L'IA avancée laisse aux banques moins de temps pour corriger les failles logicielles avant que les attaquants ne les exploitent, selon un nouveau rapport publié par la Banque des Règlements Internationaux.
Le document de l'Institut de Stabilité Financière, publié mercredi, s'ajoute aux récents avertissements des développeurs d'IA et des régulateurs financiers selon lesquels des modèles de plus en plus performants accélèrent les cyberattaques. Le nouveau rapport se concentre sur la capacité de réponse des banques, les auteurs arguant que les institutions doivent accélérer à la fois les réparations logicielles et les décisions nécessaires pour les autoriser.
« Le développement le plus significatif apporté par l'IA de pointe est la découverte et l'exploitation autonomes des vulnérabilités », ont écrit les auteurs, avertissant que les évaluations de sécurité périodiques et les correctifs planifiés sont de plus en plus insuffisants. « La fenêtre entre la découverte et l'exploitation des vulnérabilités s'est réduite de semaines à quelques minutes. »
Le rapport cite une étude de la Financial Conduct Authority (FCA) du Royaume-Uni constatant que la découverte de vulnérabilités dépasse la capacité de réponse des entreprises, ainsi que les orientations de l'Institut de Finance Internationale (IFI) qui préconisent des correctifs plus rapides — même en dehors des fenêtres de maintenance planifiées — et une plus grande acceptation des périodes d'indisponibilité prévues.
Selon le rapport, des lignes directrices volontaires distinctes du Cross Market Operational Resilience Group du Royaume-Uni prévoient une réduction des délais de réparation de plusieurs semaines à quelques jours et, dans certains cas, à quelques heures.
Bien que les délais mentionnés dans le rapport soient volontaires, les régulateurs poussent les banques à agir plus rapidement : la BaFin allemande a appelé à des correctifs plus rapides, tandis que l'autorité monétaire de Hong Kong a exhorté à une meilleure réponse aux violations et à une meilleure récupération, selon le rapport.
« Par exemple, l'Autorité Monétaire de Hong Kong a encouragé les institutions à intégrer des scénarios cybernétiques basés sur l'IA dans les programmes de résilience opérationnelle et à renforcer les capacités de réponse aux incidents et de récupération, reconnaissant que les scénarios de 'violation' pourraient devenir plus probables à mesure que le paysage des cybermenaces continue d'évoluer », indique le rapport. « De même, le programme de tests de résistance à la cyber-résilience de la [Banque Centrale Européenne] et la mise en œuvre du Digital Operational Resilience Act (DORA) mettent l'accent sur la capacité des institutions non seulement à résister aux cyberattaques, mais aussi à continuer à fournir des services critiques pendant de graves perturbations opérationnelles. »
Cet avertissement fait suite à un appel lancé en août pour des défenses cybernétiques plus solides, soutenu par OpenAI, Anthropic et plus de 100 autres organisations. Les signataires ont recommandé des contrôles d'accès plus stricts, le partage des informations sur les menaces et une surveillance plus étroite des agents IA.
Le rapport de la BRI examine l'intrusion chez Hugging Face impliquant des modèles OpenAI comme preuve préliminaire que les capacités démontrées lors des tests peuvent se traduire par des attaques sur des systèmes réels. OpenAI a ensuite décrit comment ses agents se sont coordonnés pendant l'opération.
Bien que les auteurs avertissent que les mesures de sécurité normales avaient été assouplies et que des ressources informatiques substantielles avaient été fournies, ils affirment que l'incident ne reflète pas directement les risques posés par les outils d'IA disponibles publiquement.
« L'incident d'OpenAI n'indique pas que les modèles d'IA de pointe peuvent développer des objectifs malveillants par eux-mêmes. Néanmoins, ils peuvent poursuivre une tâche étroitement définie avec des conséquences involontaires et nuisibles », ont-ils écrit. « L'importance de ce développement pour la cyber-résilience réside dans la combinaison d'un modèle capable avec un système logiciel environnant qui lui permet de planifier, d'utiliser des outils et d'agir de manière autonome. »
BTC