La nouvelle IA de l'empereur et la fondation pourrie qui se cache en dessous
Vous souvenez-vous de l'époque où l'IA allait nous sauver tous ? Il s'avère que les sauveurs demandent maintenant un temps mort. Tout récemment, les architectes mêmes de notre avenir axé sur l’IA – les chercheurs « pionniers » et les poids lourds de la finance – ont freiné collectivement, exigeant un ralentissement du développement en raison de « préoccupations croissantes en matière de sécurité » [1]. Le marché, toujours un instrument contondant, a réagi en crachant un poumon : les stocks de puces et les principaux acteurs de l’IA ont chuté [2]. Pékin, comme on pouvait s'y attendre, s'est moqué de ces avertissements, tandis que les géants des puces de Séoul ont hésité à payer d'avance pour les futurs progrès de l'IA [2].
Il ne s’agit pas seulement d’un débat philosophique sur la tour d’ivoire. Il s’agit d’un changement sismique, d’un aveu public d’imprudence de la part de l’élite de l’industrie. Et franchement, c'est un peu trop pratique.
La pause IA : altruisme ou jeu de pouvoir ?
Soyons clairs : lorsque les constructeurs de la fusée réalisent soudain qu'ils ont oublié les parachutes après le lancement, ce n'est pas un moment de profond éveil éthique. C’est une ruée tardive et égoïste. Ce ne sont pas des idéalistes aux yeux écarquillés ; ce sont les titans qui ont appuyé sur la pédale, recherchant une croissance exponentielle et une domination du marché. Aujourd’hui, face au spectre des « conséquences imprévues » qui se profile – et peut-être, de manière plus cynique, à la prise de conscience que le rythme actuel est insoutenable ou qu’ils doivent consolider leur avance –, ils appellent à un souffle collectif.
La réaction du marché est révélatrice. Une baisse des stocks de puces n’est pas seulement une question de peur ; il s'agit des implications financières immédiates d'un ralentissement potentiel. Le recul de Pékin ? Un signal clair selon lequel l’avantage stratégique national l’emporte sur les préoccupations abstraites en matière de sécurité. Et les fabricants de puces de Séoul refusent les paiements initiaux ? C'est le son du capital qui remet en question la stabilité à long terme et la rentabilité d'un avenir soudainement incertain.
Pour nous, les CTO et les responsables de l’ingénierie, cela se traduit directement par un paysage chaotique. Attendez-vous à ce que les interventions réglementaires s’accélèrent, obligeant à redéfinir les priorités des projets d’IA. La philosophie « agir vite et casser les choses » pour l'IA est officiellement morte, remplacée par une recherche effrénée de cadres de « développement éthique de l'IA » qui auraient dû être intégrés dès le premier jour. Les investissements deviendront plus prudents, les stratégies évolueront et, oui, les marchés du travail ressentiront le froid à mesure que la ruée vers l’or cède la place à une approche plus mesurée et, espérons-le, plus responsable. Mais ne confondons pas cela avec du pur altruisme. Cette « pause » concerne autant le contrôle et le recalibrage du marché que la véritable sécurité.
Pendant le débat sur les Titans, la Fondation s'effondre
Maintenant, alors que l’élite de l’IA traverse une crise existentielle et débatte de l’éthique de la future superintelligence, parlons de la crise de sécurité très réelle, très présente et totalement catastrophique qui se déroule en ce moment.
Cette semaine, CISA a ajouté plusieurs nouveaux CVE à son catalogue de vulnérabilités exploitées connues [3]. Nous parlons d'un RCE racine confirmé dans Cisco Secure Email Gateway (CVE-2023-20269) [4], d'une traversée de chemin CVSS 10.0 dans GitLab (CVE-2023-2825) [3] et d'un Zero-Day Chrome récemment corrigé (CVE-2023-4863) [3] qui exigeait une attention immédiate.
Mais le véritable coup de poing, celui qui devrait faire hurler tout professionnel de la sécurité dans le vide, est la menace persistante de failles fondamentales. Considérez CVE-2021-1647, une vulnérabilité d'élévation de privilèges locale dans le moteur de protection contre les logiciels malveillants de Microsoft Defender [5]. Ce n’était pas un défaut obscur ; il disposait d'une preuve de concept publique et a été activement exploité dans la nature, soulignant à quel point les composants critiques de notre défense numérique peuvent être compromis et rester vulnérables pendant un certain temps.
Laissez cela comprendre. Alors que nous débattons de l'éthique de la sensibilité de l'IA, il a été démontré que le logiciel même conçu pour protéger nos points de terminaison, la couche fondamentale de notre défense numérique, recèle des failles connues et activement exploitées qui permettent à un attaquant d'élever ses privilèges. C'est comme discuter des implications philosophiques de la conduite par distorsion alors que les freins de votre voiture tombent en panne et que le moteur est en feu.
Le jugement : les deux faces d’une même médaille
Ce ne sont pas des histoires distinctes. Ce sont les deux faces d’une même médaille profondément imparfaite : une industrie technologique qui a toujours donné la priorité à la vitesse, à la nouveauté et à l’innovation perçue plutôt qu’à la sécurité, à la stabilité et à la responsabilité fondamentales.
L’appel soudain des dirigeants de l’IA au ralentissement est une tentative réactive et égoïste de corriger le cap après qu’ils aient déjà libéré dans la nature des systèmes puissants et mal compris. C’est un aveu que le mantra « Agir vite et casser les choses », lorsqu’il est appliqué à une technologie susceptible de changer le monde, est non seulement irresponsable, mais dangereux.
L’attaque du jour zéro, en particulier la vulnérabilité critique du Defender, est la conséquence directe et douloureuse de ce même état d’esprit appliqué à l’informatique fondamentale. C'est le résultat d'une culture qui considère souvent la sécurité comme une réflexion après coup, une case à cocher de conformité ou un centre de coûts, plutôt que comme un composant intégral et non négociable de chaque produit et système. Nous sommes tellement occupés à courir après le prochain objet brillant – le prochain LLM, le prochain agent IA – que nous avons laissé pourrir le sol sous nos pieds.
Pour les CTO et les responsables de l’ingénierie, le message est clair et immédiat. Arrêtez de suivre toutes les tendances de l'IA qui traversent votre flux. Doublez la mise sur les fondamentaux. Donnez la priorité aux correctifs, en particulier pour les vulnérabilités critiques et activement exploitées comme celles de Cisco, GitLab et la menace persistante illustrée par les précédents LPE de Defender. Mettez en œuvre des mesures d’atténuation robustes. Exigez des responsabilités de la part de vos fournisseurs quant à leur posture de sécurité, et pas seulement sur leur feuille de route en matière de fonctionnalités.
La chute du marché et les problèmes de sécurité fondamentaux non résolus ne sont pas que des faits divers. C’est un calcul. Un monde technologique trop rapide, trop imprudent et finalement trop exposé. Il est temps de grandir, de sécuriser nos fondations, et ensuite, alors seulement, d'envisager prudemment la prochaine frontière.
##Sources [1] Future of Life Institute — Mettre en pause les expériences géantes d'IA : une lettre ouverte — https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC — Les experts en IA appellent à une pause dans le développement de systèmes d'IA avancés — https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA — Catalogue des vulnérabilités exploitées connues — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Avis de sécurité Cisco — Vulnérabilités de Cisco Secure Email and Web Manager, Cisco Email Security Appliance et Cisco Web Security Appliance — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SXu [5] Centre de réponse de sécurité Microsoft — Vulnérabilité d'élévation des privilèges locaux de Microsoft Defender — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647