L’IA de pointe face aux failles de sécurité

MMarc

Une étude publiée jeudi sur arXiv examine si l’accès à une intelligence artificielle de pointe peut aider les entreprises à repérer davantage de failles dans leurs logiciels. Les chercheurs s’appuient sur le lancement de Project Glasswing, qui a donné à un petit groupe de grandes entreprises technologiques américaines un accès anticipé à Claude Mythos Preview. Le modèle peut aider à trouver des vulnérabilités, c’est-à-dire des défauts dans un logiciel que des attaquants pourraient exploiter. Pour mesurer ce qui change, l’étude compare les failles rendues publiques par les entreprises ayant accès au modèle avec celles d’entreprises technologiques chinoises et russes qui n’y avaient pas accès. C’est un peu comme comparer les résultats de deux groupes, dont un seul a reçu un nouvel outil. Mais cette comparaison ne suffit pas, à elle seule, à établir que l’outil explique tout l’écart observé.

MMarc

Le résultat principal est net : les entreprises participantes ont rendu publiques plus de deux fois plus de vulnérabilités que les entreprises de comparaison. Pour les failles à fort impact, l’écart atteint environ 150 % de plus. Autrement dit, l’accès au modèle s’accompagne d’une hausse marquée des failles détectées et divulguées. Il faut toutefois distinguer le nombre de failles découvertes de la vitesse à laquelle elles sont corrigées. Sur ce point, les entreprises participantes ont réparé les vulnérabilités signalées aussi rapidement qu’auparavant. L’étude ne montre donc pas que la détection accrue a ralenti leur travail de correction. Elle ne permet pas non plus, à elle seule, de conclure que le modèle est l’unique cause de la différence avec les entreprises sans accès.

MMarc

L’étude évoque aussi un déplacement du travail de détection. Les chercheurs externes, qui signalent des failles dans les logiciels des entreprises, en auraient rapporté environ deux fois moins dans le code des entreprises participantes, tandis qu’ils en signalaient davantage dans celui d’autres entreprises. Mais le résumé disponible s’interrompt à cet endroit. Les précisions sur ce résultat ne sont donc pas disponibles, et il serait prématuré d’en tirer une conclusion complète sur la place des chercheurs externes. Plus largement, ces résultats portent sur les entreprises qui ont bénéficié d’un accès anticipé, et ne disent pas ce qui se produirait dans toutes les organisations.

MMarc

Ce travail appelle toutefois plusieurs réserves. De plus, les données disponibles s'interrompent brusquement après avoir noté que les chercheurs externes ont signalé 2 fois moins de failles dans le code des groupes participants. Les éléments complets manquent encore pour mesurer toutes les répercussions de cette asymétrie technologique.