Cybersécurité à l'ère de l'intelligence artificielle : les exemples de la KGM et de Meta

L'un des sujets les plus débattus concernant l'intelligence artificielle est celui des pertes d'emplois. Un groupe de personnes pense que l'IA mènera à la fin de l'humanité. Un autre groupe craint que toutes les professions ne disparaissent.

À mon avis, nous sommes confrontés aujourd'hui à un danger bien plus réel.

Il s'agit de la connexion irréfléchie de l'intelligence artificielle aux systèmes des institutions.

Deux incidents survenus ces derniers jours ont montré une fois de plus à quel point ce problème est grave. Ce qui est intéressant, c'est que l'un des incidents s'est produit dans une institution publique en Turquie, et l'autre dans l'une des plus grandes entreprises technologiques au monde.

L'exemple de la KGM

Au retour des vacances de la fête, je me suis connecté au système de la Direction générale des autoroutes (KGM) pour vérifier s'il y avait un problème avec mes enregistrements HGS (système de passage rapide).

Le tableau qui s'est présenté à moi était assez surprenant.

Il était possible d'accéder aux enregistrements de passage uniquement avec les informations de la plaque d'immatriculation, sans aucune authentification.

Plus curieux encore, bien que le véhicule que nous interrogions soit un modèle 2023, des enregistrements datant de 2017 apparaissaient dans le système.

J'en ai rapidement compris la raison.

Le système ne suivait pas le véhicule, mais la plaque d'immatriculation.

En d'autres termes, si la même plaque avait été utilisée sur un autre véhicule par le passé, les enregistrements de cette période pouvaient également être consultés. En d'autres termes, une personne pouvait accéder aux voyages passés d'une autre personne.

J'ai appelé le centre d'appels pour signaler le problème.

Je suis tombé sur un système de réponse vocale assisté par intelligence artificielle.

Par curiosité, j'ai fourni une plaque d'immatriculation.

Le système a commencé à partager les informations de passage concernées sans vérifier si la plaque m'appartenait.

Le point à souligner ici n'est pas l'intelligence artificielle elle-même.

Le vrai problème réside dans la manière dont les données auxquelles l'IA accède et les autorisations dont elle dispose sont définies.

C'est précisément à ce stade que l'on pense à la décision du KVKK (Autorité de protection des données personnelles) publiée la semaine dernière.

Le Conseil de protection des données personnelles a adopté une approche très restrictive concernant l'utilisation de données biométriques telles que les empreintes digitales, la géométrie faciale, la rétine et l'iris pour le suivi des horaires de travail des employés.

La justification est tout à fait logique.

Ces données sont extrêmement sensibles. Une fois compromises, il est impossible de les modifier.

Cependant, on ne peut s'empêcher de poser la question suivante :

Si, d'un côté, les systèmes de suivi des horaires par empreintes digitales dans les entreprises sont passés au crible, et que, de l'autre, les informations sur les antécédents de voyage des citoyens sont accessibles sans vérification suffisante, l'ordre des priorités est-il correctement établi ?

Il y a une différence majeure entre savoir à quelle heure une personne arrive au travail et savoir dans quelles villes une personne s'est rendue, quels itinéraires elle a empruntés et à quelles dates elle a voyagé.

Dans les débats sur la sécurité des données, il ne faut pas seulement regarder quelles données sont collectées, mais aussi qui peut y accéder.

L'exemple de Meta

Au cours de la même période, une nouvelle remarquable concernant Meta a été publiée.

Des pirates informatiques ont réussi à prendre le contrôle de centaines de comptes. Parmi eux se trouvaient des comptes de personnalités connues et de grandes marques.

Selon les allégations, la méthode était extrêmement simple.

Ils ont contacté le service client assisté par intelligence artificielle et ont formulé des demandes de modification concernant le compte.

Le système d'intelligence artificielle a exécuté ces demandes sans vérification suffisante.

Les adresses e-mail ont été modifiées.

Les liens de réinitialisation de mot de passe ont été envoyés aux nouvelles adresses.

En conséquence, les comptes sont passés sous le contrôle des attaquants.

Meta a déclaré plus tard que la faille avait été corrigée.

Mais ici aussi, le problème fondamental n'était pas l'existence de l'intelligence artificielle.

Le problème était de savoir quelles autorisations avaient été accordées à l'IA et avec quels contrôles ces autorisations étaient limitées.

Le vrai problème n'est pas l'intelligence artificielle

Ces deux exemples semblent totalement différents à première vue.

L'un concerne le secteur public.

L'autre le secteur privé.

L'un est en Turquie.

L'autre en Amérique.

