention constante à la sécurité tout au long du développement.

3 enseignements clés de l’échange de Snyk et Dynatrace sur la sécurité de l’IA générative

Même si les entreprises utilisent l’IA depuis plusieurs années — notamment avec Davis AI, le produit de Dynatrace lancé il y a dix ans, et DeepCode AI de Snyk, qui existe depuis quatre ans —, le débat a radicalement changé au cours de l’année écoulée. 

Comme le dit Maple : « Si nous avions parlé de ce sujet il y a deux ou trois ans, la confiance dans les capacités de l’IA et son aptitude à être intégrée aux produits n’aurait pas été aussi naturelle… Il est très intéressant de constater qu’aujourd’hui, si vous ne parlez pas d’IA, on se demande si vous êtes suffisamment tourné vers l’avenir. »

Au cours de leur échange, Maple, Charlton et Ferguson ont parlé de l’équilibre entre innovation et sécurité de l’IA. Voici quelques-uns de leurs principaux conseils.

Donnez la priorité à la gouvernance de l’IA

La gouvernance de l’IA est essentielle à ce stade du parcours des entreprises vers l’IA générative. Charlton a déclaré : « L’une des choses les plus importantes pour nous était de ne pas attendre pour mettre en place une organisation dédiée à la gouvernance de l’IA. Elle doit inclure la sécurité, la protection de la vie privée, les applications métier, les affaires juridiques, le développement logiciel, etc. Il ne s’agit pas seulement de gouvernance : il y a aussi l’éthique, le traitement des demandes, leur examen, tous ces aspects, ainsi qu’un véritable volet communication. »

Avancez avec patience et discernement

Maple, Charlton et Ferguson ont également souligné l’importance d’adopter les nouvelles technologies lentement et avec prudence. Ferguson a déclaré : « On subit beaucoup de pression pour faire les choses et agir rapidement… Il est vraiment important de prendre le temps de se familiariser avec l’IA générative, de bien comprendre comment en tirer pleinement parti et comment gérer les risques… Il faut prendre le temps de réfléchir. »

Charlton a évoqué deux grandes priorités sur lesquelles vous concentrer pour avancer prudemment :

• Évaluez le niveau d’explicabilité et de transparence des outils que vous avez choisis. Pouvez-vous cartographier les flux de données et savoir quels systèmes peuvent consulter les données que vous saisissez dans vos outils d’IA ? Comme il l’explique : « D’où viennent les données ? Comment peuvent-elles servir à l’entraînement ? Où sont-elles acheminées ensuite… et comment sont-elles exfiltrées vers d’autres types de systèmes ? Alimentent-elles ensuite d’autres systèmes, qui pourraient finalement être exposés à des risques que vous n’aviez pas anticipés ?… Il faut suivre le parcours des données : savoir qui en est propriétaire, comment elles sont utilisées pour l’entraînement et si elles présentent des biais intrinsèques. » 

• Mettez en place la sécurité du code lorsque vous utilisez l’IA pour le développement. Il recommande de se poser les questions suivantes : « Soumettons-nous le code généré par l’IA à notre processus habituel d’analyse des menaces ? Veillons-nous à documenter clairement dans notre base de code la part écrite par des humains et celle produite par l’IA générative ? »

Trouvez l’équilibre entre les possibilités et les risques de l’IA, en particulier dans le développement

L’IA offre à toutes sortes d’équipes des possibilités, mais aussi des risques. Les développeurs doivent toutefois accorder une attention particulière à la sécurité et à la protection de la vie privée lorsqu’ils utilisent des outils d’IA. L’IA ouvre de nouvelles perspectives aux équipes de développement : les solutions AppSec de Snyk s’appuient sur l’IA pour corriger le code, tandis que les LLM peuvent rédiger des centaines de lignes de code en quelques millisecondes. Mais une mauvaise utilisation des outils d’IA dans le développement peut entraîner de nombreux risques, comme du code mal écrit et non sécurisé, une surexposition des données ou l’introduction involontaire de composants tiers non sécurisés. 

Pour trouver l’équilibre, il faut commencer par des échanges transparents et ouverts dans les deux sens sur les outils d’IA et leur utilisation appropriée. Selon Charlton, les entreprises doivent instaurer « un dialogue continu avec un groupe chargé de définir les bonnes pratiques dans le développement, les produits que nous allons utiliser, la manière dont nous entraînons nos modèles de langage, etc. Comme pour toute évolution de la culture d’entreprise, il faut une communication claire, cohérente et régulière pour y parvenir. »

Développer en toute sécurité avec l’IA

Comme nous l’avons vu lors de cet échange, les équipes doivent prendre en compte de nombreux facteurs lorsqu’elles utilisent l’IA, notamment les flux de données de chaque outil et ses implications éthiques. Heureusement, les équipes de développement disposent de nombreuses ressources pour tirer le meilleur parti de l’IA sans compromettre la sécurité. Pour commencer, vous pouvez écouter l’intégralité de l’échange avec Maple, Charlton et Ferguson.