Cybersécurité et IA de pointe : enjeux et mesures pour les acteurs financiers

Les avancées technologiques en matière d’intelligence artificielle (IA) de pointe élargissent considérablement les capacités des modèles frontaliers, offrant des opportunités inédites tout en introduisant des défis majeurs en cybersécurité. Ces outils, capables de traiter d’immenses volumes de données, de générer du code sophistiqué ou d’automatiser des processus complexes, peuvent être détournés par des acteurs malveillants pour amplifier l’échelle, la rapidité et l’efficacité des cyberattaques.

Limites des mesures traditionnelles face à l’IA frontalière

Les dispositifs classiques de gestion des vulnérabilités, tels que la correction des failles et la gestion des correctifs, montrent leurs limites dans un paysage cyber en mutation accélérée par l’IA. Traditionnellement, la gestion des vulnérabilités repose sur un délai entre la publication d’une faille et son exploitation active, permettant aux organisations d’intervenir via des processus de correction. Cependant, l’IA frontalière réduit drastiquement ce délai, rendant les approches actuelles insuffisantes.

Les observations de la CSSF auprès des institutions financières supervisées confirment ces constats : les scans de vulnérabilités sont souvent insuffisamment fréquents, et les correctifs appliqués avec un retard significatif. Par ailleurs, de nombreuses entités supervisées ne révisent pas avec la régularité requise les mesures de protection des réseaux, ni n’automatisent les revues des configurations sécurisées.

Renforcement de la gouvernance et de la résilience

Dans ce contexte, la CSSF invite les entités supervisées à examiner attentivement les publications récentes de l’ESRB et du FSB sur l’IA, notamment :

• L’avertissement de l’ESRB sur les risques cyber systémiques liés aux modèles d’IA frontaliers ;
• La consultation du FSB sur les bonnes pratiques pour une adoption responsable de l’IA.

Face à l’évolution rapide des risques cyber induits par l’IA, la CSSF souligne l’importance d’une gouvernance robuste au sein des organes de direction. Les membres de ces instances doivent mettre en place des structures dédiées à la gestion des risques liés à l’IA frontalière, en assurant un suivi rigoureux et en soutenant le renforcement de la résilience organisationnelle contre les menaces exploitant l’IA.

Approche holistique et allocation optimisée des ressources

Pour une utilisation efficace des ressources limitées en cybersécurité, la CSSF recommande une approche équilibrée, combinant plusieurs fonctions essentielles : identifier, protéger, détecter, répondre et récupérer. Il est conseillé de collaborer avec les pairs, les associations sectorielles et les experts en cybersécurité afin de définir des plans d’action adaptés.

Mesures clés pour contrer les cybermenaces accélérées par l’IA

Les entités sont invitées à intégrer dans leurs plans d’action les mesures suivantes :

Réduction de la surface d’attaque

• Minimiser le nombre de systèmes exposés sur Internet pour limiter les points d’entrée potentiels ;
• Identifier et remplacer les technologies obsolètes ou non supportées, en priorisant les composants exposés en externe ;
• Établir un inventaire précis des actifs ICT comme préalable indispensable.

Gestion prioritaire des correctifs selon l’exposition et l’exploitabilité

• Éviter de se fier uniquement aux scores de sévérité théoriques pour prioriser les correctifs ;
• Privilégier les vulnérabilités exposées, déjà exploitées ou présentant un risque élevé d’exploitation réelle ;
• Appliquer des mesures compensatoires lorsque ni correctif ni score fiable n’est disponible, en tenant compte du décalage possible entre la découverte par l’IA et la signalisation des vulnérabilités.

Sécurisation des pipelines de développement logiciel

• Limiter l’accès aux pipelines de développement aux seuls acteurs de confiance ;
• Imposer un âge minimal pour les mises à jour des bibliothèques logicielles ;
• Éliminer les secrets en clair et intégrer une voie rapide pour les correctifs de sécurité.

Conception pour contenir l’impact des attaques

• Architecturer les systèmes et réseaux en supposant que certaines attaques réussiront ;
• Empêcher la propagation latérale des compromissions via la segmentation réseau, le principe du moindre privilège et la rotation fréquente des identifiants ;
• Mettre en œuvre une authentification multifactorielle résistante au phishing et un contrôle strict des accès entre environnements.

Chasse proactive aux menaces

• Détecter les comportements anormaux, les traces de persistance cachées et les motifs d’accès suspects, notamment sur les systèmes critiques.

Procédures de réponse en cas d’absence de correctif

• Prévoir des mesures de confinement temporaire, telles que la désactivation de fonctions vulnérables ou l’isolement de systèmes, lorsque l’exploitation précède la disponibilité d’un correctif.

Source : cssf publications