Mais les deux racontent la même chose.

De nombreuses institutions pensent d'abord à l'efficacité lorsqu'elles tentent d'intégrer l'IA dans leur système.

Un service client plus rapide.

Moins de personnel.

Des coûts plus bas.

Une automatisation plus élevée.

Cependant, la question suivante n'est souvent pas assez posée :

"Que se passe-t-il si ce système prend une mauvaise décision ?"

Plus important encore :

"Que se passe-t-il si un attaquant trompe ce système ?"

Aujourd'hui, dans de nombreuses institutions, le processus fonctionne à l'envers.

On lance d'abord le projet d'intelligence artificielle.

Ensuite, on connecte les systèmes CRM.

On ouvre les données clients.

On connecte les systèmes comptables.

On connecte les centres d'appels.

On définit les autorisations.

Cependant, les travaux de modélisation des menaces ne viennent souvent qu'après coup.

Pourtant, l'approche correcte est exactement l'inverse.

Avant de lancer un projet d'intelligence artificielle, il est nécessaire d'établir des scénarios d'attaque possibles.

À quelles données accèdera-t-il ?

Quelles opérations pourra-t-il effectuer ?

Quelles décisions pourra-t-il prendre seul ?

À quel moment une approbation humaine sera-t-elle nécessaire ?

Quel sera le pire scénario si un attaquant trompe le système ?

Mettre l'intelligence artificielle en environnement de production sans avoir répondu à ces questions constitue un risque sérieux.

Par le passé, les attaquants cherchaient des failles dans les logiciels.

Aujourd'hui, ils ciblent les mécanismes de décision.

Ils essaient de tromper l'intelligence artificielle.

Ils essaient de dépasser les limites d'autorisation.

Ils essaient de manipuler la logique du système.

C'est pourquoi, dans les projets d'intelligence artificielle, la cybersécurité ne doit plus être une couche ajoutée après coup, mais le point de départ du projet.

Les exemples de la KGM et de Meta nous donnent la même leçon.

Les systèmes d'intelligence artificielle ne constituent pas un risque parce qu'ils sont dangereux, mais parce qu'ils sont autorisés sans réflexion suffisante.

À l'ère de l'intelligence artificielle, le véritable problème de sécurité n'est pas les algorithmes eux-mêmes, mais les portes que nous leur ouvrons.

Ce que j'ai examiné cette semaine ; Ampoule LED WiFi intelligente Günsan

L'un des produits qui a attiré mon attention cette semaine est l'ampoule LED WiFi intelligente de Günsan.

Les produits de Günsan ne me sont pas totalement étrangers. J'avais déjà eu l'occasion d'examiner la prise intelligente de la marque et, honnêtement, je dois dire que je l'ai trouvée réussie. J'ai particulièrement apprécié le fait qu'elle permette d'entrer dans le monde de la maison intelligente sans compliquer l'installation.

Le produit que j'ai découvert cette fois-ci est l'ampoule LED WiFi intelligente.

Bien que les technologies de maison intelligente fassent partie de notre vie depuis des années, elles sont devenues plus accessibles ces derniers temps. De nombreuses fonctionnalités qui nécessitaient autrefois des installations sérieuses peuvent désormais être utilisées simplement en changeant une ampoule.

L'un des aspects remarquables des modèles que j'ai examinés est qu'ils peuvent fonctionner non seulement avec leur propre application, mais aussi avec des plateformes populaires telles que Tuya et Smart Life, en plus de GG SMART. Cela constitue un avantage important pour les utilisateurs qui souhaitent construire une structure de maison intelligente composée de différentes marques.

Utilisant la technologie LED 9W, les ampoules fonctionnent avec une faible consommation d'énergie. Le modèle à lumière blanche propose des tons de lumière réglables entre 2700K et 6500K. Il est possible de choisir une lumière plus vive dans le bureau ou de passer à des tons plus chauds en soirée.

Le modèle RGB offre quant à lui 16 millions d'options de couleurs. Différents scénarios peuvent être créés lorsque vous regardez un film, lisez un livre ou souhaitez simplement changer l'ambiance de la pièce.

Je dois dire que j'ai trouvé les fonctions de minuterie particulièrement utiles. L'allumage des lumières à une heure précise le matin ou leur activation automatique le soir font partie des petits détails efficaces qui facilitent la vie quotidienne.

À mesure que les technologies de maison intelligente se généralisent, il semble que nous verrons ces produits plus souvent. Après la prise intelligente de Günsan, ces ampoules que j'ai examinées montrent également que la marque progresse de manière constante dans l'élargissement de sa gamme de produits pour la maison intelligente.