Reco vise à éradiquer les zones d'ombre de l'IA dans les entreprises

L'IA se répand sur les lieux de travail à un rythme sans précédent. Chaque jour, des employés connectent des outils d'IA aux systèmes de l'entreprise, souvent sans l'approbation ou la surveillance des équipes de sécurité informatique. Il en résulte ce que les experts appellent l'IA fantôme : un réseau croissant d'intégrations et d'outils qui accèdent aux données de l'entreprise sans surveillance.

Tal Shapira, cofondateur et directeur technique de Reco, un fournisseur de sécurité SaaS et de gouvernance de l'IA, affirme que cette prolifération invisible pourrait devenir l'une des plus grandes menaces organisationnelles d'aujourd'hui. Il note que la vitesse d'adoption de l'IA a déjà dépassé les mesures de protection actuelles des entreprises.

Nous sommes passés de "l'IA arrive" à "l'IA est partout" en 18 mois environ. Le problème, c'est que les cadres de gouvernance n'ont pas suivi", a déclaré M. Shapira.

La menace cachée dans les systèmes d'entreprise

Selon M. Shapira, la plupart des systèmes de sécurité des entreprises ont été conçus pour une époque plus ancienne, où tout se passait derrière les pare-feu et les limites du réseau. L'IA fantôme perturbe ce modèle en opérant de l'intérieur, dissimulée dans les applications de l'entreprise.

De nombreux outils d'IA modernes s'intègrent directement aux plateformes SaaS courantes telles que Salesforce, Slack ou Google Workspace. Bien que cela ne soit pas dangereux en soi, l'IA se connecte souvent par le biais de permissions ou de plug-ins qui restent actifs après l'installation. Ces connexions "silencieuses" peuvent continuer à fournir à l'IA un accès aux données de l'entreprise, même après que l'employé qui les a installées quitte l'entreprise ou cesse d'utiliser les outils. Il s'agit là d'un défi majeur pour l'IA de l'ombre.

Shapira a déclaré : "Le problème le plus profond est que ces outils s'intègrent dans l'infrastructure de l'entreprise, parfois pendant des mois ou des années, sans être détectés."

Cette nouvelle catégorie de risque est particulièrement difficile à repérer car de nombreux systèmes d'IA sont probabilistes. Plutôt que d'exécuter des commandes fixes, l'IA fait des prédictions basées sur des modèles. Par conséquent, leur comportement varie en fonction du contexte, ce qui rend la surveillance et le contrôle plus difficiles.

Quand l'IA se comporte de manière inattendue

Des incidents réels révèlent l'impact tangible de l'IA fantôme. Reco a récemment collaboré avec une société financière du Fortune 100 qui pensait que ses systèmes étaient sécurisés et conformes. Quelques jours après avoir déployé la surveillance de Reco, l'entreprise a découvert plus de 1 000 intégrations tierces non autorisées dans ses environnements Salesforce et Microsoft 365, dont plus de la moitié était pilotée par l'IA.

L'une de ces intégrations, un outil de transcription lié à Zoom, avait enregistré tous les appels des clients, y compris les négociations tarifaires et les commentaires confidentiels. "Ils entraînaient par inadvertance un modèle tiers sur leurs données les plus sensibles", explique Shapira. "Il n'y avait pas de contrat ni de clarté sur la manière dont ces données étaient stockées ou utilisées.

Dans un autre cas, un employé a connecté ChatGPT directement à Salesforce, permettant à l'IA de produire des centaines de rapports internes en quelques heures. Bien qu'efficace, cette méthode exposait les détails des clients et les prévisions de vente à une plateforme d'IA externe.

Comment Reco révèle ce qui n'est pas visible

La plateforme de Reco offre aux entreprises une visibilité totale sur les outils d'IA qui se connectent à leurs systèmes et sur les données que ces outils peuvent atteindre. Elle analyse en permanence les environnements SaaS à la recherche d'autorisations OAuth, d'applications tierces et d'extensions de navigateur. Une fois identifiés, Reco indique quels utilisateurs les ont installés, quelles sont les autorisations dont ils disposent et si le comportement semble inhabituel.

Si une connexion semble risquée, le système alerte les administrateurs ou révoque automatiquement l'accès. "La vitesse est essentielle car les outils d'intelligence artificielle peuvent extraire d'énormes volumes de données en quelques heures, et non en quelques jours", note M. Shapira.

Contrairement aux produits de sécurité traditionnels axés sur les périmètres de réseau, Reco cible la couche d'identité et d'accès. Il est donc bien adapté aux entreprises d'aujourd'hui qui dépendent du SaaS et de l'informatique en nuage, où la plupart des données résident au-delà du pare-feu traditionnel.

Une alerte de sécurité plus large

Selon les analystes du secteur, l'approche de Reco reflète une tendance plus large en matière de sécurité des entreprises : passer du blocage de l'IA à sa gestion. Un récent rapport de Cisco sur la préparation à l'IA a révélé que 62 % des organisations admettent avoir une visibilité limitée sur la façon dont les employés utilisent les outils d'IA au travail. Près de la moitié d'entre elles ont déjà été confrontées à au moins un incident de données lié à l'IA.

À mesure que l'IA s'intègre dans les logiciels grand public - d'Einstein de Salesforce à Copilot de Microsoft - le défi s'intensifie. "Vous pouvez supposer que vous utilisez une plateforme de confiance", a déclaré Shapira, "mais ne pas réaliser qu'elle inclut maintenant des fonctions d'IA qui accèdent automatiquement à vos informations."

La plateforme de Reco comble cette lacune en surveillant les activités d'IA approuvées et non approuvées, aidant ainsi les organisations à comprendre où leurs données circulent et pourquoi.

Adopter l'IA en toute confiance

Shapira pense que nous entrons dans la "phase d'infrastructure de l'IA" - une époque où chaque outil d'entreprise inclura l'IA sous une forme ou une autre, qu'elle soit visible ou non. Il est donc essentiel de mettre en place une surveillance continue, un accès au moindre privilège et des autorisations limitées dans le temps.

"Les entreprises qui réussiront ne seront pas celles qui bloqueront l'IA", a-t-il fait remarquer. "Elles seront celles qui l'adopteront de manière responsable, avec des garde-fous qui protègent à la fois l'innovation et la confiance.

L'IA fantôme, a-t-il souligné, ne reflète pas la négligence des employés, mais la rapidité avec laquelle la technologie progresse. "Les gens veulent être productifs", a-t-il déclaré. "Notre rôle est de leur permettre de le faire sans mettre l'organisation en danger.

Pour les entreprises qui cherchent à tirer parti de l'IA sans perdre le contrôle de leurs données, le message de Reco est simple : Vous ne pouvez pas sécuriser ce que vous ne pouvez pas voir.

Source de l'image : Unsplash