L’IA a profondément remodelé les métiers de la cybersécurité. La détection des menaces, jadis au cœur des missions d’évaluation, s’opère désormais à vitesse machine et fournit pléthore d’informations. Là où les compromissions s’opéraient sur des cycles de plusieurs semaines, elles frappent désormais en quelques secondes. Idem pour les chaînes de vulnérabilités qui, pendant des années, ont échappé aux équipes sécurité et DevOps les plus chevronnées. Avec les nouveaux modèles de frontière, de nombreuses vulnérabilités sont aujourd’hui découvertes instantanément sur des codebases de grande ampleur.
En juin dernier, Rubrik a rejoint Project Glasswing, une initiative d’Anthropic qui a permis à nos ingénieurs d’accéder à Mythos Preview. Après tout un mois au contact du modèle qui a créé une véritable onde de choc dans notre secteur, je suis convaincu qu’il est possible de répondre aux nouveaux enjeux de l’IA de manière à renforcer la cyber-résilience.
Pour relever le défi, nous avons constitué une équipe transversale rassemblant notamment des ingénieurs et spécialistes de la cybersécurité. Leur mission : 1) prioriser une détection haute-fidélité et une élimination des menaces dans nos propres systèmes et 2) automatiser les processus autant que possible. L’objectif était de construire un harnais (la couche logicielle entourant le modèle d’IA) capable de gérer les appels d’outils et les checkpoints, de délimiter le périmètre de confiance, mais aussi d’apporter du contexte métier et sécurité.
À l’heure où les attaques se produisent à vitesse machine, la réponse doit agir au même rythme.
Concrètement, cela signifie que le rôle des solutions de sécurité ne s’arrête pas à la détection. Face à de tels volumes de menaces, chaque étape en aval devient une nouvelle contrainte à gérer. De même, les problèmes d’ingénierie les plus complexes finissent par ne plus être les mêmes qu’au début.
L’approche haute-fidélité
En travaillant avec Mythos dans le cadre de Project Glasswing, nous avons d’abord perçu l’avalanche de nouvelles détections comme un problème de capacité : si la file d’attente est plus longue, il faut davantage d’analystes pour la résorber. Mais là n’était pas la solution. Nous avons dû repenser le fonctionnement même du pipeline.
La clé était de traiter la situation comme un problème d’architecture. Au lieu de se demander « comment évaluer les problèmes constatés », nous nous sommes posé une autre question : « comment bâtir un système qui envoie uniquement les vrais problèmes aux ingénieurs ? »
Ce changement de perspective a bousculé notre façon d’aborder le harnais. Contexte métier, données de sécurité, physionomie des menaces spécifiques à chaque entreprise cliente de Rubrik… Toutes ces informations sont trop délicates pour être figées dans un prompt. Là où les prompts dérivent, les harnais architecturaux restent stables. Quand le contexte est structurel, il s’applique uniformément à toutes les analyses et tous les contrôles, sans devoir chercher la formulation parfaite à chaque fois.
Nous avons d’abord lancé des scans à l’échelle de dépôts de code entiers, en passant au crible chaque fichier sans le moindre présupposé. Peu à peu, ces scans sont devenus plus ciblés, orientés sur les vrais schémas à risque détectés lors des premiers cycles. Résultat : une réduction drastique du nombre de problèmes prioritaires confirmés après détection. C’est grâce à cette haute-fidélité que la remédiation en aval peut être viable.
Automatisation : l’humain reste dans la boucle
Au moment de mettre en place un pipeline de remédiation, mon équipe s’est rendu compte que le problème n’était pas de savoir ce qu’il fallait automatiser, mais plutôt ce que l’on ne pouvait pas automatiser.
Car le problème sous-jacent est avant tout structurel. La remédiation humaine n’atteindra jamais la rapidité de la détection pilotée par IA, c’est un fait. Augmenter les effectifs ne résoudra pas le problème. La seule solution est de construire une automatisation capable de traiter les vulnérabilités potentielles à la vitesse de la détection, avec un niveau de confiance élevé.
L’automatisation est structurée de manière à couvrir un sous-ensemble défini de catégories de vulnérabilités potentielles : celles pour lesquelles la remédiation automatisée opère avec fiabilité, dans un périmètre délimité. Tous les autres cas de figure bénéficient certes d’un contexte enrichi et de stratégies de résolution structurées, mais la décision finale appartient au seul jugement humain. En matière de sécurité, l’automatisation à outrance se traduit encore par moins de fiabilité. Nous avons donc privilégié la fiabilité.
En développant un harnais pour Mythos Preview, nous avons compris que les systèmes qui encadrent l’IA doivent être conçus avec davantage de rigueur, pas moins. La taxonomie, l’architecture de vérification, les décisions quant au maintien du HITL (Human in the Loop)… tous ces aspects n’étaient pas accessoires. Ils étaient cruciaux.
La vigilance du nombre
Rien de tout cela n’aurait été possible sans l’implication et l’énergie de nombreuses personnes. D’autres entreprises de Project Glasswing ont généreusement partagé leurs premiers retours d’expérience. Anthropic s’est également révélé être un excellent partenaire, soucieux d’apprendre et de s’adapter. Constituée en amont du projet autour d’un noyau compact, l’équipe Rubrik a su ordonner les priorités et agir de façon ciblée.
Annoncé en avril de cette année, Mythos a eu l’effet d’un électrochoc pour les acteurs du secteur. Nous avons répondu présents à l’appel et commencé à sécuriser le modèle. À long terme, je suis persuadé que nous récolterons les fruits de notre action et de notre vigilance constantes : la création de meilleurs logiciels et des procédures de sécurité renforcées.