Non, les agents IA d’OpenAI et Anthropic ne menacent pas vraiment la cybersécurité
Un nombre croissant de professionnels de la cybersécurité déplorent la façon « IApocalyptique » qu’ont OpenAI, Anthropic et de nombreuses entreprises des Big Tech’ de présenter les capacités des agents IA en matière de cyberattaques.
(pas en accès libre, dommage, ça serait utile à certains qui tombent encore trop facilement dans le panneau)
Pour info, on utilise déjà l’IA pour trouver des failles dans les logiciels. On a atteint un nombre record de découvertes et de corrections de failles dans la plupart des logiciels grands publics comme Firefox ou Chromium grâce aux IA ces quelques derniers mois (voire ces deux dernières années, mais ça s’accélère).
C’est plus ces derniers mois. Ce qui etait trouvé avant était de faible qualité, des bugs a la con et mal documentés. (genre le bug de VLC qui necessitati une video spécifique a un frame spécifique).
Les IAs génératives sont des très bons outils pour trouver des failles ignorées par les humains, maintenant les modèles frontier atteignent de plus en plus leurs limites et ne sont que des évolutions incrémentales.
Au final les grosses entreprises américaines ont besoin de ces headlines de merde (on a atteint l’AGI!!!) et ces effets d’annonce pour justifier leurs levées de fond et la course aux data centers.
Les histoires d’IAg ça a effectivement l’air d’être du n’importe quoi pour lever des fonds vu que la définition est complètement floue. Personne n’a l’air capable de dire quels problèmes concrets un super-modèle résoudrait.
Par contre sur la progression des modèles je trouve quand même ça impressionnant : vers 2023-24 je pensais que ça allait rapidement atteindre un plateau par manque de moyen mais ils ont l’air capable d’en trouver toujours plus (en détruisant probablement les conditions d’habitabilité humaines au passage ça c’est une autre histoire)
Qu’est-ce qui te fait dire que les modèles frontiers ont atteint un plateau?
(vu que je n’utilise pas d’IAg je ne suis ça qu’à travers les témoignages et articles de presse ou études)
Elles ont besoin d’interdire les modèles ouverts. C’est surtout de la FUD. Perso je m’attends à un gain net si ça aide à scanner les bases de code pour corriger les failles de sécurité.
FUD c’est quoi?
“Fear uncertainty doubt”, une technique de manipulation qui vise à générer ces émotions négatives pour faire accepter une politique ou vendre un produit.
Elle ne précise pas cependant que les attaques très sophistiquées menées par les IA agentiques coûtent une fortune en puissance de calcul et en tokens API, et qu’il est peu probable que les pirates informatiques parviennent à en payer le prix « au cours des prochains mois ».
C’est la ou je suis moins d’accord. Le pirate de base qui vise les PME oui, le pirate étatique qui vise les infrastructures c’est pas pareil.
Et là encore, ça dépend de l’objectif : si c’est de foutre un grand coup pour tout mettre à plat où si c’est de faire une infiltration pour pouvoir résider ensuite.
Sans compter que trouver une nouvelle Zero Day c’est peut être cher, mais tester quelques centaines de failles connues sur ta cible, c’est beaucoup plus facile.
